Lexipol 数据泄露

该记录中出现的数据类型包括电子邮箱地址、姓名、电话号码、用户名和密码。经评估，密码以MD5或SHA-256等格式存储；弱密码容易受到离线攻击。这些字段均经过逐项评估；未经核实的支付卡、银行账户、官方身份证件、私人消息、健康记录或其他个人资料字段，未被加入数据类别列表。

与公共安全机构有关的用户可能成为虚假政策更新、培训邀请或文档共享等消息的目标。单独一个电子邮箱地址就会带来垃圾邮件和网络钓鱼风险；如果再与姓名、电话号码、地址、IP地址、出生日期或职业信息结合，攻击者就更容易编写针对个人的消息。因此，风险评估不仅考虑了记录数量，也考虑了各字段组合后可被攻击者利用的程度。

已核实的范围为2025年2月的672,546个账户。已核实的数据字段予以保留，未经确认的字段则被排除。这样既能向用户说明当前记录的情况，避免引起过度恐慌，也不会低估实际风险。

地址、官方身份证件、支付或健康数据等字段因未得到核实而未被加入；事件范围仍限定在用户记录及相关文档。如果存在名称与该记录相似的其他事件，也未将其合并为一个大型事件。域名、公司名称和行业信息均尽可能限定在准确且最小的关联范围内；这也能避免添加重复或错误关联的泄露事件。

面临风险的用户群体包括在Lexipol系统中拥有账户的公共安全工作人员、机构代表和政策管理用户。匹配到记录的用户不仅应关注相关服务中的账户，还应检查使用相同邮箱、用户名或密码模式的其他账户。

电话号码和用户名信息可能让冒充内部支持或安全通知的定向消息更具可信度。对于使用企业邮箱地址注册的人员，风险可能超出个人账户的范围；攻击者可以利用姓名、职务、电话号码、地址、购买信息、游戏ID或职业资料详情等信息，发送更具迷惑性的消息。因此，用户不应将匹配结果视为仅涉及单个网站的问题。

受影响用户应更改密码，组织管理员则应采取终止会话、强制重置密码和启用两步验证等措施。对于包含密码字段的记录，所有使用相同密码的账户都应更改密码；对于不含密码字段的记录，应重点关注涉及邮件、电话及钓鱼通知的风险。无论哪种情况，都应使用强度高且不与其他账户重复的密码来保护邮箱账户。

不要点击消息中的链接，应手动输入相关服务的网址，或使用可信密码管理器中保存的条目。对于手机收到的验证码、密码重置请求，以及物流、招聘邀约、支持、订阅或安全通知等消息，在通过独立渠道核实前，不应轻信。

公共安全服务应强制实施基于角色的访问控制、多因素身份验证，并定期审查账户访问权限。应定期清理旧账户、不再使用的电话号码和地址字段、重复使用的用户名以及相同的密码模式。用户应为每项服务使用不同的密码，并尽可能启用两步验证。

对于服务提供商而言，尽量少保留数据、提供强有力的密码保护、监控访问日志、删除不必要的个人资料字段，以及在发生泄露后通知用户，都是基本要求。在敏感行业，第三方系统的安全性直接影响业务运行中的信任关系。此类事件中，准确说明影响范围与技术修复同样重要；夸大或不完整的信息可能误导用户采取不当措施。

用户应先使用自己的电子邮箱地址核查是否出现在该记录中。如果找到匹配项，应优先对密码更改、会话管理以及通过电话收到的支持请求进行额外核验。未找到匹配项，并不能完全排除重复使用旧密码的情况，也不能排除使用了与同一服务关联的其他邮箱地址；因此，应单独检查重要账户。

该记录已核实，并保留了敏感标记；行业和标签已调整为与公共安全背景一致。在本次整理中，数据字段保留为英文规范类别，面向用户的描述以土耳其语原创撰写，未加入未经核实的字段，且仅在风险背景支持的情况下使用敏感标记。