Lazada RedMart 数据泄露
Lazada RedMart 数据泄露事件是一起于2020年确认的电子商务数据泄露事件，涉及新加坡 RedMart 在线生鲜杂货服务的历史客户数据。本记录采用的主要统计指标为1,107,789个账户或电子邮件条目。由于 RedMart 隶属于 Lazada，这起事件被称为 Lazada RedMart 数据泄露事件；但经核实的范围并非一般的 Lazada 账户或该地区所有 Lazada 客户的数据，而是与 RedMart 有关的历史客户数据。记录显示，数据的最新时间截至2020年7月，事件于2020年10月公开，随后在新加坡的数据保护审查中得到处理，审查另行采用了受影响人数这一指标。因此，在评估用户受到的影响时，不应将账户或电子邮件条目数量与官方审查中的受影响人数视为同一指标。
暴露的数据类型
6- 电子邮箱地址
- 姓名
- 信用卡的部分数据
- 密码
- 电话号码
- 实际地址
关于此次数据泄露
这批记录会增加拥有 RedMart 购物账户的用户遭遇社会工程攻击的风险，涉及网络钓鱼、密码复用、针对收货地址的攻击，以及对部分信用卡数据的利用。密码以 SHA-1 哈希值而非明文形式存储；但仅凭这一点，不足以保护弱密码或曾在其他账户上重复使用的密码。泄露的支付信息仅限于部分信用卡数据；经核实的范围不包括完整卡号、CVV、银行账户、护照、健康数据或官方身份证件号码。
泄露的数据类型及风险
Lazada RedMart 泄露事件中已确认的数据类别包括电子邮件地址、名和姓、电话号码、实体地址、部分信用卡数据及密码哈希值。仅凭这批数据，并不意味着能够直接获得完整的支付权限；然而，将客户姓名、收货地址、电话号码和电子邮件地址结合起来，就可能编造出极具迷惑性的虚假订单、虚假客服请求和账户安全消息。部分信用卡数据可能包括卡号前六位和后四位、持卡人姓名、有效期或账单联系信息等字段，因此用户需要更加仔细地留意账单和通知。
- 电子邮件地址：可被用于以 RedMart 和 Lazada 为主题的网络钓鱼、虚假优惠、虚假配送通知及账户恢复消息。
- 姓名、电话和地址：会增强针对个人实施攻击的能力；诈骗者可能模仿真实订单和配送通知的措辞，试图取得用户信任。
- 密码哈希值：SHA-1 是一种较旧的算法，可被快速破解。对于在其他账户上使用相同密码的人，账户被接管的风险会增加。
- 部分信用卡数据：并不等于完整的信用卡信息，但仍可能被用于冒充银行来电、以换卡为借口行骗或伪造付款确认等场景。
- 实体地址：与配送和账单信息结合后，会增加围绕家庭住址实施骚扰、发送定向消息及绕过身份验证的风险。
经核实的范围与边界
经核实的泄露记录采用2020年7月30日这一日期，并以1,107,789个账户或电子邮件条目衡量影响。当时的报道表示，RedMart 数据被挂牌出售，记录的最新时间截至2020年7月。新加坡官方的数据保护决定指出，数据于2020年9月6日被导出，影响了898,791人。这两个数字代表不同的统计层级：前者是以账户或电子邮件为单位的索引指标，后者是官方审查采用的受影响人数。因此，本记录应保留1,107,789条这一总数，而官方公布的受影响人数应在说明中作为单独的范围注释理解。
范围仅限于 RedMart 的历史客户和供应商数据。不应将其表述为已经核实的事实，声称 Lazada 当前客户的数据或 Lazada 在该地区的全部账户已遭泄露或入侵。Lazada 对 RedMart 的收购解释了两者名称之间的关联；但经核实的泄露数据集来自 RedMart 旧系统中的记录。此外，不应在本记录已核实的字段之外，添加社会保障号码、护照、健康信息、完整卡号、CVV 或银行账户等数据类型。
面临风险的用户群体
风险最高的是将 RedMart 账户密码同时用于电子邮件、购物、银行、社交媒体或工作账户的用户。即使密码并非以明文形式存储，SHA-1 仍是一种较旧、计算速度较快的哈希算法，可被用于尝试破解，因此弱密码、短密码或此前已泄露的密码可能很快被猜出。对于使用同一电子邮件地址登录多个服务的人，这批记录可能引发远超单个购物账户范围的账户安全问题。
地址和电话信息泄露的用户也更容易遭遇定向诈骗。诈骗者可以结合真实姓名、真实收货地址及部分信用卡信息，编造虚假客服、虚假退货、虚假配送费、账户停用或信用卡验证等情境。长期未在 RedMart 购物的人也不能被视为没有风险，因为旧数据集即使在多年后，仍可被用于网络钓鱼和个人资料匹配。
应立即采取的措施
立即将此前在 RedMart 或 Lazada 账户上使用的密码更换为独一无二的强密码。如果在其他服务上使用过相同或相似的密码，也应分别更新这些账户的密码。应优先处理电子邮件账户、金融服务、购物账户、社交媒体和工作账户。仅对旧密码做小幅修改并不足够；如果旧密码存在可预测的模式，攻击者也可能尝试这些变体。
- 启用多因素身份验证：在每个支持此功能的账户上，使用基于应用的身份验证或安全密钥。
- 留意账单：由于部分信用卡数据已泄露，应留意卡上的小额交易和不熟悉的交易。
- 不要相信虚假客服消息：如果对方索要密码、一次性验证码、完整卡号或 CVV，应停止操作。
- 降低地址和电话信息带来的风险：不要打开官方应用或官方网站之外，以配送、退货或税费为由发送的链接。
- 检查账户会话：如果出现不熟悉的设备、新增收货地址、已登记信用卡变更或可疑的下单尝试，应锁定账户。
长期安全策略
这起事件表明，电子商务账户不仅承载购物记录，还包含身份、地址、电话及支付相关信息。从长期来看，应为每个购物网站使用独一无二的密码，利用密码管理器生成随机密码，并对电子邮件账户单独采取高强度保护。定期检查旧账户、注销不再使用的账户，以及减少保存的信用卡，有助于降低个人面临的风险。
为防止地址和电话信息被滥用，用户应结合具体情境判断收到的消息。不能仅因为一条消息知道你的真实姓名、收货地址所在街区或信用卡后四位，就认为它可信。对企业而言，教训同样明确：旧系统遗留的客户数据即使已与当前客户业务流程分离，仍然存在现实风险，必须得到保护。限制权限、单独进行身份验证、避免不必要的数据存储、完善日志记录，以及建立快速通知流程，都有助于减轻此类事件的影响。
记录核查与用户应对
如果你的电子邮件地址与本记录匹配，应先检查自己的 RedMart/Lazada 使用历史，以及其他使用相同密码的账户。匹配并不意味着你的完整信用卡信息或整个 Lazada 账户已遭泄露或入侵；经核实的范围包括与 RedMart 有关的历史客户数据、部分信用卡数据和密码哈希值。不过，仍应采取措施，防范网络钓鱼、账户接管和定向诈骗。
即使没有匹配记录，只要你曾使用过 RedMart，采取基本防护措施仍然合理：使用独一无二的密码、启用多因素身份验证、留意账单、警惕可疑消息，以及删除不必要的已保存信用卡。如果你的电子邮件地址出现在此次泄露中，无须恐慌；但继续在其他地方使用相同密码会增加风险。更安全的做法是将受影响账户单独处理，消除它与其他账户之间的密码复用，并对利用你的电话或地址信息进行的社会工程攻击更加谨慎。
