Modern Business Solutions 2016年数据泄露事件

已核实的数据类别包括出生日期、电子邮箱地址、性别、IP地址、职位、姓名、电话号码和实体地址。综合这些字段，可以构建出一个人的真实身份、联系方式、所在地和工作背景的详细画像。地址和电话信息可被用于诈骗电话，电子邮箱地址可被用于发送钓鱼消息，出生日期和实体地址则可被用于推测身份验证问题的答案。

由于尚未核实泄露数据中是否包含密码，不应直接将这起事件视为密码列表泄露。不过，风险并不会因此降低：当这些个人数据与其他泄露事件中的密码、用户名或支付信息相匹配时，攻击者掌握的个人画像就会更加详细。对于数据中包含职位和雇主背景的个人，虚假的报价、发票、配送、招聘或客服消息可能显得更可信。

本记录的范围仅限于2016年10月8日发生的事件，以及58,843,488个受影响账户。经核实，相关域名为modbsolutions.com。记录的添加时间和最后修改时间均为2016年10月12日。数据类别严格限于已核实的字段，不包含密码、支付卡、银行账户、社会保障号码、健康数据或官方身份证件字段。

这起事件是在数据存储和数据库托管服务的背景下评估的。对于每一位用户，无法明确确定数据归谁所有、来自哪些客户，或基于何种业务关系被持有。因此，本说明聚焦于可见的个人数据类别及其给用户带来的实际风险，不扩大未经证实的数据归属主张。

第一类风险人群是电子邮箱地址与电话号码、实体地址和出生日期一同出现在数据中的人。对于这些用户，虚假的配送、银行、保险、公用事业、客服或账户验证消息可能变得更具迷惑性。对于数据中包含职位的个人，假冒供应商的请求、商务联络消息或更改企业付款安排的尝试还会带来另一类风险。

第二类人群是在不同服务中使用同一电子邮箱地址，且个人信息曾在其他事件中暴露的用户。将不同数据集结合起来后，出生日期、地址、电话号码和电子邮箱地址就能相互关联，从而让利用账户恢复问题、尝试电话验证以及关联身份信息变得更容易。数据年代久远并不意味着它就是安全的，因为地址和出生日期等字段可能长期有效。

信息与泄露记录匹配的用户，应通过可信的其他渠道，直接核实通过电子邮件或电话收到的意外联络、配送、文件、付款或账户验证请求。对于看似来自银行、物流公司、保险机构、公共服务机构或业务往来方的消息，不应在其中提供个人信息。还应检查电子邮箱账户的登录历史、账户恢复邮箱地址和转发规则。

即使这起事件中尚未核实密码是否泄露，如果同一电子邮箱地址还用于其他服务，也应进一步加强账户安全。为每个账户设置不同且不重复的密码、使用密码管理器和多因素身份验证，应成为基本防护措施。电话号码和地址已暴露的人，也应提醒家人和同事防范假冒来电以及利用地址信息实施的诈骗。

从长远来看，减少个人数据的可见性十分重要。用户应清理旧账户和不必要的个人资料字段，根据用途分开使用不同的电子邮箱地址，并避免向非必要服务提供电话号码。实体地址、出生日期和工作信息等长期有效的字段很难更改，因此，应认识到这些数据今后仍可能被用于社会工程攻击尝试。

对机构而言，这起事件的教训在于数据最小化和保留期限审查。如果不必要地保留客户、求职者、员工或第三方的数据集，单次泄露事件就可能影响数以百万计的人。机构应定期审查访问权限、对外暴露服务的管控措施、数据清单、删除政策和事件报告流程。

如果用户发现自己的信息与记录匹配，应按优先级评估记录中列出的字段。电子邮箱地址可被用于钓鱼和针对账户的攻击尝试，电话号码可被用于假冒来电，实体地址和出生日期可被用于关联身份信息，职位则可被用于针对企业的社会工程攻击。因此，不仅需要检查一个账户，还应检查与相同信息关联的其他服务。

Modern Business Solutions 事件是一起影响重大的数据泄露事件，不涉及密码，但汇集了大量长期有效的个人信息字段。用户通过为每个账户设置不同且不重复的密码、加强电子邮箱安全、启用多因素身份验证、通过其他渠道核实可疑通信，以及尽量减少不必要的个人资料数据，可以显著降低这起事件带来的长期风险。