MGM Resorts 2019年数据泄露事件
MGM Resorts 数据泄露是一起大规模酒店及赌场客户数据事件，发生于2019年7月25日，涉及 MGM Resorts International 的宾客数据及3,081,321个不重复的电子邮箱地址。初始记录基于一个包含1060万行宾客数据的数据集，其中部分记录可追溯至2017年。已确认的数据类别包括出生日期、电子邮箱地址、全名、电话号码和实际地址。不应将本记录描述为包含密码、支付卡、银行账户或政府签发的身份证件数据。
暴露的数据类型
5- 出生日期
- 电子邮箱地址
- 姓名
- 电话号码
- 实际地址
关于此次数据泄露
泄露的数据类型及风险
虽然本记录中泄露的数据并不直接包含账户密码，但这些信息组合起来，为识别个人身份和实施定向欺诈提供了有力的信息基础。攻击者将全名、电子邮箱地址、电话号码、实际地址和出生日期结合起来，就可能编写看似针对个人的消息，例如酒店预订、会员计划通知、付款确认、客房升级、退款或旅行安排。MGM Resorts 这类住宿和娱乐品牌通过多种渠道与宾客沟通，因此，通过电子邮件、短信和电话实施社会工程攻击的风险也随之增加。
出生日期和地址信息可用于与其他来源的信息进行匹配，识别个人身份。电话号码为假冒客服的电话或消息提供了直接联系途径。实际地址则为个人画像和定向广告或欺诈提供了更多背景信息。因此，风险并不限于垃圾信息；网络钓鱼、虚假预订通知、会员账户欺诈和个人数据聚合等情形同样值得关注。不过，不应向用户声称本记录涉及密码或支付卡信息泄露。
已核实的范围与限制
已核实的范围包括域名 mgmresorts.com、泄露日期2019年7月25日、收录日期2020年2月20日、3,081,321个不重复的电子邮箱地址，以及1060万条宾客记录。据称，该数据集与 MGM Resorts 使用的某项云服务有关，后来在一个论坛上被传播，并经由不同来源再次分享。2022年还对一个规模更大的数据超集进行了监测，该超集被认为与同一事件有关；因此，不应将最初的 MGM Resorts 记录与2022年超集的数据量混淆。
不应在本记录中添加信用卡、银行账户、密码、社会保障号码、护照或驾驶执照字段。虽然某些官方审计提到了特定子群体的身份证件号码类型，但对于面向用户公开的记录，已核实的标准数据类别仅限于出生日期、电子邮箱地址、全名、电话号码和实际地址。MGM Resorts 属于酒店、赌场、住宿和娱乐行业，因此，将行业字段保留为一般科技类别会造成误导。国家字段可保留为美国。
面临风险的用户群体
风险最高的人群是曾入住 MGM Resorts 旗下酒店、进行预订、使用会员账户，或通过电子邮件或电话联系过该品牌的宾客。姓名、地址、电话号码和出生日期的组合如果能与旅行历史关联，就可能让看似个性化的欺诈消息更具迷惑性。对于因商务旅行而使用 MGM 旗下酒店的人士，企业邮箱地址与私人住宿信息之间的关联可能会增加风险。
如果用户的电话号码和电子邮箱地址都能被获取，就可能成为虚假预订确认、会员积分通知、赌场促销、住宿退款或付款核验请求的目标。如果还能获取用户的实际地址，用于身份验证问题的个人信息可能更容易被猜出。由于本记录不包含密码，直接假定账户已被接管并不准确；不过，攻击者通过网络钓鱼和社会工程消息试图获取用户密码或付款信息，是切实存在的风险。
应立即采取的措施
发现与 MGM Resorts 记录匹配的用户，应首先仔细检查通过电子邮件和电话收到的预订、退款、付款、会员积分或促销消息。不要通过消息中的链接登录，而应在地址栏直接输入相关服务的网址访问。如果有人在通话中索要出生日期、地址、付款信息、验证码或卡片详情等个人信息，应结束通话，并通过官方联系渠道核实。
虽然密码并非本记录中已核实的数据类别，但仍应保护电子邮箱账户。应为邮箱账户使用强度高且不与其他账户共用的密码，启用两步验证，并退出不明会话。对于 MGM Rewards 或类似的旅行、会员账户，应检查安全通知以及登记的电话号码和电子邮箱信息。信用卡或银行数据并非本记录中已核实的内容；即便如此，仍应通过官方渠道核实可疑的预订和付款通知。
长期安全策略
住宿、旅行和会员计划不仅收集身份信息，还收集联系方式和地址数据，因此需要长期管理隐私。用户应从酒店和旅行账户中删除不再需要的旧地址，关闭不再使用的会员账户，并尽可能将个人邮箱与工作邮箱分开。使用单独的电子邮箱接收旅行品牌的促销和预订消息，可以更容易地识别有风险的消息。
从企业角度看，这起事件说明，宾客数据不只是营销数据。应严格审查云服务、开发人员访问权限、临时访问密钥和外部服务账户，并将最小权限原则、多因素身份验证和快速泄露评估纳入常规要求。宾客数据一旦暴露，就不应延迟通知，并应明确说明哪些方面受到影响、哪些方面未受影响。在维护信任方面，数据最小化和及时通知与技术措施同样重要。
记录核查与用户行动
如果你在 LeakData 上看到 MGM Resorts 记录的匹配结果，应将其视为一起2019年的酒店及赌场宾客数据泄露事件。匹配结果表明，你的电子邮箱地址、全名、电话号码、实际地址和出生日期可能包含在本记录中。这并不意味着你的密码或支付卡信息已泄露。主要应对措施是核实收到的旅行和预订相关消息、保护电子邮箱账户，并检查会员账户信息。
如果收到关于预订、退款、积分使用、客房升级或付款核验的可疑消息，不要点击链接，而应通过官方网站或客服中心核实。即使消息使用了出生日期、地址等信息，看似专门针对你，也可能是假的。使用工作邮箱注册的用户应告知企业安全团队，并警惕工作邮箱中收到的旅行主题钓鱼消息。对组织而言，教训也很明确：员工旅行和会员账户中使用的个人数据，可能成为定向电子邮件攻击的切入点。
