Last.fm 数据泄露

Last.fm 泄露事件中已确认的主要字段包括电子邮箱地址、用户名、密码和网站活动记录。攻击者将电子邮箱地址与用户名结合起来，可以有针对性地尝试密码，并制作个性化的虚假安全提醒和账户恢复消息。网站活动记录则会暴露用户在音乐账户中的偏好、个人资料使用情况以及与该服务相关的行为，从而增加社会工程攻击的风险。

密码以未加盐的 MD5 哈希值形式存储，是最关键的风险因素。按照现代安全标准，MD5 的安全性较弱；未加盐存储的密码可借助字典和预先计算的哈希列表更快地被破解。如果用户在电子邮箱、社交媒体、音乐、游戏或购物账户中重复使用相同密码，攻击者就可能在其他服务上尝试这些泄露的凭据。因此，Last.fm 查询结果不仅是对旧音乐账户的提醒，也是需要优先处理的账户安全风险信号，意味着用户应停止重复使用密码。

这起泄露事件发生于2012年3月。该服务曾在2012年向用户发出密码安全警告，但直到2016年，数据集的真实规模才被更广泛地知晓。经核实的账户数据集包含37,217,682个唯一电子邮箱地址；关于该事件的其他报道则提到约4300万条账户记录。这一差异源于重复账户、电子邮箱数据清理，以及是否按可验证的唯一记录统计。

本页面列出的数据类别仅限于可在账户安全查询中核实的字段：电子邮箱地址、密码、用户名和网站活动记录。尚未确认的事件技术细节，以及尚未核实是否涉及每位用户的其他个人资料字段，不会在此列为主要数据字段。目的是让用户了解实际风险集中在哪些方面，并明确正确的安全措施，避免造成不必要的恐慌。

拥有 Last.fm 账户、在不同平台使用相同用户名并重复使用旧密码的人，是主要的风险群体。由于音乐服务往往与社交资料、用户名及其他平台的关联信息结合使用，攻击者可以在不同网站上寻找同一个人的账户。如果旧用户名仍出现在社交媒体、电子邮箱或游戏账户中，账户被关联识别的风险就会增加。

重复使用密码的人面临更高风险。即使2012年使用的密码如今已不再使用，只要新密码仍沿用相同的构造模式，攻击者就可能尝试类似的变体。如果电子邮箱账户也使用同一类密码，其他账户的密码重置流程也可能成为攻击目标。音乐偏好和个人资料相关行为还可能被用于制作个性化的虚假消息，因此钓鱼风险同样不容忽视。

凡是使用与 Last.fm 相同或相似密码的账户，都应立即更改密码。新密码应足够长、随机且不与其他账户重复，并使用密码管理器保存。应优先处理电子邮箱账户、社交媒体、音乐服务、游戏账户，以及存有支付信息的平台。在旧密码末尾添加一个数字，或对字母做少量修改，都不足以提供有效保护。

所有支持多因素身份验证的账户都应启用这一功能。应检查电子邮箱账户的登录历史、账户恢复邮箱地址、转发规则和未知设备。对于以 Last.fm 或音乐服务为主题的虚假安全提醒、歌曲分享链接、个人资料验证消息和密码重置请求，应保持警惕。点击链接前应检查域名，不要通过可疑消息输入密码。

Last.fm 事件表明，多年前发生的数据泄露仍可能影响今天的账户安全。用户应定期检查旧密码，不应在不同服务中重复使用相同密码，并尽可能使用电子邮箱别名。如果社交资料名称、音乐账户名称和论坛用户名非常相似，攻击者就更容易将这些账户关联起来。

为了获得持续保护，应结合使用密码管理器、唯一密码策略、多因素身份验证和会话通知。对于不再使用的旧账户，应将其关闭，或至少使用强密码加以保护。在企业环境中，为防止员工在工作账户中重复使用个人音乐和社交账户的密码，应实施泄露密码检测、安全培训和额外验证策略。

如果账户安全检查中出现 Last.fm 结果，意味着相关电子邮箱地址包含在与2012年 Last.fm 数据泄露事件有关的已核实账户数据集中。这一结果并不意味着您当前的 Last.fm 账户如今已被入侵；但它表明，过去使用的用户名、电子邮箱地址和密码信息可能存在被滥用的风险。如果其他账户也使用过相同密码，风险会更高。

第一步是确保电子邮箱账户的安全，然后逐一更新所有使用相同或相似密码的账户。如果发现可疑会话、未知设备、意外收到的密码重置消息，或从您账户发出的异常通知，应终止会话，并通过相关服务的安全中心开展核查。彻底停止重复使用密码、更新旧音乐和社交账户，并警惕钓鱼消息，是针对 Last.fm 查询结果最有效的用户应对措施。