MagicDuel 数据泄露

本记录中出现的数据类型包括电子邮件地址、IP 地址、玩家昵称和密码。经评估，密码被认为以 bcrypt 格式存储；虽然这是一种安全性较强的存储方式，但重复使用的弱密码仍存在风险。这些字段均经过单独评估；未经核实的支付卡、银行账户、官方身份证件、私信、健康记录或其他个人资料字段未被加入数据类别列表。

将玩家昵称与电子邮件地址对应起来，可能把用户的游戏身份与其实际使用的联系地址关联起来。电子邮件地址本身就存在被用于发送垃圾邮件和钓鱼邮件的风险；若再结合姓名、电话、地址、IP、出生日期或职业信息，攻击者就更容易编写有针对性的消息。因此，风险评估不仅考虑了记录数量，也考虑了这些字段结合使用时的可利用程度。

已核实的范围为2023年8月的138,443个账户。已核实的数据字段予以保留，尚未确定的字段则被排除。这样既能向用户说明当前记录的情况，避免引起过度恐慌，也不会低估实际风险。

字段名称使用“昵称”而非“用户名”，因为所报告的字段更准确地对应玩家名称或昵称这一语境。如果存在名称与本记录相似的其他事件，也未将其合并为一个大型事件。域名、公司名称和行业信息均限定在尽可能精确且最小的适用范围内，这也有助于防止添加重复或错误关联的泄露事件。

面临风险的用户群体包括拥有 MagicDuel 账户的玩家，以及在其他游戏中使用相同昵称的人。匹配到记录的用户不仅应关注相关服务中的账户，也应检查使用相同电子邮件地址、用户名或密码模式的其他账户。

攻击者可能在游戏社区中通过虚假奖励、账户验证、活动邀请或交易市场消息实施社会工程攻击。对于使用企业电子邮件地址注册的用户，风险可能超出个人账户的范围；攻击者可能利用姓名、职位、电话、地址、购买记录、游戏 ID 或职业资料，发送更具迷惑性的消息。因此，用户不应将匹配结果视为仅限于单个网站的问题。

受影响的用户应更改 MagicDuel 密码，并更改所有使用相同密码的游戏商店、电子邮件、社交媒体和即时通信账户的密码。对于包含密码字段的记录，应更改所有使用相同密码的账户密码；对于不含密码字段的记录，应重点关注电子邮件、电话和虚假通知带来的风险。无论哪种情况，都应使用强度高且独一无二的密码保护电子邮件账户。

不要点击消息中的链接，应手动输入相关服务的网址，或使用可信密码管理器中保存的记录。对于手机收到的验证码、密码重置请求，以及发货、工作邀约、客服支持、订阅或安全通知等消息，应先通过独立渠道核实，不要未经核实就采信。

玩家应为每个游戏和论坛账户设置独一无二的密码，避免不必要地将游戏昵称与个人账户关联。应定期清理旧账户、不再使用的电话号码和地址字段、重复使用的用户名，以及相同的密码模式。用户应为每项服务使用不同的密码，并在条件允许时启用双因素身份验证。

对于服务提供方，尽量减少数据留存、采取强有力的密码保护措施、监控访问日志、删除不必要的个人资料字段，以及在发生泄露后通知用户，都是基本要求。游戏账户的安全漏洞也可能导致数字资产损失和社区声誉受损。在这类情况下，准确说明影响范围与技术修复同样重要；夸大或不完整的信息可能使用户采取错误的应对措施。

用户应先使用自己的电子邮件地址查询本记录。如果发现匹配，应按昵称、IP 和密码字段可能存在风险来处理，并更改所有使用相同密码的游戏账户密码。未发现匹配并不能完全排除以往重复使用密码，或使用其他电子邮件地址注册同一服务的情况；因此，重要账户也应单独检查。

本记录仍维持已核实状态；记录数量和数据类型均已与核实结果保持一致。本次调整中，数据字段仍采用英文规范类别，面向用户的描述以土耳其语原创撰写，未添加未经核实的字段，且仅在风险背景支持的情况下使用敏感性标记。