Yam 数据泄露

经核实的数据集包含出生日期、电子邮件地址、姓名、用户名、电话号码、实际住址以及未加盐的 MD5 密码哈希值。没有证据表明明文密码曾被公开发布，但按现代标准，未加盐的 MD5 是一种计算速度快、安全性薄弱的哈希算法。13,258,797这一数字统计的是不重复的电子邮件地址。一些其他泄露列表称记录总数约为1600万，但这一总数并非定义明确的独立账户数量，因此此处不采用该数字。

这起事件涉及台湾门户网站 Yam.com 在2013年6月的用户数据。多年后的2021年，该数据集出现在一个热门黑客论坛上，随后经过检查和核实，并于2021年5月22日被收录到公开的数据泄露目录中。Yam 是一家历史悠久的台湾门户网站，曾提供搜索、新闻、电子邮件、博客、视频和社区服务，因此不应将这条记录归属于名称相似的美国公司，也不应将其仅描述为一款社交媒体应用。最初的入侵方式、被利用的漏洞，以及数据来自哪台服务器或哪份备份，均未披露。将其归类为数据库泄露，是指用户数据库在论坛上被公开发布，并不意味着已确定某种具体的技术攻击途径。事件发生日期与目录收录日期之间相隔八年，并不代表泄露发生于2021年。

风险最高的是2013年前后注册过 Yam 门户、电子邮件、博客或社区服务账户，并在其他服务中重复使用同一密码的人。即使有人已经忘记这个旧账户，或不再使用该服务，仍可能面临风险，因为电子邮件地址、出生日期、电话号码和实际住址不会自动改变。未加盐的 MD5 哈希值被离线破解的风险更高，尤其是对应的密码较短或较为常见时。如果电子邮件账户也使用同一密码，攻击者可能获取其他服务的密码重置链接。住址和出生日期信息可能帮助犯罪分子回答银行或电信服务商设置的、较容易被猜中的身份验证问题。电话号码出现在数据中的用户，应警惕假冒客服、快递及账户安全服务的来电。匹配到记录并不意味着支付卡、银行账户或政府签发的身份识别号码遭到泄露；这些字段不在已核实的数据类型之列。

如果你还记得2013年前后在 Yam 使用的密码，请找出所有仍在使用相同或相似密码的账户。优先处理电子邮件、银行、电信和社交账户，为每项服务设置足够长的独一无二的密码；可信赖的密码管理器有助于减少密码重复使用。在支持的服务上启用基于应用或安全密钥的两步验证，并结束你无法识别的活动会话。检查电子邮件账户的找回手机号、备用邮箱地址、转发规则和已关联的应用。如果有人自称代表 Yam 或其他机构，索要密码、一次性验证码或付款，不要仅仅因为对方知道你的旧地址、出生日期或电话号码就信任对方。请自行输入你已知的机构网址，而不要点击消息中的链接。如果收到登录失败、非预期密码重置或新设备登录警报，请立即更改相关密码，并检查会话历史记录。保留可疑来电和消息的日期、号码及发送者信息。

出生日期和历史住址无法像密码一样轻易更换，因此防护不应只持续最初几周。利用密码管理器的安全报告，定期替换重复使用、安全性薄弱或曾经泄露的密码。将电子邮件账户视为数字身份的核心，使用强密码、两步验证和最新的账户找回选项加以保护。对于涉及出生地、学校或姓氏的安全问题，不要如实作答；如果服务允许，可以设置随机答案。如果你在多个平台重复使用同一用户名，请注意攻击者可能将这些账户关联起来，让钓鱼攻击更具迷惑性。谨慎对待包含旧电话号码或旧地址的消息，因为犯罪分子可能利用过时数据，让你相信双方过去确有联系。关闭不再使用的账户前，先删除个人资料字段、解除应用关联并结束活跃会话。当另一个 Yam 数据集出现时，应比较其日期、字段和独立账户数量，以判断它是新事件，还是2013年数据的另一个副本。

使用2013年前后注册 Yam 时的电子邮件地址，在 LeakData.io 上搜索，查看是否与这条记录匹配。匹配结果表明该地址存在于已核实的数据集中，但并不意味着该用户的记录完整包含所列的全部七类数据。没有搜索结果，也不能证明不存在使用其他地址创建的账户，因此请分别检查以前使用过的个人邮箱地址和工作邮箱地址。切勿因搜索结果而提供密码、密码哈希值、一次性验证码、支付信息或身份证件。如果发现匹配记录，首先停止在其他账户中重复使用旧密码，保护好电子邮件账户，并启用两步验证。在查看新的 Yam 泄露数据统计时，不要将已确认的13,258,797个不重复电子邮件地址，与数据总行数或未经核实的约1600万条记录混为一谈，仿佛它们采用了相同的统计口径。将2013年6月发生的事件与2021年在论坛上的发布区分开来，也有助于准确理解风险时间线。