TheSqua.re 数据泄露
TheSqua.re 数据泄露事件发生于2025年6月，涉及寻找服务式公寓和企业住宿服务的客户的联系信息。该品牌的平台同时提供短期和长期住宿选择，因此，评估泄露字段时，不应仅将其视为一般联系信息，还应考虑其与旅行和住宿需求的关联。已核实的影响范围以107,041个不重复的电子邮箱地址为依据。泄露数据包括电子邮箱地址、姓名、电话号码，以及城市或地理位置字段。没有可靠证据表明密码、支付卡、护照、官方身份证件号码或预订内容属于已核实的泄露范围。
暴露的数据类型
4- 电子邮箱地址
- 地理位置
- 姓名
- 电话号码
关于此次数据泄露
从用户角度看，这起事件的重要之处在于，联系信息与住宿需求相互关联。攻击者可以结合电子邮箱、姓名、电话和城市信息，编造以住宿优惠、预订更新、付款提醒、会员积分通知或客户支持为主题的消息，使其显得可信。数据集中各用户的信息详细程度可能并不相同；部分账户只有基本联系字段，而另一些账户还包含电话和城市信息，便于攻击者进行更有针对性的欺骗。因此，评估风险时，应重点考虑定向诈骗、骚扰电话、虚假客服消息，以及与其他数据集匹配的可能性，而不应仅将其视为密码窃取风险。
泄露的数据类型与风险
已核实的数据类型包括电子邮箱地址、姓名、电话号码，以及地理位置或城市字段。电子邮箱地址可以成为重要线索，用于查找用户是否使用同一地址在其他服务上注册了账户。结合姓名字段，攻击者可以定制消息内容；再加入电话号码，短信、电话和冒充客服的骗局就会更具迷惑性。城市或位置信息可能与用户的旅行偏好、搬迁可能性、出差需求，或在特定地区寻找住宿的行为相关。这些信息组合带来的风险虽然不像单纯的密码泄露那样直观，但对社会工程攻击而言具有重要价值。
由于密码和支付信息的泄露尚未得到核实，用户不应将这起事件误解为支付卡信息泄露。风险的严重性在于联系信息的时效性，以及这些信息所反映的具体需求和背景。在住宿行业，姓名、电话和城市信息可被用于编造以取消预订、押金、提前入住、发票、企业住宿或特别优惠为主题的消息。对于寻找企业住宿的人来说，即使工作邮箱没有与公司名称一同出现，也可能让虚假消息显得与企业业务有关。因此，受影响用户应警惕那些看似与住宿或旅行有关、却包含意料之外链接的消息。
已核实的范围与边界
已确认的泄露日期记录为2025年6月27日，该记录于2025年8月27日被加入综合性数据泄露索引。总体影响规模为107,041个不重复的电子邮箱账户。可靠的数据泄露记录显示，这些数据与 TheSqua.re 客户有关，包含姓名、电话、电子邮箱和城市信息。信息较有限的安全报告显示，这起事件因论坛上的分享而受到关注；部分统计对数据行数和不重复的个人数量给出了不同数字。因此，应以不重复的电子邮箱数量作为主要衡量指标，不应将数据行数与用户数混为一谈。
未纳入范围的内容至少与已纳入的内容同样重要。目前没有经核实的证据表明密码、支付卡、银行账户、护照、官方身份证件或完整预订内容发生了泄露。此外，不应将 TheSqua.re 所在行业其他平台的数据与这起事件合并看待。这起泄露被归类为与服务式公寓搜索和客户沟通流程有关的数据事件。向用户展示的字段应仅限于可核实的数据类型；论坛说法中提及、但缺乏充分独立核实的其他字段，不应被纳入公开披露的范围。
面临风险的用户群体
通过 TheSqua.re 寻找住宿的个人用户、计划搬迁的人、查询异地长期住宿的员工，以及有企业差旅计划的人，是主要风险群体。使用工作邮箱提交需求的用户，可能成为虚假企业住宿优惠或发票主题消息的目标。提供个人电话号码的用户，更容易受到电话和短信诈骗的影响。对于包含城市信息的账户，攻击者可以根据特定地区或旅行需求定制消息；这带来的是更具迷惑性的社会工程攻击风险，而不只是普通垃圾信息。
过去提交的需求也可能带来风险。即使用户多年前曾搜索短期住宿，却未使用服务，其电子邮箱和电话信息仍可能有效。如果同一电子邮箱还用于工作、旅行、购物和金融账户，影响范围尤其可能更广。对于为家人查询预订、代表公司申请住宿，或在不同国家寻找临时住宿的人，这些信息会更加敏感。这类用户今后可能难以区分虚假消息与旅行公司发来的正规消息。
应尽快采取的措施
发现自己受到影响的用户，应先检查 TheSqua.re 账户的会话、联系信息和通知偏好设置。对于使用同一电子邮箱的重要账户，应启用多因素身份验证，优先保护电子邮箱、密码管理器、金融账户和旅行平台账户。虽然本次事件尚未确认存在密码泄露，但如果同一密码长期用于多个服务，仍宜更换。不要直接打开住宿优惠、付款提醒、预订变更或客服主题消息中的链接；应在浏览器中手动输入网址，访问相应服务。
受影响用户不应在意料之外的来电中提供支付信息、身份信息、卡片信息或账户恢复信息。来电者的真实性只能通过独立渠道核实。应注意，提及城市信息的消息可能显得更可信；例如，邮件中提到了用户过去曾搜索住宿的城市，并不意味着该邮件就值得信任。企业用户可以告知公司的差旅或人力资源团队，提醒其防范虚假住宿和发票消息。
长期安全策略
从长期看，为旅行和住宿账户使用单独的电子邮箱地址或邮箱别名，可以减少数据积累。只有在必填字段中才应提供电话号码；预订完成后，如条件允许，应清除不必要的个人资料字段。用户应定期检查旧的住宿、活动和优惠相关账户；对于不再使用的账户，应删除其中的个人信息或关闭账户。这样可以减少今后类似事件中可能暴露的数据量。
企业的差旅和住宿采购流程应采用独立的邮件群组、供应商核验步骤和发票审批控制措施。可以限制员工使用公司邮箱查询个人住宿。在安全培训中，应将包含真实城市和电话信息的虚假住宿消息作为示例场景。个人用户也应养成使用密码管理器、启用安全性较高的多因素身份验证和定期检查信息是否泄露的习惯。这些做法无法完全消除一次数据事件造成的影响，但可以显著降低后续信息遭滥用的可能性。
记录核查与用户应对
如果查询结果显示用户的信息出现在 TheSqua.re 泄露记录中，应将这起事件视为身份与联系信息泄露。第一步是保护电子邮箱账户，然后检查使用同一邮箱的旅行、住宿、金融和购物账户。如果电话号码和城市信息也受到影响，就应更加警惕短信、来电以及针对特定地点的优惠消息。如果用户确实提交过住宿需求或曾查询预订，应意识到这些背景可能被用于编造虚假消息。
结果页面上的匹配记录，并不一定意味着用户的密码或支付卡已被确认泄露。已核实的字段仅限于电子邮箱、姓名、电话和位置层面的信息。尽管如此，这组数据仍可能足以被用于定向诈骗。在删除可疑消息前，用户可以将主题、发件人和链接详情转交给安全团队或相关服务提供商。重要账户应保持通知开启，不时检查会话历史；对于住宿行业相关的意外付款请求，在通过独立渠道核实前，不应接受。
