ParkMobile 数据泄露

已验证的数据类别包括电子邮箱地址、姓名、电话号码、车牌号码、bcrypt 密码哈希值、实体地址和车辆详情。只有少部分用户的记录包含实体地址；如果用户曾填写车辆昵称，车辆详情中也会包含该信息。密码并非明文，泄露的是经过加盐处理的 bcrypt 哈希值。bcrypt 会减慢离线猜测密码的速度，但并不能消除弱密码或短密码的风险。将电子邮箱、电话号码、车牌和车辆信息结合起来，可能让伪造的停车罚单、付款、车辆登记或客服消息更具可信度。官方调查称，信用卡数据和停车交易记录未被访问，且该服务未收集社会保障号码、驾驶证号码或出生日期。

ParkMobile 表示，公司于2021年3月发现一起与第三方软件漏洞有关的网络安全事件，并迅速修复了该漏洞。公司于3月26日发布初步通知，聘请外部安全专家，并向执法部门通报。后续调查确认，用户基本信息和密码哈希值遭到访问。约2100万名客户的数据后来被放到犯罪论坛上供人获取，随后被广泛转传；已验证的数据集包含20,949,825条唯一账户记录。密码字段为 bcrypt 哈希值，公司表示采用了哈希和加盐技术来保护密码。独立分析发现，部分记录包含邮寄地址，以及与多辆车关联的车牌信息。

在2021年3月之前通过 ParkMobile 或以城市、运营商品牌提供的白标应用创建账户的用户，均直接受到影响。曾在其他服务中重复使用同一密码、选择短密码或容易猜测的密码，或未为电子邮箱启用多因素身份验证的用户，面临更高的账户被接管风险。车牌和车辆昵称可为伪造的停车罚款、延长停车时间通知或退款消息提供令人信服的背景信息。记录中包含电话号码的用户可能遭遇短信或语音钓鱼攻击；少数记录中包含邮寄地址的用户，则可能收到欺诈账单或纸质信函。仅凭车牌无法得知车辆的实时位置，停车交易记录也不在被访问的数据之列。即使记录中没有姓名或地址，其他已验证的字段仍可能已经泄露。

如果您曾在其他服务中重复使用2021年用于 ParkMobile 的密码，请立即更改那些账户的密码。为每项服务生成一个足够长且独一无二的密码，将其保存在信誉良好的密码管理器中，并启用多因素身份验证，尤其要保护好电子邮箱。如果 ParkMobile 账户仍在使用，请通过官方应用或官方域名核查当前的登录方式和账户恢复信息；不要通过消息中的链接登录。对于意外收到的停车罚款、延长停车时间请求、车辆验证提示、车牌更新或退款通知，请在应用内核实。尽管本次事件中信用卡数据未被访问，犯罪分子仍可能借此将用户引向虚假付款页面；在未经独立核实的情况下，不要提供安全码或密码。如果发现可疑访问，请结束仍然有效的登录会话，并更换按同一模式生成的密码。

为每项在线服务使用不同的密码，可以防止一个被破解的 bcrypt 哈希值成为解锁其他无关账户的钥匙。密码管理器让使用长随机密码变得切实可行，而多因素身份验证则能防止仅凭泄露的密码就完成登录。及时更新电子邮箱的恢复选项，启用新登录会话提醒，并检查不熟悉的邮件转发规则。从出行服务账户中删除不再使用的车辆、旧车牌和过时的联系信息，并注销不再需要的账户。停车和交通服务应维护第三方组件清单、跟踪补丁并限制访问，同时监控大批量数据导出和异常查询。密码系统应为每位用户使用唯一的盐值，设置适当的计算成本参数，并制定随硬件性能提升而重新计算哈希值的策略。

通过 LeakData 查询您的电子邮箱地址，了解它是否与 ParkMobile 记录或其他已知泄露事件中的记录匹配。匹配并不意味着您的信用卡信息或停车记录遭到泄露；它仅表明该邮箱地址出现在已验证的账户数据集中。请根据列出的七类数据采取应对措施，不要推断官方调查已排除的字段也遭到泄露。如果查询结果匹配，请确认2021年使用的密码是否曾在其他服务中重复使用，并优先保护电子邮箱及与支付相关联的账户。检查近期收到的停车、车牌、退款和罚款消息，并直接打开官方应用，而不是点击消息内嵌的链接。持续使用独一无二的密码和多因素身份验证，并对可疑付款链接进行独立核实，将这些做法作为长期防护措施。