Qakbot 2023 恶意软件相关数据暴露

已核实的数据类别为电子邮箱地址和密码。如果其他服务使用了相同或相似的密码，密码字段的存在可能增加账户被接管的风险。电子邮箱地址也可能让攻击者更容易筛选目标，实施网络钓鱼、发送虚假安全通知，或冒充客服支持人员。鉴于此次事件涉及恶意软件，用户应结合考虑设备防护与身份保护。

电话号码、实体地址、支付信息、政府签发的身份标识、私人消息、健康信息及其他个人资料字段，均不属于此次已核实的数据类别。也无法据此认定密码以明文形式存储、目前仍在使用、与每个电子邮箱地址一同出现，或涵盖了某个人使用的所有服务。严格依据已核实的范围作出判断十分重要，以免引发不必要的恐慌，或让人产生错误的安全感。

2023年8月的执法行动主要针对 Qakbot 僵尸网络及恶意软件活动的运行环境，旨在扰乱其运作。随后，相关方提供了 6,431,319 个电子邮箱地址，以协助通知受害者。这个数字代表唯一电子邮箱标识的数量，而非另行确认的受害者、人员、设备或用户总数。它无法说明某个地址曾在哪台设备上被发现，也无法说明相关风险持续了多久。

现有证据不足以将此次数据暴露与某个特定公司的域名、客户名单或网站联系起来。因此，不应将其表述为某家公司、某个国家或某家服务提供商的责任。扰乱恶意软件活动，并不能完全排除此前获取的数据被再次利用的可能性。反过来，仅凭匹配结果也不能证明设备上仍有恶意软件，或攻击者目前仍有访问权限。

如果电子邮箱地址与此次暴露的数据匹配，而用户又在多个服务中重复使用密码，或长期未更改旧密码，其面临的风险可能更高。使用工作邮箱的员工、高管、财务团队以及能够访问管理工具的人员，可能成为网络钓鱼或会话接管尝试的目标。对这些群体而言，通过电子邮件收到的非预期的密码重置、文档共享和访问审批请求，尤其需要谨慎对待。

对于使用共享设备或受管理设备的人，风险可能不只涉及单个网络账户。应检查旧的浏览器用户配置、已保存的密码、远程访问工具以及过时的操作系统组件。同时将一个电子邮箱地址用于个人事务和工作的人，应分别评估这两种场景下的警报，并使用已知的官方渠道，而不是消息中收到的链接。

出现匹配结果时，应使用确认未受感染的设备更改重要密码。优先处理电子邮箱、密码管理器、金融服务、工作系统和管理工具的账户，以及用于重置密码的账户。对于曾使用相同或相似密码的每项服务，都应设置各不相同的强密码，结束活跃会话，并在支持的情况下启用多因素身份验证。

使用已更新的安全软件进行扫描，安装操作系统和浏览器更新，并检查不明扩展程序或启动项。如果涉及工作设备，应通知安全团队或信息技术团队，不要自行尝试清除证据。不要打开密码重置或安全警报消息中的链接，而应直接访问相关服务的已知地址。通过另一渠道核实可疑的访问和身份验证通知。

为每项服务使用独立密码并启用多因素身份验证，可以降低重复使用凭据带来的风险。密码管理器可以帮助安全保存长且随机的密码。确保设备上的自动安全更新和定期备份持续启用，并保持恶意软件防护开启且处于最新状态。定期检查浏览器保存的登录数据和不必要的扩展程序。

组织应结合评估设备防护、电子邮件防护和身份验证日志。对于高权限账户，可以采用额外审批、条件访问和异常会话警报。员工应定期学习如何核实安全通知、报告可疑附件，以及避免通过通信渠道分享密码。这些措施也能降低最初的恶意软件活动之后可能出现的冒充行为和信息再次被利用的风险。

电子邮箱地址查询可以显示某个地址是否出现在为协助通知受害者而提供的数据集中。匹配结果不能证明每个人的设备都受到了影响、密码仍在使用、所有字段都出现在同一行记录中，或目前仍存在未经授权的访问。应将结果视为认真检查设备和账户防护的重要提示，而不是完整的技术事件日志。

出现匹配结果后，首先检查电子邮箱的访问情况、账户恢复选项和多因素身份验证方式。随后，消除重要服务中的密码重复使用情况，检查活跃会话，并跟进安全警报。如果涉及受管理设备或工作设备，应向相关团队寻求帮助。即使没有匹配结果，使用独立密码、保持软件更新以及仔细核查通信内容，仍有助于降低与恶意软件相关的风险。