波兰凭据

本记录中发现的数据类型为电子邮件地址和密码。由于密码可能以明文形式与电子邮件地址配对出现，账户被接管的风险较高。未经核实的支付卡、银行账户、私人消息、健康记录或其他个人资料字段未被加入数据类别列表；仅保留了有依据支持的字段。

每条记录中可能包含密码所用于的网站信息，因此攻击者可以在对应的服务上尝试使用这些密码。仅有电子邮件地址就存在收到骚扰消息的风险；若再结合电话号码、地址、IP、出生日期、密码、旅行计划、部分银行卡数据或设备数据，攻击者就更容易编写针对特定用户的消息。风险评估考虑了这些信息组合后的影响。

经核实，范围为2023年5月的120万个唯一电子邮件地址。已核实的字段予以保留，未确认的字段则被排除。本事件未与名称相似的数据集、同一公司在其他时期发生的事件或错误的行业信息混为一谈。

本记录并非单一公司的数据泄露事件，而是作为可用于多个服务的身份信息集合予以保留。域名、公司名称及行业信息均限定在尽可能精确且准确的范围内。对于存在不确定性的部分，已核实标记或网站字段均据此设置，以免向用户呈现含糊不清的品牌责任归属。

可能面临风险的用户包括使用波兰电子邮件地址，并在多个网站重复使用同一密码的人。查询结果匹配的用户还应评估相关服务之外的其他账户，尤其是使用同一电子邮件地址、电话号码、用户名或相同密码模式的账户。

用户可能不知道具体哪项服务受到了影响，因此，所有重复使用的密码都应被视为存在风险。如果记录涉及企业邮箱、教育账户、酒店预订、电信服务订阅、游戏社区、开源捐赠或跟踪软件等背景信息，社会工程攻击的风险可能会增加。细节看起来正确，本身并不意味着可信。

受影响的用户应立即为所有使用相同或相似密码的账户设置各不相同的密码。对于包含密码字段的记录，应更换所有使用同一密码的账户密码；对于不含密码字段的记录，则应重点关注电子邮件、电话号码、虚假通知、隐私及身份匹配方面的风险。

不要点击消息中的链接，而应手动输入相关服务的网址，或使用可信密码管理器中保存的条目。对于物流配送、账户提醒、游戏奖励、支持服务、捐赠者通知、旅行预订、安全通知或订阅续费等消息，在通过独立渠道核实之前，不应轻信。

使用密码管理器、为各账户设置不同的密码，以及启用双因素身份验证，是应对此类凭据集合的基本防护措施。用户应定期清理旧账户、不必要的个人资料字段、重复使用的用户名，以及过时的电话号码和地址信息。为每项服务使用不同的密码，并尽可能启用双因素身份验证，应成为基本原则。

对于服务提供商而言，需要落实数据最小化、加强密码保护、监控访问日志、删除不必要的数据区域，并预先准备好用户通知流程。服务应通过基于风险的访问控制和速率限制，防范批量尝试密码的攻击。准确说明涉及范围也是安全工作的一部分；夸大或不完整的信息可能误导用户，使其采取错误的行动。

用户应先使用自己的电子邮件地址在本记录中进行核查。如果发现匹配，应假定攻击者可能会在不同服务上尝试使用这些电子邮件地址与密码组合，并停止使用所有重复使用的密码。未发现匹配并不能完全排除使用其他电子邮件地址或曾经重复使用密码的情况；重要账户也应一并检查。

本记录已经核实，并保留了敏感标记；它未被描述为单一公司的数据泄露事件。在此次调整中，数据字段保留为英文规范类别名称，面向用户的描述以土耳其语原创撰写，未添加未经核实的字段，并且仅在风险背景提供依据时才使用敏感标记。