piZap 2017年数据泄露事件

已核实的数据类型包括电子邮箱地址、性别信息、地理位置、姓名、密码、社交媒体个人资料、用户名和网站活动记录。这些信息组合在一起，不仅能帮助攻击者尝试密码，还能用于编写看起来更有针对性的钓鱼消息。照片编辑服务中的个人资料、社交媒体链接和用户名等字段，使攻击者更容易将用户在网上的不同身份关联起来。

就账户安全而言，密码字段是最关键的部分。SHA-1 哈希并不被视为安全性较强的密码存储标准；弱密码或重复使用的密码具有可预测性。如果电子邮箱、社交媒体、购物、游戏或云服务账户也使用同一密码，风险就会大幅增加。对于这起事件，不应将支付卡、官方身份证件号码或私人消息内容列入已核实的数据类型。风险评估应以登录凭据、个人资料信息以及遭遇定向社会工程攻击的可能性为依据。

该事件被认为发生于2017年12月7日，已核实的记录添加日期为2019年7月16日。范围限于41,817,893个不重复的账户。数据后来与其他泄露数据合集一同出售，使这起事件被发现和受到关注的过程延续了更长时间；因此，用户可能在泄露发生多年后才看到相关结果。这并不意味着数据刚刚泄露，而是意味着一起旧事件后来得到了核实并进入公众视野。

已核实的域名为 pizap.com。由于无法可靠、一致地核实公司所属国家，国家字段保持为空。该记录处于已核实状态，敏感数据标记未启用，因为已核实的字段不属于金融信息或官方身份信息等特殊类别。尽管如此，社交媒体个人资料、地理位置和密码数据相互结合，仍会带来较高的账户被接管和定向诈骗风险。

风险最高的是在其他服务上也使用 piZap 账户密码的用户。一个旧照片编辑账户可能看似无关紧要；但如果同一密码仍能用于更重要的账户，攻击者就可能利用这些信息。对于通过社交媒体个人资料登录的用户，个人资料链接可能让攻击者更容易关联其在不同平台上的身份。

在创作、社交媒体内容发布或网络社区中使用同一用户名的用户，更容易收到定向消息。攻击者可能利用用户名与电子邮箱的对应关系，或以虚假的账户安全提醒、照片访问通知、社交媒体关联验证、密码更新等为主题发送消息。如果有用户使用企业电子邮箱注册，攻击者也可能尝试用同一密码登录业务系统。

第一步是检查可能曾用于 piZap 账户的旧密码是否也用于其他账户。如果任何服务上仍在使用相同或相似的密码，应立即将其改为独一无二的强密码。应优先处理电子邮箱、社交媒体、云存储、支付和工作账户。使用密码管理器可以降低重复使用密码的风险。

所有支持多因素认证的重要账户都应启用该功能。如果曾登录过社交媒体账户，还应检查已关联的应用和第三方权限。应结束不明的活跃会话，仔细核查意料之外的密码重置消息，不要直接点击可疑链接。用户还应警惕以 piZap 或照片编辑为主题的虚假消息。

从长远来看，必须彻底杜绝重复使用密码。以往泄露事件中的密码哈希值，即使在多年后也可能被破解，或与其他数据集结合使用。因此，仅更改一次密码并不足够；为每项服务设置独一无二的密码，并定期检查登录会话，应成为长期习惯。对于重要账户，如果支持通行密钥或硬件安全密钥，应优先选择这些方式。

社交媒体链接和用户名也应纳入安全计划。用户应定期检查自己在旧账户上分享了哪些信息、哪些服务关联了自己的社交媒体账户，以及向哪些应用授予了权限。当个人资料信息、电子邮箱和密码数据一起泄露时，攻击者更容易编写具有说服力的消息；因此，安全措施不应仅限于更改密码。

在 LeakData 上看到 piZap 相关结果的用户，应先尝试回忆当时用于这项服务的电子邮箱地址、用户名和密码。需要确认其他账户是否使用了同一密码，并消除所有密码重复使用的情况。如果当时通过社交媒体登录，还应分别检查关联账户的权限和第三方应用的访问权限。

最妥当的做法是从电子邮箱账户开始，为所有重要账户设置独一无二的密码，启用多因素认证，并结束无法识别的登录会话。用户还可以查看同一电子邮箱地址在其他泄露事件中涉及哪些数据类型，以便更准确地评估整体风险。这样既有助于理解为何旧照片编辑平台的数据泄露至今仍可能带来安全风险，也便于采取相应措施。