MGM Resorts 2022年更新：数据泄露

经核实的泄露数据类型包括出生日期、电子邮件地址、姓名、电话号码和实体地址。将这些信息结合使用，会增加个性化钓鱼攻击、虚假预订或取消预订消息、电话客服诈骗以及账户恢复功能被滥用的风险。同一份个人资料中的电话号码和电子邮件地址，让攻击者能够同时尝试利用SMS短信和电子邮件；相互匹配的出生日期和地址则可能让身份核验相关的说辞更具迷惑性。在本记录中，密码、支付卡和银行账户均未被核实为泄露数据类型。

本记录标注的泄露日期为2019年7月25日。MGM Resorts表示，公司于2019年夏季发现，一台存有有限数量宾客信息的云服务器遭到未经授权的访问，并已通知受影响的个人。2020年2月，1060万行宾客数据被公开；在最初的这份副本中，经核实有3,081,321个去重后的电子邮件地址。2020年7月，有人宣传一个更大的数据集，声称其中包含142,479,937条宾客记录；2022年5月，4个总大小约为8 GB的压缩包被广泛分享。分析核实了这一扩展数据集中24,842,001个去重后的电子邮件地址，并发现这些数据极有可能来自同一起2019年事件。约1.42亿行原始数据和24,842,001个去重后的电子邮件地址是两种不同的统计指标。除涉及云服务器外，未经授权访问的具体方式并未公开披露。

联系信息出现在MGM Resorts宾客记录中的人面临风险，这些记录可追溯至2017年及更早时期。仍在使用相同电话号码或实体地址的人、使用公司邮箱预订的商务旅客，以及个人信息公开可查的人，可能会收到更具迷惑性的定向消息。将姓名、出生日期、地址和电话号码结合起来，可能帮助攻击者冒充酒店或旅行服务商。出现在数据集中，并不意味着仍在使用的MGM账户已被接管，也不意味着财务信息已经暴露。

对于意外收到、声称来自MGM Resorts、酒店预订服务商、会员奖励计划或旅行社的电子邮件、短信和来电，应保持谨慎。请自行打开官方网站或应用，而不是点击消息中的链接。对于要求更改预订、付款或提供身份信息的来电，应拨打官方公布的电话号码进行核实。为电子邮件账户启用多因素身份验证，然后检查当前登录会话和账户恢复选项。虽然本次泄露中未核实存在密码泄露，仍应为每个旅行及会员奖励账户使用独一无二的密码。即使对方已经知道你的联系信息，也绝不要向其提供安全验证码或额外的身份信息。

姓名、出生日期、电话号码和地址等难以更改的信息，即使多年后仍可能被用于社会工程攻击。为旅行账户使用专用的电子邮件别名、通过密码管理器为每个账户生成独一无二的密码，以及删除不必要的个人资料字段，都有助于降低长期暴露风险。为金融账户和电子邮件账户保持登录提醒开启，并定期更新仍使用旧电话号码或旧地址的账户恢复选项。使用工作邮箱预订旅行的人，应将以MGM或酒店为主题的可疑消息报告给所在组织的安全团队。

请使用你在MGM Resorts使用过的电子邮件地址查询本记录。查询匹配意味着你的电子邮件地址出现在2022年流传的更大MGM数据集中，并不意味着全部1.42亿行数据都分别对应不同的人。如果查询结果显示匹配，应优先保护你的电子邮件账户、旅行服务账户资料，以及使用相同联系信息的重要账户。如果未找到匹配，请记住，这一结果仅适用于本数据集，还应单独查询最初的MGM Resorts记录。