MC2 Data 数据泄露

本记录中发现的数据类型包括电子邮箱地址、姓名和密码。据评估，密码以加盐 SHA-256 哈希值的形式存储；弱密码或重复使用的密码仍存在风险。未经核实的支付卡、银行账户、私人消息、官方身份证件、健康记录及其他个人资料字段未被加入数据类别列表，仅保留了有依据的字段。

在背景调查服务的场景下，这些数据可能让攻击者更容易向用户发送看似官方问询、身份核验或订阅通知的消息。仅有电子邮箱地址就可能带来不请自来的消息；如果再结合电话号码、地址、IP、出生日期、照片、证件号码或设备追踪数据，攻击者就更容易为用户编造个性化消息。因此，风险评估不仅依据记录数量，也考虑这些数据组合后的可利用性。

截至2024年8月，已核实的范围为212万条订阅用户记录。已确认的部分予以保留，未确认的部分则被排除。本事件未与其他品牌、名称相似的记录或同一公司在不同时期发生的事件合并。

关于涉及更广泛个人数据的说法，未被纳入本记录的标准数据类别；记录仅限于订阅用户的电子邮箱、姓名和密码字段。这样可以避免重复的泄露条目，也避免向用户显示错误的组织责任归属。域名、公司名称和行业信息均尽可能限定在最小且准确的范围内；存在不确定性时，则相应设置核实标记或网站字段。

可能面临风险的用户包括在 MC2 Data 或其关联品牌下拥有订阅账户的个人。发现匹配记录的用户还应检查其他账户，尤其是在相关账户之外使用相同电子邮箱、电话号码、用户名或密码模式的账户。

对于在其他工作、金融或电子邮箱账户上使用相同密码的人，账户接管尝试的风险更为严重。如果涉及企业邮箱、儿童或家庭账户、公共记录、游戏身份、读写社群、追踪软件或专业服务，社会工程学攻击的风险可能增加。用户不应因为消息中关于自己的细节看似正确，就认为消息可信。

受影响的用户应更改 MC2 Data 相关账户的密码，并更改所有使用相同密码的账户密码。如果记录包含密码字段，应更新所有使用相同密码的账户；如果记录不含密码字段，则应重点关注电话、电子邮件、虚假通知和身份匹配带来的风险。

不要点击消息中的链接，应手动输入相关服务的网址，或使用可信密码管理器中保存的记录。涉及货物运输、客服支持、游戏奖励、账户警告、公共记录、安全通知、文档共享或续订的消息，必须通过独立渠道核实后才能采信。

使用数据中介和背景调查服务时，应采用单独的电子邮箱、独有的密码，并尽量减少个人资料信息。用户应定期清理旧账户、不必要的个人资料字段、重复使用的用户名，以及过时的电话和地址信息。每项服务使用独有的密码，并尽可能启用双因素认证，应成为基本原则。

服务提供商需要落实数据最小化、强化密码保护、监控访问日志、删除不必要的字段，并提前准备好用户通知流程。对数据中介公司而言，访问控制以及检测无需密码即可访问的服务，属于基本安全要求。准确说明事件范围也是安全工作的一部分；夸大或不完整的信息可能误导用户采取错误措施。

用户应先使用自己的电子邮箱地址查询本记录。如果发现匹配，应将姓名和密码字段视为可能面临风险，并优先更新使用相同密码的账户。未发现匹配并不能完全排除使用过其他邮箱或重复使用旧密码的情况；重要账户也应一并检查。

本记录已核实，并保留为敏感记录；未经核实、涉及更广泛个人信息的字段未被添加。在此次整理中，数据字段保留为英文标准类别，面向用户的说明采用土耳其语原创撰写，未加入未经核实的字段，且仅在风险背景提供依据时使用敏感标记。