MarketsMojo 据称发生的数据暴露

来源列表中有关 MarketsMojo 的条目可能列出更大的数量，以及一些额外的数据字段。不过，本记录在添加数据类别时采取了更审慎的做法。有较充分依据支持的字段包括电子邮箱地址、电话号码、用户名和 bcrypt 密码哈希。实际住址等字段尚未得到足够充分的核实，因此未纳入本记录的 dataClasses 字段。这样处理是为了避免向用户作出过度断言。

可核验的数据类别包括电子邮箱地址、电话号码、用户名和密码哈希。据报告，密码以 bcrypt 哈希格式存储。与 MD5 或 SHA1 等快速算法相比，Bcrypt 是一种更安全的密码存储方式；但哈希算法较强，并不意味着风险已完全消除。弱密码、较低的成本参数或重复使用密码的习惯，都可能让攻击者更容易得手。

同时掌握电子邮箱地址和电话号码，意味着攻击者既可以通过电子邮件，也可以通过短信联系用户。用户名可能反映用户在平台内的身份，有时也可能是与其他投资、社交媒体或论坛账户相同的昵称。考虑到该平台提供金融分析服务，攻击者可能围绕投资建议、投资组合提醒、订阅续费或账户验证等主题编写消息。

在 MarketsMojo 这类投资和市场分析平台上，用户会关注相关信息，以便作出财务决策。如果攻击者知道用户与这类平台有关联，就可以编写更具迷惑性的投资诈骗消息。可能使用的主题包括虚假股票提醒、高级会员续费、投资组合验证、应用更新、支付方式检查或关联券商账户。

本记录的描述未包含银行账户信息、银行卡数据或投资组合内容，因为这些信息尚未得到核实。不过，即使只有电子邮箱地址和电话号码，也足以成为实施金融诈骗的重要切入点。由于用户确实使用投资平台，他们可能更容易迅速回应以投资机会或紧急市场提醒为主题的消息。这类社会工程风险使本记录具有较高的重要性。

添加本记录前，已在现有记录中对 MarketsMojo、Markets Mojo、marketsmojo.com 及相关名称变体进行了查重。由于未找到已有的独立记录，因此将其视为新记录处理。可访问的列表同时列出了域名、2021年3月的日期、数十万条用户记录，以及电子邮箱地址、电话号码、用户名和 bcrypt 密码哈希等数据类别，因此本记录获准添加。

尽管如此，尚未找到平台运营方发布的全面官方声明，能够确认所有技术细节、记录数量和受影响的数据类别。因此，本记录仍保留为未核实状态。较弱来源提及的实际住址等额外字段，未纳入数据类别。本记录仅采用依据较充分的字段，对存在歧义之处不作确定性断言。

如果 MarketsMojo 账户使用的密码也用在其他地方，用户应首先更改这一密码。Bcrypt 哈希并不直接等同于明文密码；但如果用户使用了弱密码，或同一密码也出现在其他泄露事件中，风险就会增加。应优先处理电子邮箱账户、金融应用、券商账户、购物平台和社交媒体账户。

由于电话号码已暴露，短信钓鱼也是切实存在的风险。攻击者可能发送以市场提醒、投资机会、投资组合验证、续费付款或应用安全更新为主题的消息。这些消息可能包含短链接、虚假登录页面，或用于下载恶意应用的链接。用户尤其应警惕涉及金融内容的消息。

• 应将 MarketsMojo 账户的密码更改为独立且强度高的密码。
• 应更改使用相同密码的金融、电子邮箱和社交媒体账户的密码。
• 应在金融应用中启用两步验证。
• 不要直接打开通过短信或电子邮件收到的投资链接。
• 应通过官方应用核查券商或支付账户验证请求。
• 不要向任何人提供通过电话索要的验证码。
• 应通过独立来源核实投资建议或紧急市场机会消息。

Bcrypt 是一种专为密码存储设计、运行较慢且计算成本较高的算法。配置正确时，它能使攻击者难以从哈希中获取实际密码。不过，并非所有 bcrypt 配置都具有同等强度。如果成本参数较低、密码较短或过于常见，或者用户的同一密码曾出现在其他泄露事件中，攻击者仍可能占据优势。

因此，用户不应把 bcrypt 这一名称视为完整的安全保证。最稳妥的做法是按密码可能已被破解来处理，并改用一个独立的新密码。如果同一密码也用于其他金融或电子邮箱账户，风险会更加严重。使用密码管理器生成随机且较长的密码，有助于降低这一风险。

金融分析平台用户可能成为诈骗者眼中有吸引力的目标。攻击者若了解用户的投资兴趣，就可以发送以虚假股票推荐、独家报告、高级分析、免费试用、投资组合提醒或税务文件为主题的消息。如果掌握了电话号码，同一轮诈骗活动还可以通过短信或即时通信应用开展。

用户不应依据电子邮件或短信中的链接作出任何投资决定。不要从官方应用商店以外的来源下载应用；访问券商网站时，应手动输入地址或使用已保存的可信地址；付款和订阅请求应通过官方控制面板核查。刻意制造紧迫感的金融消息尤其值得怀疑。

金融科技和投资研究平台不仅应关注密码安全，还应关注联系信息可能被滥用的风险。如果电子邮箱地址和电话号码一同存储，就应实施访问控制、数据脱敏、下载限制和异常监测。管理后台应强制启用多因素身份验证，客户数据导出操作应留存日志，不必要的字段不应长期保存。

怀疑发生泄露时，仅告知用户更改密码并不够。还应明确说明金融诈骗、短信钓鱼、虚假投资机会和订阅续费陷阱等风险。用户了解可能遇到的攻击后，就能更准确地判断收到的消息。由于涉及金融场景，沟通策略与技术细节同样重要。

MarketsMojo 数据泄露记录与投资研究平台 marketsmojo.com 有关，据报告，该事件发生于2021年3月，影响约450,949条用户记录。据报告，暴露的数据类别包括电子邮箱地址、电话号码、用户名和 bcrypt 密码哈希。这些信息会带来账户安全、短信钓鱼和金融诈骗风险。

由于缺乏官方的一手确认，本记录未被标记为已核实。不过，域名、日期、记录数量和数据类别在公开泄露记录中反复出现且相互一致，因此仍予以收录，以便向用户提供信息。MarketsMojo 用户应更改密码，在金融账户上启用双因素身份验证，避免点击通过短信或电子邮件收到的投资链接，并且不要向任何人透露验证码。

与金融平台关联的电子邮箱地址和电话号码，可能随着时间推移与其他数据集结合。如果用户在券商、银行、投资论坛或电子通讯订阅中使用同一电子邮箱地址，攻击者就可能构建更全面的投资画像。这种画像可被用于设计虚假投资机会或个性化诈骗消息。

从长期来看，用户应为各金融账户设置独立且强度高的密码，最好使用单独的电子邮箱地址接收金融通知，在短信验证之外使用基于应用的多因素身份验证，并且仅依据经过核实的来源作出投资决定。只要电话号码和电子邮箱地址没有改变，旧的泄露记录仍可能被用于新的诈骗尝试。

在部分有关 MarketsMojo 的列表中，可能出现实际住址等额外数据字段；不过，详细记录对这些字段的支持不够明确，因此未将其纳入 dataClasses 字段。作出这一决定并非为了淡化泄露的影响，而是为了避免把尚未核实的范围作为确定信息呈现给用户。电子邮箱地址、电话号码、用户名和密码哈希本身，已足以构成需要采取安全措施的风险。

如果今后有更有力的来源核实实际住址或其他金融数据字段，本记录可以更新。目前最准确的做法是依据可核验的核心字段提醒用户，并清楚解释金融场景下的社会工程风险。因此，本说明重点关注短信钓鱼、虚假投资通知、订阅续费和账户验证陷阱。

包含电话号码的泄露记录所带来的风险，并不限于电子邮件安全。攻击者可以给用户打电话、发送消息，或冒充投资应用的工作人员。向用户索要其收到的一次性验证码、要求共享屏幕或接受远程支持，尤其危险。因此，MarketsMojo 用户应在金融账户上使用基于应用的多因素身份验证，并且不要透露任何通过手机收到的验证码。