巴西 Serasa Experian（2020）数据泄露
2020年巴西 Serasa Experian 数据泄露事件是一起涉及巴西公民身份信息的大规模个人数据泄露，据报道影响了223,739,215人。事件发生于2020年末，并于2021年1月进入公众视野。该数据集以 Serasa Experian 的名义被提及，这家公司从事征信和数据经纪业务；但目前尚未确切证实事件直接源于该公司的系统。公司表示，没有证据表明其系统遭到入侵；消费者保护机构和安全研究人员则指出，鉴于数据涉及的范围，此事需要认真调查。因此，这条记录应被视为对用户安全构成高风险的数据泄露记录，但其核实程度有限。
暴露的数据类型
4- 姓名
- 出生日期
- 性别
- 政府颁发的身份证件
关于此记录
泄露的数据类型与风险
已核实的数据类别包括姓名、出生日期、性别以及政府签发的身份识别号码。在巴西，CPF 等身份识别号码尤为关键，因为它们是个人办理金融、行政和数字业务时使用的主要身份标识。将这些号码与姓名、出生日期和性别结合，可以形成详细的个人档案，用于身份核验、欺诈和虚假申请。即使尚未核实是否涉及密码或支付卡数据，这类身份数据仍会带来长期风险，因为它们不会随着时间推移而改变。
包含身份识别号码的数据泄露不同于常见的账户密码泄露。密码可以更改，但对大多数人而言，身份识别号码和出生日期是固定不变的。这些信息可被用于欺诈性信贷申请、冒名开户、金融诈骗、社会工程攻击、虚假客服来电以及冒充官方机构等行为。此外，与其他数据集结合后，姓名、出生日期和性别等信息会增加匹配到个人地址、电话号码、收入或社交资料的可能性。因此，即使2020年巴西 Serasa Experian 泄露记录不包含密码，也仍然存在敏感个人数据风险。
已核实的范围与局限
这条记录中已核实的数据范围涉及223,739,215人。数据时间被认定为2020年末，进入公众视野的时间被认定为2021年1月。已核实的主要字段包括姓名、出生日期、性别和身份识别号码。部分新闻报道和研究评估还提到了地址、电话、信用评分、收入、车辆信息及其他个人信息字段；但本记录的数据类别列表仅保留能够在记录层面核实的字段。这是有意采取的做法，目的是避免将未经核实的字段作为确定泄露的数据呈现给用户。
也应明确说明来源认定的局限。该数据集以 Serasa Experian 的名义流传，许多观察者也因数据的性质而将矛头指向这家机构。然而，尚未证实该公司的系统遭到入侵，也未证实数据直接来自其数据库。因此，来源字段应将其标注为未经核实的泄露记录。对用户而言，这一区别并不意味着风险较低。当事件涉及身份识别号码和出生日期等长期不变的信息时，来源存在争议并不是推迟采取防护措施的理由。
面临风险的用户群体
风险最高的群体是巴西境内拥有身份识别号码、信用档案或消费记录的个人。据报道，该数据集可能既包含在世者的记录，也包含已故者的记录；这可能增加涉及继承、家庭、电话线路和金融业务的诈骗风险。在客服热线通话或在线核验过程中，身份识别号码和出生日期仍可能被用作辅助身份标识，因此泄露这些信息可能使攻击者更具优势。以他人名义提交的虚假申请、虚假债务通知或冒充官方机构的消息也可能变得更具迷惑性。
第二类风险群体是其身份信息可通过电子邮箱、电话或地址与其他数据集匹配的个人。即使本数据集中的电子邮箱或电话字段未被列为已确认的数据类别，将姓名和身份识别号码与其他泄露数据结合后，仍可能形成更完整的个人档案。因此，使用金融服务、申请信贷、持有手机号码或使用公共服务的人都应保持警惕。此外，以家人名义发送、围绕付款、债务、包裹、健康或官方通知的消息，也可能借助身份数据来骗取信任。
应立即采取的措施
第一步是更加谨慎地审视意外收到的、包含身份识别号码和个人信息的消息。用户不应轻信涉及信贷、债务、付款、政府补助、税务、银行、电话线路或官方文件的消息。仅凭消息中的姓名、出生日期或身份识别号码准确无误，并不能证明消息可信。对于以金融机构、电信运营商或公共机构名义提出的要求，应通过官方网站或经核实的客服热线等独立渠道进行确认。
第二步是定期监测金融和行政事务中的相关活动。应留意信贷申请、银行通知、电话线路业务以及官方机构的提醒。如果发现可疑申请或交易，应尽快联系相关机构，并在可能的情况下启动正式异议程序。用户不应通过电话透露身份识别号码、出生日期或家庭信息等细节。同时，应加强电子邮箱账户和手机号码的安全防护，并为支持多因素认证的重要账户启用该功能。
长期安全策略
应对此类身份数据泄露的长期策略不能仅限于更改密码。用户应定期检查自己的金融交易、信贷申请和身份核验流程。银行和电信账户应使用强密码、多因素认证及交易通知。设置账户找回问题时，不应优先选择身份识别号码或出生日期等无法更改的信息作为安全验证要素。在条件允许时，应使用额外密码、安全密钥或基于应用的身份认证。
对机构而言，教训更为明确：应按照最小访问权限原则保护包含身份信息的数据集，缩短数据保留期限，并清除不必要的副本。在与服务提供商和数据中介合作时，应定期审计哪些信息存储在何处、保存多久，以及谁曾访问这些信息。用户则应在每次使用要求提供个人信息的新服务时，审慎考虑数据共享，避免填写非必要字段，并尽可能保持通知功能开启。降低长期不变的身份数据所带来的风险，需要持续关注和定期监测。
记录查询与用户应对
在 LeakData 上查询2020年巴西 Serasa Experian 泄露记录，可以帮助你了解自己的信息是否与此次数据泄露有关。如果查询结果显示有关联，首先应更频繁地监测与自己身份识别号码相关的金融交易和行政业务。不要点击意外收到的信贷、债务、电话线路、税务、快递或公用事业相关消息中的链接；应通过独立且可靠的渠道核实其中的要求。不要通过电话或消息透露个人信息。为银行、电子邮箱和移动通信账户使用强密码和多因素认证。
由于此次泄露未涉及密码，仅仅更改密码并不足以应对。主要风险在于，身份数据可能长期被用于欺诈和社会工程攻击。即使多年后，姓名、出生日期、性别和身份识别号码等信息仍可能被用于虚假申请或冒名尝试。因此，保持金融通知开启、及时报告可疑交易、警惕冒充官方机构的消息，以及减少个人数据共享，是长期防护的基础。
