Rush My Passport 2020年数据泄露事件

由于涉及护照申请和证件服务，Rush My Passport 记录中的字段具有较高的敏感性。电子邮箱地址和电话号码可让攻击者直接锁定用户；姓名和出生日期可能被滥用于身份验证问题；地址则可能让虚假的证件配送、预约更新、快递指引或申请完成通知显得更可信。当这些字段同时存在时，攻击者不仅可能据此编写常见的钓鱼消息，还可能营造出用户正在办理真实证件业务的假象。

本案最重要的风险在于，护照服务这一背景可能促使用户仓促作出决定。攻击者可以以材料缺失、配送延误、预约变更、申请费用、身份验证或地址确认为由发送虚假链接。如果消息中包含真实姓名、电话号码或地址，用户可能更容易将其视为真实消息。因此，Rush My Passport 用户应通过自己熟悉的官方域名或此前使用过的可信沟通渠道核查收到的邮件和短信，而不是直接点击其中的链接。

对用户而言，首要任务是更谨慎地处理通过电子邮件和电话收到的验证请求。如果同一个电子邮箱地址还用于金融、旅行、政务、货运或医疗账户，这些注册信息也可能被用于发送涉及不同服务领域的社会工程攻击消息。不应在通话中透露出生日期、地址、证件状态或付款信息。即使对方似乎已经掌握了个人信息，正规机构也不应在用户未预期的来电中要求提供完整身份信息或付款指示。

对组织而言，这份记录表明，员工在个人证件和旅行服务中使用的联系信息也可能影响企业安全。当员工的姓名、电话号码、出生日期和地址在外部服务中暴露时，攻击者可以编写类似人力资源、签证、差旅、寄送或费用报销等内部流程的消息。安全团队评估此类事件时，不应只将其视为密码泄露，还应考虑身份验证和社会工程攻击风险。

经过此次最新修正，Rush My Passport 数据泄露记录已限定为电子邮箱地址、姓名、出生日期、地址和电话号码这些字段。明确这一范围对于避免误导用户十分重要：除非有明确依据，否则不应将护照号码、证件图像或支付卡信息加入记录。对用户而言，最恰当的防护方式是通过独立渠道核实看似来自证件服务或快递服务的消息，以及涉及预约、地址验证或付款请求的消息，为电子邮箱账户启用多因素身份验证，并且不要通过电话透露登录凭据。

此次对记录的修正对于明确数据字段名称尤为重要。用户面临的风险并非来自护照号码这类范围较窄的证件字段，而是来自能够让申请和配送流程显得可信的身份及联系方式信息。姓名、出生日期、地址、电话号码和电子邮箱地址结合使用时，可能使虚假的证件办理预约、配送确认或申请完成消息看起来更可靠。因此，用户应在点击链接前手动核查域名，避免在接到的电话或收到的消息中核验个人信息，并进一步保护电子邮箱访问安全，以保障账户安全。

本页面已更新，以便搜索 Rush My Passport 数据泄露事件的用户能够准确了解哪些信息可能面临风险，而不会夸大风险。数据类别仅限于电子邮箱地址、姓名信息、出生日期、地址和电话号码。保持这一界限有助于正确安排安全警示的优先级：在更改密码之前，用户应先关注网络钓鱼、虚假快递通知、证件服务欺诈，以及通过电话索取信息的企图。