ShopBack 数据泄露

ShopBack 事件暴露了电子邮箱地址、国家或地理位置数据、姓名、电话号码及密码哈希值。监管调查还确认，新加坡地区的泄露范围包括约300,000个银行账号，以及约380,000人的部分信用卡数据。密码以加盐的 SHA-1 哈希值存储，而非明文。加盐可以减缓攻击，但 SHA-1 并不能保证弱密码的安全。电子邮箱、姓名、电话和国家信息可被用来定制虚假的退款、返现提现或账户验证消息。银行账号和部分银行卡信息不足以直接发起交易，但可能帮助诈骗者取得信任。完整卡号、安全码、返现余额、出生日期、性别及详细购买记录，尚未被确认为此次泄露的结构化数据类别。上述金融信息字段是在地区性调查中得到确认的，不应据此认定全球每条记录都包含这些字段。

事件的起因是2019年6月，一个拥有完整权限的云访问密钥被意外保存到私有源代码仓库中。该密钥虽已从可见文件中移除，但仍留在变更历史记录中，在密钥轮换时也未被完全禁用。约15个月后，即2020年9月9日，攻击者利用该密钥进入云环境，修改安全设置并提取客户记录。ShopBack 在9月17日的例行检查中发现了这次访问；正式记录仍以该日期作为泄露日期，而9月9日则被记录为攻击日期。公司随后删除了该密钥，轮换了访问凭据，并强制所有客户退出登录、重置密码。该数据库于2020年11月12日被挂牌出售。20,529,819这一数字是全球去重后的电子邮箱地址数量；监管调查中超过140万的数字仅涵盖新加坡，不能与全球数字相加。区分两者可以避免将地区数据重复计入全球记录总数。

在2020年之前创建 ShopBack 账户，并提供过电子邮箱、电话号码或国家信息的人，是主要风险群体。凡是在电子邮箱、购物、旅行或金融服务中重复使用 ShopBack 密码的人，账户被接管的风险都更高。新加坡的调查发现了约140万个电子邮箱地址、840,000个姓名、450,000个手机号码、300,000个银行账户和380,000条部分银行卡信息记录；不应假定每个人的记录都包含所有字段。电子邮箱、电话及用户与返现服务的关联，可被用来编造虚假的余额、提现、退款或促销消息。部分金融信息可能让冒充银行或发卡机构的来电显得可信。停止使用账户并不能消除风险，因为联系方式和重复使用的密码可能在多年后仍然有效。各条记录的完整程度不同，因此，仅有电子邮箱匹配结果，并不能证明上述每类数据都在该用户的记录中泄露。

如果你自2020年以来尚未更改 ShopBack 密码，请立即将其更换为足够长且不与其他账户重复的密码。同时更改其他账户上相似的登录凭据，优先处理主要邮箱、购物和金融服务账户。请从应用内或通过自行输入的官方网址进入密码重置页面，不要使用意外收到的消息中的链接。结束活跃会话，核对账户恢复邮箱和电话号码，并在支持的服务中启用多因素身份验证。曾提供银行或银行卡信息的客户应留意账户活动和提醒；若发现不熟悉的交易，应通过金融机构的官方渠道联系核实。对于声称涉及返现、提现、退款或促销活动的消息，切勿按其要求提供密码、一次性验证码、完整卡号或安全码。

使用能为每项服务生成不同登录凭据的密码管理器，可以防止一个旧密码哈希被破解后导致其他账户失守。金融和购物服务的账户恢复依赖电子邮箱，因此，应为邮箱设置最强的密码，并使用抗攻击能力较强的第二重验证方式，例如身份验证器应用或安全密钥。开启银行及银行卡交易通知，即使是小额试探性扣款也应核查，并定期检查账户恢复信息。关闭不再使用的购物账户，避免保留非必填的电话、位置或支付信息。数据泄露监测、登录会话检查和防钓鱼意识有助于提供持久保护。即使多年后收到针对性消息，也应认真对待，因为被盗数据集可能被复制、转售，并与较新的信息结合使用。

使用 LeakData 查询你的电子邮箱地址，查看其是否与 ShopBack 或其他已核实的数据泄露事件中的记录匹配。匹配结果意味着该地址属于正式记录中的20,529,819个去重邮箱地址之一；这并不能证明你属于新加坡约140万人的子集，也不能证明银行账号和部分银行卡信息字段属于你。查看泄露日期和数据类别，回顾哪些账户重复使用了你在2020年使用的密码，并优先处理邮箱账户和涉及资金的账户。切勿在搜索框中输入密码、银行账号或银行卡信息；只需电子邮箱地址即可。持续监测可以提示后来公开或重新流传的数据。即使没有匹配结果，也应继续使用不重复的密码、多因素身份验证和交易提醒。