Mortal Online 数据泄露
Mortal Online 数据泄露是一起已核实的安全事件，涉及 Star Vault AB 开发的在线角色扮演游戏的账号数据。本记录关联的日期为 2018年6月17日，涵盖 606,637 个唯一账号。已核实的数据类型包括电子邮箱地址、完整姓名、密码、实际地址和用户名。较完整的数据集中，密码以未加盐的 MD5 哈希值形式出现，因此本记录所涉及的密码重复使用风险值得关注。
暴露的数据类型
5- 电子邮箱地址
- 姓名
- 密码
- 实际地址
- 用户名
关于此次数据泄露
游戏账号不应仅被视为娱乐账号。当电子邮箱地址、用户名、真实姓名、实际地址和密码哈希信息同时出现在数据中时，账号被盗用、密码被用于尝试登录其他平台、仿冒客服消息、游戏账号交易及网络钓鱼等风险都会增加。本记录未将支付卡信息、私信、游戏内资产明细或官方身份证件号码列为已核实的数据类型，因此风险说明仅限于现有的五个字段。
泄露的数据类型及风险
Mortal Online 记录中已核实的数据类型为电子邮箱地址、完整姓名、密码、实际地址和用户名。电子邮箱地址和用户名有助于将玩家与其在其他论坛、游戏、流媒体或社交平台上的账号对应起来。完整姓名和实际地址则可能让仿冒客服或账号归属验证消息更具可信度。因此，风险并不只限于游戏账号被入侵。
密码字段采用未加盐的 MD5 哈希格式，因此弱密码和重复使用的密码面临更高风险。即便使用的是强密码，只要同一密码在其他服务上仍然有效，攻击者就有机会尝试使用它。玩家经常在论坛、游戏商店、流媒体账号和社交媒体上使用同一用户名，这种做法会增加个人资料被关联的风险。实际地址一旦被他人掌握，也可能让仿冒的配送或安全确认消息更具说服力。
- 电子邮箱地址和用户名可用于关联其他游戏账号。
- 密码哈希信息会增加弱密码被破解的风险。
- 名字、姓氏和地址信息可让仿冒客服消息更具可信度。
- 如果重复使用了同一密码，游戏以外的账号也可能受到影响。
已核实的范围与界限
本记录的范围仅限于名称 Mortal Online、域名 mortalonline.com、日期 2018年6月17日、606,637 个受影响账号，以及五类已核实的数据。数据最初流传时，曾提到一个较小的文件；后来，在较完整的文件中，除电子邮箱地址外，还核实了未加盐的 MD5 密码哈希值、姓名、用户名和实际地址。因此，本记录的数量和数据字段以较完整的文件为依据。
支付卡信息、银行信息、出生日期、电话号码、私信、游戏内物品、角色列表或身份证件均未被列为本记录中已核实的数据类型。本文也未纳入名称与 Mortal Online 相似的其他游戏、论坛或服务器注册记录。去重核查依据品牌名称、域名、日期、注册编号和数据类型进行。这种做法既能呈现用户实际面临的风险，也能避免将未经核实的字段作为确定信息列出。
面临风险的用户群体
主要风险群体是在 2018年之前拥有 Mortal Online 账号，并在其他游戏服务中使用相同用户名或密码的玩家。电子邮箱地址与用户名的组合可能被用于关联玩家的论坛、游戏商店、流媒体账号或社交媒体资料。如果实际地址和真实姓名信息也在其中，仿冒的账号找回或客服消息就会更有针对性。
长期使用同一电子邮箱地址、不更换旧游戏密码、在游戏论坛中使用同一用户名，以及未在游戏账号上启用多因素身份验证的人，应更加谨慎。在企业层面，游戏社群、发行商团队以及参与游戏内交易的用户也可能成为攻击目标。攻击者在尝试访问当前使用的商店账号或邮箱账号时，可能会利用旧游戏数据作为辅助信息。
- 在 Mortal Online 账号上使用旧密码的玩家
- 在其他游戏和论坛账号上使用同一用户名的人
- 在游戏商店和社交账号上重复使用同一电子邮箱地址的用户
- 实际地址和真实姓名信息与旧游戏账号资料相符的人
应立即采取的措施
用户若看到与 Mortal Online 相关的查询结果，应首先彻底停用该账号曾使用的旧密码，并为所有使用过同一密码的账号分别设置新的唯一密码。应优先检查邮箱账号、游戏商店、流媒体平台、社交媒体、支付服务和云服务账号。对原密码稍作修改并不安全；每项服务都应使用单独的长密码。
以游戏账号或客服团队名义发来的链接，应通过独立渠道核实。可疑的登录提醒、密码重置消息、游戏账号交易邀约和仿冒退款消息都应仔细检查。对于支持多因素身份验证的游戏和邮箱账号，应启用该功能，并检查登录历史和已连接设备。由于数据中包含实际地址，也应留意仿冒的配送或验证消息。
- 更换 Mortal Online 的密码，并修改所有使用同一密码的账号密码。
- 在邮箱和游戏商店账号上使用多因素身份验证。
- 通过独立渠道核实客服、交易、退款和账号找回相关消息。
- 检查陌生会话、已连接设备和密码重置通知。
长期安全策略
即使游戏账号已被遗忘多年，旧数据集仍可能在新的攻击尝试中发挥作用。用户应为游戏账号选用独立的电子邮箱地址、唯一密码和密码管理器。在不同平台上重复使用同一用户名，会让个人资料更容易被关联；因此，对于重要账号，应考虑使用不同的用户名或额外的隐私设置。应定期检查旧游戏账号，并关闭不再需要的账号。
社群管理员、发行商和参与游戏内交易的用户，应格外警惕仿冒的赞助、交易和客服消息。从机构安全的角度看，本记录提醒员工不要在工作系统中重复使用个人游戏密码。防止密码重复使用的管控措施、多因素身份验证、安全邮件网关和安全意识培训，都有助于降低游戏相关数据泄露带来的次生影响。
记录核对与用户行动
用户若在 LeakData.io 上看到 Mortal Online 的查询结果，应将匹配到的电子邮箱地址、用户名以及旧密码使用习惯与自己的账号历史进行核对。这一结果并不意味着该用户现在仍是活跃的 Mortal Online 玩家，而是表明其 2018年时期的账号数据已经泄露。由于记录中包含密码字段，最恰当的做法是确认旧密码如今已无法用于任何账号。
本记录保持已核实状态，范围仅限于五类数据。不应假定支付卡信息、私信或游戏内资产数据已经泄露，而应关注电子邮箱地址、用户名、真实姓名、地址和密码哈希信息所带来的实际风险。养成使用唯一密码、启用多因素身份验证，以及通过独立渠道核实可疑通信的习惯，可以帮助用户降低 Mortal Online 数据泄露对当前账号的影响。
