Taobao 据称发生的数据暴露

已核实的数据类别有两种：电子邮箱地址和密码。以明文形式存储的密码风险很高，因为攻击者无需破解哈希值，就能直接尝试使用这些密码。如果用户在电子邮箱、购物、社交媒体或其他服务上重复使用了同一密码，攻击者可能会尝试对这些账户进行撞库攻击。电子邮箱地址与密码的组合还可能让伪造的订单、付款、账户验证或密码重置消息更具迷惑性。由于数据是否来自 Taobao 尚不确定，评估风险时既要考虑部分数据看似真实的迹象，也要考虑其来源的不确定性。

记录中的日期 2012年1月1日并非确切的攻击日期，而是一个年份标记，表示该事件被大致归于 2012年。该数据集涉及 21,149,008 条账户记录，电子邮箱地址与密码的配对记录中存在真实用户信息的迹象。受语言、域名和本地服务背景等因素影响，加上难以从受影响者那里获得一致的确认，无法确切认定数据来源。因此，这条记录以“未核实”状态发布：不能简单地将该数据集视为伪造，但也没有证据证明它来自 Taobao 系统。21,149,008 是数据集中的账户数量；由于数据来源和去重方法尚未完全明确，不应将其视为去重后实际涉及人数的精确统计。这并非 2020年的数据抓取事件。

在 2012年前后使用过 Taobao，并在其他服务上重复使用同一密码的人，面临的实际风险最为明确。即使旧账户已关闭或被遗忘，其明文密码也可能在后来被重复用于电子邮箱、购物或社交账户。一直沿用同一个基础密码、仅作小幅修改的人也应保持警惕，因为旧有模式可能帮助攻击者猜出较新的登录凭据。数据来源尚未核实，因此邮箱地址匹配并不能证明该用户一定拥有过 Taobao 账户。该地址可能来自其他服务、合并后的数据集合，或被错误标注的数据源。这种不确定性并不意味着无需采取安全措施，只是无法对数据来自哪家公司作出确定结论。不记得使用过 Taobao 的人，应判断所列密码是否属于自己，以及当时在哪些服务上使用过。

如果你在其他任何地方重复使用过这个旧密码，请立即更改所有受影响账户的密码。优先保护电子邮箱，因为一旦他人能够访问邮箱，就可能重置许多其他服务的密码。为每个账户生成一个足够长且不重复的密码，将其保存在信誉良好的密码管理器中，并尽可能启用多因素认证。如果仍在使用 Taobao 账户，请手动输入官方网址以更改密码，然后检查活跃会话和账户恢复信息。不要点击意外收到的订单、退款、配送、付款或账户验证消息中的链接；应通过官方应用或官方域名核查交易。如果你仍在使用旧密码的轻微变体，应替换所有由同一模式衍生的密码，而不只是替换与旧密码完全相同的密码。即使数据来源不确定，面对已确认的明文密码泄露，仍然需要采取行动。

借助密码管理器，可以方便地为每项服务设置不同的随机密码，避免某个数据集中的明文登录凭据成为进入其他账户的钥匙。保持电子邮箱的多因素认证和新会话提醒处于启用状态，并及时更新账户恢复方式。定期检查旧账户，关闭不再使用的购物和论坛账户，并删除不必要的已保存支付方式。在同一个基础词后添加网站名称或年份来构造密码并不安全，因为攻击者可以推断出这种模式。面对钓鱼消息，应检查实际域名、链接目标地址以及请求是否正常，而不是相信显示的发件人名称。定期检查时，也应留意长期未使用的购物账户和多年未更新的恢复邮箱地址。即使数据集的来源仍不确定，关注已核实的密码泄露，也比将对涉事公司的推测当作事实更有用。

使用 LeakData 查询你的电子邮箱地址，查看它是否与 Taobao 2012 记录或其他已知泄露记录匹配。匹配并不意味着 Taobao 已公开确认该事件，也不意味着该地址一定来自这项服务；它只表示该地址出现在一个被归于 Taobao、但来源尚未核实的数据集中。应对时，既要考虑数据来源的不确定性，也要考虑已发现的明文密码。如果存在匹配，应找出所有使用过该旧密码的账户，并优先保护电子邮箱、金融服务和购物服务账户。如果你认为自己从未拥有过 Taobao 账户，应确认该密码是否属于你，以及是否曾在其他服务上使用，而不要猜测数据来源。持续使用不重复的密码、密码管理器和多因素认证来保护账户。