QuestionPro 数据泄露

已核实的数据类型包括电子邮件地址、IP 地址、浏览器用户代理详情和问卷调查结果。调查结果泄露的影响取决于问卷内容：普通的产品反馈可能风险有限，而能够识别受访者身份或揭示其私人偏好的回答，则可能被用于更有针对性的诈骗。密码、支付卡和政府签发的身份证件并非本记录中已核实的数据类型，不应假定这些信息已泄露。将电子邮件地址、IP 地址和浏览器详情结合起来，可以帮助攻击者编写看似可信的研究邀请、虚假奖励通知和个性化钓鱼消息。

本记录所列的2022年5月21日，是自称获取了该数据集的人声称下载数据的日期；QuestionPro 未公开确认这一确切日期，也未公开确认获取数据的技术手段。该事件最初浮出水面时，有人声称涉及约100 GB的数据和超过2200万个不重复的电子邮件地址。QuestionPro 确认曾有人试图向其勒索，并表示正在与执法机构共同调查，但其最初的声明并未确认发生了数据泄露。因此，该数据集最初被标记为“尚不确定”。后来，收到通知的人确认了其中的个人信息及其与 QuestionPro 的关联，为将该记录改为“已核实”状态提供了依据。22,229,637是数据集中不重复的电子邮件地址数量；由于部分地址似乎由平台生成，不应将这一数字视为去重后实际人数的精确统计。对数据集的核实支持其与该服务有关联，但不代表公司已公开承认发生了泄露。

该数据集可能不仅包含直接持有 QuestionPro 账户的用户，还包含通过该平台填写其他组织所开展问卷的受访者。这一区别很重要：仅凭地址匹配，并不能证明当事人是付费客户或平台管理员。研究参与者、填写员工敬业度调查的员工、完成客户体验问卷的客户、收到市场研究邀请的人以及提交表单的人都应保持警惕。使用企业邮箱的人可能成为虚假员工调查或冒充其所属组织的消息的目标。公开元数据并未对每份回答的具体内容进行分类，因此不应假定每条记录都包含健康、财务或其他敏感回答。

在打开意外收到的问卷、奖励或研究邀请中的链接前，请先核实发件人。如果消息声称来自雇主、客户或研究机构，请通过该组织的官方网站或已知联系人确认，而不是依赖消息中提供的信息。为邮箱启用多因素身份验证，并检查活动会话和转发规则。密码并非本事件中已核实的数据类型，因此仅凭这条记录不能证明所有密码都已泄露；但如果您曾在可疑表单中输入密码，或发现不熟悉的会话，应立即更改密码。如果问卷要求您付款、提供安全码或安装远程访问软件，请停止操作。企业用户应向安全团队报告虚假员工调查和异常的数据收集请求。

创建问卷的组织应避免收集不必要的个人信息字段，尽可能提供匿名或化名作答选项，并在规定的保留期限结束后删除结果。邀请应使用可核实的发件人域名，提供清晰的隐私声明，并让参与者能够通过独立渠道确认请求。管理员账户应强制使用多因素身份验证和基于角色的访问控制，同时应监控大批量导出和异常下载行为。参与者应仅提供问卷所必需的信息，避免在自由文本字段中填写密码、身份证件号码、支付数据或他人信息。组织应使用涉及真实品牌、问卷主题和技术细节的针对性钓鱼示例培训员工。尽量减少数据收集、限制访问权限和缩短保留期限，可以减轻未来任何数据泄露带来的长期影响。

使用 LeakData 查询您的电子邮件地址，看看是否与 QuestionPro 记录或其他已知泄露记录匹配。匹配并不意味着您的密码或支付信息出现在本事件中；它表明该地址存在于一个涉及问卷调查数据和技术使用数据的数据集中。由于部分地址可能由平台生成，不要将查询结果视为实际人数的精确统计，也不要将其视为当事人直接持有 QuestionPro 账户的证据。如果有匹配结果，请检查近期收到的问卷邀请、奖励通知和研究链接，并在打开任何可疑内容前通过官方渠道核实发件人。如果受影响的是企业邮箱地址，请通知安全团队，并检查同事是否收到过类似消息。应持续使用多因素身份验证，并仔细核实链接，作为日常防护措施。