MrExcel 数据泄露

此次泄露中暴露的数据字段具有不同的风险等级。电子邮箱地址和用户名可以帮助攻击者将用户与其 MrExcel 会员身份关联起来，并编写看似为该用户量身定制的消息。IP 地址可用于匹配大致的网络连接位置和服务提供商信息；单凭 IP 地址不足以确认身份，但与其他数据结合后，可能便于构建用户画像。出生日期属于个人信息，可能被用于密码重置、猜测安全问题答案和社会工程攻击尝试。社交关系和网站活动记录可能透露论坛内的人际关系、以往的发帖交流习惯或用户行为。其中最关键的字段是密码数据。密码以加盐的 MD5 哈希值形式出现，并不意味着明文密码已被直接公开；然而，针对 MD5 哈希可以进行高速密码猜测，因此较短、可预测或曾经使用过的密码可能被破解。如果同一密码还可用于电子邮箱、工作账户、云存储、社交媒体、购物网站或其他论坛，那么一次论坛泄露就可能演变为范围更广的账户被盗用风险。

已核实的账户数量应以 366,140 个为准。事件发生日期已核实为2016年12月5日，收录日期为2017年1月22日。此次事件涉及 MrExcel 论坛会员数据，因此不应认为所有 MrExcel 访客、内容读者或商店客户都受到了同样的影响。官方通知明确区分了商店账户数据，并指出这部分数据未受此次事件影响。就论坛而言，通知称用户 ID、电子邮箱地址以及以 hash+salt 形式存储的密码数据遭到访问，近期登录记录、发帖数量及类似管理信息中的部分活动信息也可被查看。其他核实记录还列出了出生日期、IP 地址、社交关系、用户名和网站活动记录等字段，因此本记录保留了这些字段。这一区分很重要：泄露记录中范围过大的说法会误导用户，而遗漏数据字段则会掩盖实际风险。理解 MrExcel 事件时，应将其定位为以论坛账户为核心的数据泄露，同时考虑弱哈希算法带来的密码破解风险，以及在不同服务中重复使用同一密码的人所面临的多个账户被连锁接管的可能性。

风险最高的是在2016年12月之前已拥有 MrExcel 论坛账户，并且在其他服务中也使用相同密码的人。曾为寻求 Excel 支持而注册论坛、但多年未登录的用户也属于这一群体，因为被遗忘的账户密码往往在密码管理器中一直没有更改。第二类风险群体是在论坛账户中使用工作邮箱的用户。使用企业邮箱地址注册论坛的用户，可能收到以 Excel 文件、宏、报表流程或工作文档为主题、更具迷惑性的钓鱼消息。第三类风险群体是在其他网站上以相同格式使用出生日期或用户名信息的人。这些信息可能被用于尝试猜测用于找回账户的安全问题的答案，或通过虚假客服消息获取信任。对于在论坛上活跃、经常提问、下载插件或在个人资料中分享社交关系的用户，可见的信息可能更多。在 MrExcel 这类技术支持社区中，用户经常会透露有关自身工作流程、所处行业或所用工具的线索。因此，攻击者不仅可以利用密码，还可以借助用户行为背景，开展更有针对性的攻击尝试。

与本记录匹配的用户应首先回想自己曾在 MrExcel 论坛使用的旧密码，并更改所有使用相同或相似密码的账户密码。密码更改不应仅限于 MrExcel 账户；还应检查使用同一电子邮箱地址注册的邮箱、社交媒体、云存储、支付、购物、工作工具及其他论坛账户。新密码应足够长、独一无二且随机；仅在旧密码末尾添加一个数字或符号，不应被视为充分的保护措施。邮箱账户应优先处理，因为一旦邮箱被盗用，其他服务的密码重置链接也会面临风险。所有支持双重身份验证的重要账户都应启用这一功能。用户还应警惕以 MrExcel、Excel 文件、宏、发票、支持请求、安全警报或密码重置为主题的可疑消息。不要通过消息中的链接进入登录页面，而应在浏览器中手动输入地址，或使用可信的书签。不要打开来历不明的附件，尤其不要允许 Office 文件中的宏运行。如果旧论坛账户已不再需要，也应考虑关闭账户或减少个人资料中的信息。

MrExcel 事件表明，即使过去多年，旧论坛账户仍可能影响安全。从长远来看，每位用户都应使用密码管理器管理所有账户的密码，包括论坛账户，并彻底避免重复使用密码。可以优先使用密码管理器中的检查工具，定期检查是否在不同服务中使用了相同密码。使用工作邮箱注册的个人论坛账户也应与工作账户分开；如果工作账户和个人账户使用相同的密码或账户找回方式，风险可能延伸到企业环境。关键账户应优先采用安全性更高的第二认证因素，例如基于应用的身份验证或硬件密钥。对论坛和社区管理员而言，教训也很明确：应定期更新旧论坛软件和插件，将密码哈希算法迁移至现代、计算速度较慢的算法，对管理员账户进行隔离并施加额外保护，且在怀疑发生泄露时不应延迟通知用户。用户则不应在旧论坛个人资料中保留不必要的出生日期、社交链接或职业信息。减少个人资料中的数据，可以降低攻击者在未来泄露事件中能够利用的背景信息量。

与 MrExcel 记录匹配，意味着相关电子邮箱地址出现在2016年12月的论坛账户数据中。用户应先确定自己当时在该论坛使用的密码，再逐一更新过去可能使用过同一密码的所有账户。即使无法回忆起旧密码，也应将同一时期注册的账户视为存在风险，并检查密码管理器中的记录。应检查邮箱账户的近期登录记录、用于找回账户的邮箱地址、转发规则和不认识的设备。如果发现可疑会话，应退出所有设备上的登录，重置密码，并启用双重身份验证。由于出生日期和用户名信息也受到影响，还应检查用于重置密码的安全问题，并使用独特且不易猜测的答案。对于看似涉及 Excel、宏、文件下载或论坛支持的邮件，应格外仔细地检查其中的附件和链接。不应将此次事件视为商店账户或支付信息泄露；但如果论坛密码在其他服务中被重复使用，后果可能超出论坛范围。因此，最恰当的做法是确保旧论坛密码不再用于任何账户，并为重要账户增加一层身份验证。