Qraved 2021年数据泄露事件

已确认的数据类型包括电子邮箱地址、姓名、电话号码、出生日期和以 MD5 哈希值形式存储的密码数据。这些字段结合起来，可能让定向钓鱼消息、社会工程攻击尝试和账户匹配活动更具迷惑性。姓名和联系方式本身并不能证明账户已被攻破，但可能帮助攻击者编写看似专门针对真实用户的消息。

密码字段并未被确认为明文密码。不过，MD5 是一种运算速度很快的哈希算法，无法为现代密码存储提供充分保护。如果在其他服务中重复使用相同或相近的密码，猜出的密码就更有可能被用于尝试访问其他服务。出生日期、姓名和电话号码也可能为账户恢复问题、客服请求或定向欺诈提供更多背景信息。

支付卡数据、银行信息、位置历史记录、配送地址、会话 Cookie 和政府签发的身份证件均不属于本事件已核实的数据类型。声称这些信息已经泄露并不准确。用户不应忽视已确认字段带来的真实风险，也不应因未经核实的说法而陷入不必要的恐慌。

这起事件在记录中的发生日期为2021年7月9日，核实范围为984,519个不重复的电子邮箱地址。事件与印度尼西亚的一项餐厅类服务有关。该数据集后来作为更大数据集的一部分再次传播，并不意味着最初的事件发生得更晚，也不意味着那个更大数据集中的每条记录都来自同一项服务。该数字以不重复的电子邮箱标识为依据，不应被理解为与用户、客户或活跃账户一一对应的总数。

已核实的数据类型并不能证明每一行记录都包含完整的个人资料。有些记录可能只包含所列字段中的一部分。此外，关于入侵途径、责任方、受影响技术系统的范围、该机构的应对措施以及数据的获取方式，也没有可靠的详细信息。因此，本页仅陈述已确认的日期、规模、相关服务背景和数据类型。

将密码归类为 MD5 哈希值这一点很重要，因为这并不意味着明文密码已被公开。不过，对于弱密码或重复使用的密码，这仍然会带来实质性风险。实际防护中，应优先保护所有可能使用过相同密码的账户，并谨慎甄别相关电子邮箱收到的非预期邮件。

在电子邮箱、社交、购物、美食、工作或金融服务中重复使用相同或相似密码的人，应优先采取行动。他们不仅应检查 Qraved 账户的密码，还应检查所有使用过相同密码的账户。电子邮箱是许多服务的账户恢复渠道，因此，为邮箱设置高强度且独一无二的密码尤为重要。

姓名、出生日期和电话号码可能让欺诈性的账户恢复消息、配送相关活动、客服对话或优惠通知显得更加可信。攻击者如果知道某人可能是客户，就可能试图制造紧迫感。对于索要密码、一次性验证码、要求批准多因素认证请求或允许远程访问设备的信息，不应仅因其中包含个人信息就认定其正当。

数据中出现的每个人所面临的风险并不相同。匹配结果不能证明某个账户如今仍在使用、密码已被还原，或其他服务已遭访问。但这确实意味着，使用过该服务或提供过联系方式的人，应认真对待密码复用和定向钓鱼风险。

先更改 Qraved 账户的密码，再将其他所有使用过相同或相似密码的账户改为各不相同的密码。优先处理电子邮箱、金融服务、购物账户和社交平台。为每个账户设置较长、随机且互不相同的密码，可以降低一次泄露波及其他无关服务的可能性。

在所有支持多因素认证的服务中启用此功能。如果服务支持，身份验证器应用或安全密钥可以提供比仅通过短信接收验证码更强的保护。查看账户恢复邮件、登录通知和新设备提醒；如发现无法识别的账户活动，请直接通过官方客服渠道处理。

谨慎对待通过电子邮件、电话或聊天收到的配送优惠、密码重置链接、账户验证提示及其他消息。自行打开服务网址，不要点击消息中的链接。正规的客服人员不应索要你的密码、一次性验证码或设备的远程访问权限。

使用密码管理器，可以更方便地为每项服务设置不同的长密码。基于个人信息、姓名、出生日期或简单字符替换生成的旧密码更容易被猜出。避免重复使用密码，是防止早年的泄露在多年后带来新风险的最有效方法之一。

定期检查主要电子邮箱账户的恢复邮箱、绑定电话号码和多因素认证选项。注销不再使用的账户，或减少旧账户中保存的个人信息，也能缩小可被利用的攻击面。仅在必要时提供出生日期和电话号码，有助于减少未来定向欺诈可利用的信息。

留意所用服务的安全通知、陌生登录记录和密码更改提醒。并非每条提醒都是真实的，因此，应直接打开账户，而不是点击消息中的链接。定期检查，有助于管理单次泄露带来的长期影响。

你可以通过可信的数据泄露查询服务，检查某个电子邮箱地址是否出现在这份记录中。匹配结果表示该邮箱地址存在于已核实的数据集中；这并不能证明当前账户已被攻破、每个数据字段都属于你，或任何密码已被还原。应将这一结果视为检查密码和多因素认证保护的提醒。

查询记录时，只需使用电子邮箱地址。不要提供密码、验证码、身份证件或支付信息。如果某条提醒看起来可疑，请自行输入服务网址，直接登录并查看近期账户活动。这种做法有助于防范借已知事件之名实施的钓鱼和假冒客服尝试。