Knuddels 2018年数据泄露

根据Knuddels在论坛上的披露，2018年9月5日，一名身份不明的人在Pastebin上发布了8,000条会员记录。该公司于9月6日核实了数据的真实性，暂时停用了受影响的登录凭据，并准备了密码重置措施。9月7日，公司收到一个指向更大文件的链接，其中包含1,872,000组昵称和密码；Knuddels表示，随后要求所有会员更换密码，并发送了通知。

据报道，最初的8,000条记录包含昵称和密码，其中57%还包含电子邮件地址，41%包含名字，30%包含居住地。该公司还表示，在约808,000个电子邮件地址中，约330,000个已通过验证，分别对应不同的人。外部数据集中的808,330个唯一电子邮件地址统计的是电子邮件标识符，不能用来替代该公司统计的已验证用户子集。

Knuddels解释说，虽然公司在2012年引入了密码哈希，但仍为一套旧版过滤器保留了未加密的密码版本。该过滤器旨在阻止用户在聊天中分享密码。2018年9月7日，公司删除了这些未加密版本，并停用了该过滤器。调查首先发现，一台操作系统过时的备份服务器可能是一处薄弱环节，公司随后将其关闭；由于论坛帖子并未将这一发现作为初始入侵途径的最终结论，这里也不将其视为已确定的原因。

巴登-符腾堡州数据保护监管机构后来因Knuddels以明文存储密码而对其处以€20,000罚款。监管机构也考虑了该公司的及时通报、配合程度、透明度和安全改进措施。罚款金额并不代表数据集中的人数或电子邮件地址数量。

已完成的生产环境处理任务从一个仅含电子邮件地址的文件中处理了808,156个有效行，并创建了相同数量的唯一电子邮件关联。该文件由两个明确指定的电子邮件地址列取并集生成。本地导入不包含用户名、密码、姓名、位置及其他文本字段。本地电子邮件地址数量比外部统计少174个；由于源数据版本和规范化处理细节并不完全相同，这里不判断这一差异的具体原因。

Knuddels的官方网站和事件论坛仍在运行。本地电子邮件匹配并不能证明会员身份、现实身份、所在城市或密码仍在使用。如果2018年使用的密码曾以相同或相似形式用于其他服务，应在那些服务上将其更换为独一无二的密码。收到意料之外的登录或密码重置消息时，应直接访问该服务的官方平台进行核查，而不要点击消息中的链接。