TheGradCafe 数据泄露

将用户名、电子邮箱、姓名和位置信息结合起来，就可能把用户在网络社区中的身份与其现实身份关联起来。如果用户重复使用密码，经哈希处理的密码字段也会给其他账户带来风险。IP 地址和实际地址等字段会让用户的上网行为及其所在地信息更容易被掌握。

当姓名、电子邮箱、电话或地址等字段汇集在一起时，攻击者可以假装与用户存在合法的服务关系，与其取得联系。这些信息本身并不能证明账户已被接管，但能为伪造客服消息、配送通知、尝试重置密码以及设计个性化诈骗流程提供有力的切入点。由于这些信息与注册、培训和申请流程有关，伪造的大学来信、录取咨询、申请费通知、奖学金通知或账户验证消息可能更具迷惑性。并非每条记录都一定包含电话号码和实际地址，但部分记录可能包含这些字段。

事件日期为2023年2月26日，记录中的受影响账户数量为310,975。安全日志表明，TheGradCafe 用户的个人数据遭到暴露，密码采用 bcrypt 进行哈希处理，部分记录还可能包含电话号码、实际地址和出生日期等额外字段。已记录的数据类别与主要风险领域相吻合。

在说明事件范围时，不应将密码描述为明文密码。如果用户重复使用密码，即使密码经过哈希处理，仍然存在风险。此外，该记录并不意味着所有申请结果或私信都已泄露；应从用户账户、个人资料和通信信息的范围来评估此次事件。

面临风险的用户包括在研究生申请过程中创建过 TheGradCafe 账户、分享过申请经历，或曾以用户名在论坛等区域出现的人。在其他学术平台使用相同用户名的用户，其身份更容易被关联起来。

处于申请期的用户可能更容易相信涉及奖学金、录取、签证、咨询或申请费等敏感主题的消息。如果将地理位置和 IP 信息与当地学校或所在国家的背景结合起来，针对性消息可能显得更加真实。

匹配到此记录的用户应更改 TheGradCafe 账户密码，并更改所有使用相同密码的账户的密码。应优先检查电子邮箱账户、大学申请门户以及用于付款的教育平台。在条件允许的情况下，应启用双重身份验证。

用户不应直接打开收到的链接，而应通过相关服务的已知网址或应用程序登录。来电者知道用户的姓名、电子邮箱、地址或过往交易信息，并不能证明其可信。在任何客服沟通中，都不应透露一次性验证码、支付卡信息或账户密码。

从长期来看，使用密码管理器、为各账户设置独立密码、在支持的账户上启用双重身份验证，以及养成删除账户中不必要个人信息的习惯，都有助于降低风险。在不同平台上重复使用同一个电子邮箱地址，会让不同泄露事件中的数据更容易被关联起来；因此，可以考虑为重要账户使用单独的电子邮箱或别名地址。

学术社区中的用户名容易与真实身份关联，因此用户应减少在论坛个人资料中分享不必要的个人信息。应关闭不再使用的旧申请账户，避免在安全问题中使用容易被猜到的个人信息，并为申请门户设置独立密码。

LeakData 查询会显示所查询的电子邮箱地址是否出现在此记录中。查到匹配记录，并不一定意味着所有数据字段都已确定属于该用户；但这已足以作为采取预防措施的警示。未查到匹配记录，仅表示该数据集中没有匹配项，并不能排除该邮箱出现在其他泄露事件中的可能性。

查到匹配记录时，应提高警惕，尤其要谨慎对待与教育申请和账户安全有关的消息。未查到匹配记录，意味着此记录中没有匹配项；还应另行检查同一电子邮箱地址是否出现在其他教育平台上。