MyFitnessPal 数据泄露

已核实的数据类型包括电子邮件地址、IP 地址、密码和用户名。据报道，密码数据与哈希值相关联，部分账户使用 SHA-1，较新的账户使用 bcrypt。这与明文密码泄露不同，但弱密码或重复使用的密码仍存在风险。电子邮件地址和用户名可用于匹配不同平台上的账户。IP 地址也可能间接反映访问地区及常见会话信息。支付卡信息、每日营养记录、体重信息、运动历史或官方身份识别数据均不在本条记录已核实的数据类型之列；风险主要与账户被接管及密码重复使用有关。

MyFitnessPal 事件中经核实涉及的账户数量为143,606,147个。主要泄露时期应按2018年2月认定，经核实的收录时间为2019年2月，来源最后更新日期为2019年2月21日。根据该公司自身的声明，受影响的信息包括用户名、电子邮件地址和经过哈希处理的密码；经核实的外部账户安全日志中还包含 IP 地址。因此，向用户展示的字段应仅限于电子邮件地址、IP 地址、密码和用户名。MyFitnessPal 是一项营养与运动服务，并不意味着健康日记数据也遭到了泄露。加入未经核实的字段会让用户对风险产生错误认识。

在其他服务上使用与 MyFitnessPal 账户相同的电子邮件地址及相似密码的人群，面临的风险最高。如果在健身、营养、运动应用、社交媒体、电子邮件账户和购物账户中重复使用相同密码，攻击者就可能利用这些信息发起自动化登录尝试攻击。多年未登录旧账户的用户也存在风险，因为被遗忘的密码可能在其他服务中仍然有效。对于使用企业电子邮件地址注册的员工，钓鱼消息可能更具迷惑性。IP 地址与用户名相结合，可被用于定制虚假登录提醒或账户恢复消息。

受影响的用户应首先将 MyFitnessPal 账户密码更改为独一无二的强密码。如果在其他服务中使用了相同或相似的密码，应优先更新电子邮件、社交媒体、云存储、购物、健身应用以及关联支付的账户密码。使用密码管理器为每项服务生成单独的密码，可以降低密码重复使用的风险。对于支持多步验证的账户，应启用该功能。请警惕冒用 MyFitnessPal 或健身应用名义发送的虚假密码重置、奖励、订阅、账单或账户停用消息。点击链接前应手动检查地址，不要打开可疑文件或表单。

从长远来看，健身与生活方式应用应当与主要电子邮件账户及金融账户一样，得到持续、一致的保护。使用同一个电子邮件地址注册多个应用，会使一次泄露的风险扩散到不同服务。用户应定期检查旧账户，为不再使用的服务更改密码，或删除账户。密码管理器可以作为生成随机且唯一密码的主要工具。在企业环境中，制定安全规则，防止员工在个人应用中使用工作电子邮件地址和工作密码十分重要。还应牢记，旧的泄露数据可能在多年后再次出现，不应在新账户中重复使用过去的密码。

当 LeakData 显示 MyFitnessPal 结果时，表示该电子邮件地址包含在2018年的健身与营养服务账户数据集中。这一结果并不能证明用户当前的健康或营养日记已遭泄露；其范围仅限于经核实存在风险的账户标识及密码字段。用户应先检查 MyFitnessPal 账户，再检查同一时期使用的密码，以及用同一电子邮件地址注册的重要账户。应优先检查电子邮件账户、社交媒体、购物和云存储账户。事件主要发生于2018年2月，经核实的收录时间为2019年2月。这一时间线可避免“账户安全”界面将此事件误判为近期事件，并为用户提供正确的处理优先顺序。