R2（2017年论坛数据泄露）

本记录中涉及的数据类型包括电子邮箱地址、密码、用户名和网站活动。经评估，密码以未加盐的 MD5 哈希值形式存储，这种保护方式较弱。数据类别列表未纳入未经核实的支付卡、银行账户、私信、健康记录或其他个人资料字段，仅保留了有依据的字段。

网站活动和用户名可将玩家在社区中的行为与其电子邮箱地址关联起来。电子邮箱地址本身就存在被用于发送垃圾邮件的风险；若再与电话号码、地址、IP、出生日期、密码、官方身份证件、客服记录、车辆信息或实际住址相结合，攻击者就更容易生成针对特定用户的消息。风险评估依据的正是这种信息组合效应。

本记录的范围仅限于2017年初的 R2 Games 论坛事件。已确认的部分予以保留，未确认的部分则被排除。本事件未与名称相似的数据集、同一公司不同时期的事件或错误的行业信息合并。

同一域名下规模更大的2015年 R2Games 记录未与本记录合并。域名、公司名称和行业信息均尽可能限定在最小且准确的范围内。对于存在不确定性的部分，验证状态标记或网站字段已作相应设置，因此没有向用户呈现尚不确定的品牌责任归属。

2017年这一时期可能面临风险的用户群体包括拥有 R2 Games 论坛账户的玩家，以及在不同游戏中使用相同用户名的人。如果用户信息与本记录匹配，还应评估在该服务之外使用相同电子邮箱、电话号码、用户名或密码模式的其他账户。

如果旧论坛密码被重复用于游戏商店或电子邮箱账户，风险就会延伸到当前使用的账户。若涉及企业邮箱、游戏论坛、摩托车客户登记、购物中心应用、客服请求、租赁账户、营销名单或恶意软件等情境，社会工程攻击风险可能会增加。个别细节看似正确，并不意味着消息可信。

受影响的用户应修改 R2 Games 论坛密码，并修改其他使用相同密码的账户密码。对于包含密码字段的记录，所有使用相同密码的账户都应更新密码；对于不包含密码字段的记录，则应重点关注电子邮箱、电话号码、虚假通知、隐私和身份关联方面的风险。

不要点击消息中的链接，而应手动输入相关服务的网址，或使用可信密码管理器中保存的记录。对于发票、账户警告、游戏奖励、客服支持、物流配送、客户服务、维护预约、公共通知或订阅续费消息，在通过独立渠道核实之前，不应轻信。

使用游戏论坛时，应设置独一无二的密码、单独的用户名，并养成启用两步验证的习惯。用户应定期清理旧账户、不必要的个人资料字段、重复使用的用户名，以及过时的电话号码和地址信息。为每项服务设置不同的密码，并尽可能启用两步验证，应成为基本原则。

服务提供商则需要尽量减少数据收集和保留、加强密码保护、监控访问日志、删除不必要的字段，并准备好用户通知流程。同一域名下的不同事件应分别向用户说明各自的范围。准确说明影响范围也是安全工作的一部分；夸大或不完整的信息可能误导用户，使其采取错误的措施。

用户应先使用自己的电子邮箱地址在本记录中进行核查。如果找到匹配项，就应视为网站活动、用户名和采用弱保护方式的密码哈希值可能面临风险。未找到匹配项，也不能完全排除曾使用其他电子邮箱地址或重复使用旧密码的情况；重要账户同样应接受检查。

本记录仍标记为已验证，未与2015年的 R2Games 记录重复。在此次整理中，数据字段保留了英文规范类别名称，面向用户的描述以土耳其语原创撰写，未加入未经核实的字段，且仅在风险情境支持的情况下使用敏感性标记。