Tokopedia 数据泄露

此次事件中，电子邮箱地址、全名、性别和出生日期等身份信息与密码哈希值一同泄露。电子邮箱地址与全名的组合，会让伪造的促销、订单、退货、配送或店铺账户消息更具可信度。出生日期和性别信息则有助于攻击者编写针对个人的消息。尽管密码哈希值受到 SHA2-384 的保护，但如果用户在不同服务中重复使用同一密码，攻击者可能会在其他网站尝试使用破解或猜测出的密码。因此，不应认为风险仅限于 Tokopedia 账户；使用同一电子邮箱地址的其他购物、支付、社交媒体和电子邮箱账户也应纳入考虑。

记录中的泄露日期为2020年4月17日，首次收录日期为2020年5月2日，更新日期为2020年7月17日。LeakData 采用的主要统计范围为 71,443,698 个唯一电子邮箱地址。部分报道提到，最初的文件包含 1500万行数据，随后又声称原始记录约有 9100万条；由于重复行、字段缺失或非电子邮箱记录等原因，这些数字可能与唯一电子邮箱地址的统计范围不同。本页面向用户展示的是唯一电子邮箱地址的统计范围，这一口径对查询结果具有实际意义。已核实的数据类别仅限于出生日期、电子邮箱地址、性别、姓名和密码哈希值；支付工具数据不在此次查询范围内。

在2020年之前开通 Tokopedia 账户、使用过购物或卖家服务、在其他服务中使用同一电子邮箱地址并重复使用密码的人，面临的风险最高。使用印度尼西亚电商服务的用户，应更加谨慎地对待有关订单状态、退货、付款确认、账户验证和促销优惠券的消息。对于卖家账户用户，客户消息、店铺管理后台、付款通知和虚假客服请求可能带来更高风险。如果同一电子邮箱地址还用于银行、快递、社交媒体或工作账户，攻击者就可能结合这些信息尝试访问账户，并实施有针对性的网络钓鱼。

应立即更改 Tokopedia 账户及任何使用相同密码注册的其他账户的密码。每个账户都应优先使用独一无二、足够长且随机生成的密码，使用密码管理器，并为重要账户启用多因素身份验证。应仔细检查有关订单、配送、折扣、退货、账户锁定或付款验证的电子邮件。不要点击消息中的链接，而应手动输入官方域名，也不要通过电话或消息向任何人透露一次性验证码。卖家账户用户还应检查店铺管理后台的登录会话、已授权设备和付款设置。如果收到可疑登录通知，应结束登录会话，并通过可信渠道启动密码重置流程。

电商安全事件中的持续风险，源于客户资料与密码列表、钓鱼消息被结合使用。用户应定期检查旧的购物平台账户，关闭不再使用的账户，减少营销授权，并为使用同一电子邮箱地址注册的重要账户启用额外验证。从机构角度来看，应尽量减少客户数据的留存，采用强度高且保持更新的密码哈希算法，使用盐值及额外的保护措施，并通过预警系统监测异常导出和大批量查询。向用户发送的通知应表述清晰、注明日期，并明确说明涉及的数据类别，让用户知道需要检查哪些账户。

你可以在 LeakData 上查询自己的电子邮箱地址，检查其是否与 Tokopedia 数据泄露记录匹配。如果存在匹配，应先处理 Tokopedia 账户，再处理使用同一电子邮箱地址或同一密码的其他账户。除更改密码外，启用多因素身份验证、检查登录会话历史记录以及撤销旧设备的授权也很重要。由于出生日期和姓名信息已泄露，应对包含个人信息的消息保持更高警惕。遇到意料之外的配送、退货、账户验证或促销活动链接时，应自行打开官方网站，再输入个人信息。这些措施可以降低源自2020年的数据如今被用于尝试登录账户、发送虚假购物通知和实施定向诈骗的可能性。