Poshmark 数据泄露

Poshmark 泄露事件中已确认的数据类型包括电子邮箱地址、姓名信息、用户名、性别信息、地理位置和密码。电子邮箱地址与用户名同时出现，会让攻击者更容易在不同平台上查找该账户。姓名、性别和城市等位置相关数据，可能使冒充客服的消息、伪造的购物通知，以及以配送为借口的诈骗更具迷惑性。

尽管密码受到 bcrypt 哈希保护，风险仍未完全消除。弱密码或重复使用的密码与其他泄露数据结合后，可能被用于尝试接管账户。此外，在 Poshmark 这类社交购物平台上，用户名、个人资料和购物兴趣一旦结合起来，定向钓鱼、虚假销售消息、虚假退货通知，以及与未付款相关的社会工程攻击风险就会增加。

该事件的发生时间记录为2018年5月，并于2019年对外公布。已核实的账户数据集包含36,395,491条用户记录。与事件有关的通知指出，财务信息和实际地址详情未受影响；但用户个人资料、电子邮箱、城市信息、偏好信息和密码哈希等对账户安全至关重要的信息受到了影响。

本页面仅根据可核实的主要账户数据集列出数据类别：电子邮箱地址、性别信息、地理位置、姓名、密码和用户名。未确认适用于每个账户的详细信息，不会列为主要数据字段。这样，用户便能清楚了解自己需要采取哪些账户安全措施，而不必面对不必要或夸大的风险描述。

拥有 Poshmark 账户的买家、卖家、使用社交平台个人资料购物的用户，以及在多个平台上使用同一用户名的人，是主要的风险群体。对于拥有平台账户的卖家，攻击者可能结合用户名、城市、个人资料和电子邮箱，以虚假订单、虚假客服请求或账户验证为借口发送消息。对于买家，以折扣、退货、配送和账户安全为主题的钓鱼企图尤其值得警惕。

在不同购物网站或电子邮箱账户上使用同一密码的人面临更高风险。即使密码哈希的保护强度较高，攻击者仍可能将相同的电子邮箱地址和用户名与其他数据集进行匹配，并据此尝试猜测密码。对于已将社交媒体账户与 Poshmark 个人资料关联的用户，个人资料被匹配以及收到虚假消息的风险可能进一步增加。

所有使用与 Poshmark 相同或相似密码的账户，都应立即更改密码。新密码应独一无二、足够长且随机，并使用密码管理器保存。应优先处理电子邮箱账户、其他购物平台、社交媒体账户，以及存有支付信息的服务。仅对旧密码稍作修改，并不能提供充分保护。

对于支持多因素身份验证的账户，应启用该功能。对于 Poshmark 及类似平台的账户，应检查注册邮箱、会话历史、已关联的社交媒体账户、通知偏好和个人资料。收到以配送、退货、卖家验证、支付问题或账户安全为借口的消息时，应先核查域名，再点击任何链接。如果发现可疑会话或意外收到密码重置通知，应终止会话并重新设置密码。

Poshmark 事件表明，评估购物及社交电商账户的安全时，不应只考虑支付信息，还应考虑个人资料匹配和钓鱼风险。用户应为购物、社交媒体、电子邮箱和金融账户使用不同的密码，并尽可能使用不同的电子邮箱地址。避免在个人资料中留下不必要的个人信息，并定期检查社交账户的关联情况，有助于降低长期风险。

对于拥有卖家账户的个人，品牌名称、城市、用户名和联系渠道可能更容易被他人看到。因此，有必要养成常态化核查的习惯，防范通过客服消息、商品链接和买家沟通发起的钓鱼企图。对企业而言，监测泄露密码，并开展安全培训以防止员工在工作账户上重复使用个人购物账户的密码，可以提供持久保护。

如果账户安全检查中出现 Poshmark 结果，意味着相关电子邮箱地址包含在与2018年 Poshmark 数据泄露事件有关的已核实账户数据集中。这一结果并不意味着您当前的 Poshmark 账户现在已被攻破；但它表明，过去使用的电子邮箱、用户名、个人资料和密码哈希可能曾被滥用。如果其他账户也使用了同一密码，就不应拖延采取措施。

第一步是确保电子邮箱账户安全，然后更新所有使用相同或相似密码的账户。如果出现可疑登录、陌生设备、意外收到的销售消息、虚假客服请求或密码重置通知，应对相关账户开展安全检查。彻底停止重复使用密码、启用多因素身份验证，以及养成核查平台消息中域名的习惯，是针对 Poshmark 检查结果最有效的用户应对措施。