MangaToon 数据泄露

电子邮箱地址、姓名和用户名可被用于定向钓鱼或账户匹配尝试，而性别数据、头像和社交账号身份信息则可让消息显得更有针对性。已确认密码以加盐 MD5 哈希值的形式存储。加盐可避免相同密码产生相同的哈希值，但 MD5 并非现代的、刻意降低运算速度的密码哈希算法，因此弱密码仍容易被离线猜解。通过社交登录获取的身份验证令牌并不是密码，其有效期也未披露，但如果令牌在被盗时仍然有效，就可能带来独立于密码之外的会话风险。这里的社交媒体个人资料数据指的是账号身份信息，并不能证明私信或社交网络密码也遭到泄露。

本次事件的参考日期为 2022年5月13日。技术报道指出，攻击者使用容易猜到的凭据访问了 MangaToon 的 Elasticsearch 服务器；报道还声称，该服务器凭据的密码就是“password”。据报道，攻击者通知公司后，服务器凭据已被更改，但多次联系公司、希望其向用户作出回应的尝试均未得到答复。向一家新闻机构提供的账户样本也经过检查，并被确认为该平台上的有效账户。2022年7月，超过2300万条记录被加入一个收录已核实泄露事件的目录。公开信息无法确定数据库可被访问的持续时间、令牌当时是否有效，或每条记录是否包含所有字段，因此不应将这些情况表述为确定事实。

在其他服务上重复使用 MangaToon 密码的人，以及通过社交账号登录的用户，面临最直接的风险。破解出的密码可被用于对电子邮箱、社交媒体或其他接受相同凭据的娱乐服务发起撞库尝试。对于泄露记录中包含社交登录令牌的用户，仅更改密码可能还不够；还需要检查已关联应用的权限和活跃会话。将姓名、电子邮箱地址、性别、头像和社交账号身份信息结合起来，可让虚假的客服消息或以 MangaToon 为主题的促销信息更具迷惑性。不应假定全部 23,040,238 条记录都包含每一个字段，也不应假定令牌至今仍然有效。支付信息和实体地址数据不在已核实的范围内，因此不能将金融诈骗相关说法直接归因于本次事件。

将 MangaToon 密码更换为足够长且不与其他账户共用的密码，并为所有曾使用相同或相似密码的服务设置各自独立的登录凭据。在关联的电子邮箱账户和社交媒体账号上启用多因素身份验证。如果曾使用社交登录，请检查登录服务提供方的已关联应用列表，撤销 MangaToon 的访问权限；如需重新关联，仅考虑通过官方应用或网站操作。同时终止现有会话，并检查不熟悉的登录记录。不要点击意外收到的、以 MangaToon 为主题的密码重置、免费代币、会员或内容解锁消息中的链接。如果个人资料中的电子邮箱、用户名、头像或关联社交账号未经许可就被更改，请通过官方渠道联系客服。切勿在数据泄露查询表单或第三方网站中输入密码或令牌值。

使用能够为每项服务生成不同密码的密码管理器，可防止以往的泄露波及其他账户。社交登录虽然方便，但应定期清理已关联应用列表，并撤销不再使用的会话。电子邮箱是许多账户的找回途径，因此应使用尽可能强且不与其他账户共用的密码，并启用多因素身份验证。如果不再需要 MangaToon 账户，请通过官方渠道了解删除或注销方式。对于服务运营方，长期有效的防护措施包括：不将管理界面暴露在公共互联网上、使用强度高且不重复使用的服务凭据、限制网络访问、采用现代密码哈希算法、限制令牌有效期、监测异常，以及执行明确的事件通知流程。

在 LeakData 中搜索你的电子邮箱地址，查看它是否与 MangaToon 泄露记录匹配。仅查询属于你本人或你获准查看的地址。匹配结果表示该地址出现在已核实的数据集中，并不能证明密码已被破解、社交登录令牌仍然有效，或账户已被接管。即使没有查询结果，也不应因此忽视通过其他渠道收到的可信安全通知。如果发现匹配，应先更换重复使用的密码，再检查已关联的社交应用、活跃会话和账户恢复设置。