YouNow 数据泄露

已核实暴露的数据类型包括邮箱地址、IP 地址、姓名、用户名和社交媒体个人资料链接。出售帖声称包含约4000万行账户记录，而可靠的数据索引确认了18,241,518个不重复邮箱地址。许多数据行不含邮箱地址，因此这两个数字的统计口径不同，不能相加，也不应将这些记录说成涉及4000万名不同的人。YouNow 通过社交登录服务提供商验证用户身份，并表示此次事件的数据集中不含任何密码。社交媒体个人资料链接可以将某人的 YouNow 身份与其在其他平台上的身份联系起来，姓名和用户名则可被用于有针对性的身份冒充。邮箱地址可被用于网络钓鱼和查找相关账户，IP 地址则可提供大致所在地区及网络连接背景信息。社交登录服务提供商的账户密码、访问令牌、私信、支付信息和直播内容均不属于此次已核实暴露的数据类型；将它们列入会超出现有证据所能支持的范围。

2019年2月14日，与 YouNow 关联的账户数据和其他大型数据库一同出现在出售帖中。本记录中的2月15日是目录中的参考日期；现有证据无法确定数据被提取的具体日期。出售帖声称包含4000万行记录，但由于部分记录没有邮箱地址，经核实的不重复邮箱地址数量较低。有说法认为多个网站可能存在共同的数据库安全弱点，但并未证实 YouNow 存在 PostgreSQL 漏洞、应用程序缺陷或配置错误。不应据此推断数据是如何被获取的。“数据库泄露”描述的是账户信息以批量数据库形式传播的情况；使用社交账户登录并不意味着身份提供商遭到了入侵。数据中没有密码，并不代表这些数据无害，但不能将此次事件描述为密码泄露。

在2019年2月之前使用过 YouNow，并关联了邮箱、姓名、用户名或社交媒体个人资料的用户，是主要的风险群体。在多个平台重复使用同一个用户名，会让他人更容易关联个人资料，并通过冒充身份针对某个人。邮箱地址可被用于发送虚假的安全提醒、直播邀请、版权通知、验证消息或账户恢复消息。IP 地址不是家庭住址，但大致位置、网络服务提供商或连接时间段等背景信息，可以让消息显得可信。由于数据中不含密码，查到匹配项并不能证明攻击者能够登录社交账户或接管 YouNow 账户。社交媒体个人资料链接也不意味着访问令牌已经泄露。数据暴露、跨平台身份关联、网络钓鱼和已确认的账户滥用是不同的风险，不应混为一谈。

如果查到匹配项，请加强用于登录 YouNow 的社交平台账户的安全防护，并保护关联的邮箱账户。启用多因素身份验证，检查账户恢复信息，终止您不熟悉的登录会话，并移除不再使用的已关联应用。对于声称来自 YouNow 或社交网络客服的消息，应检查发件人的真实域名和链接指向的地址；请直接打开应用或自行输入网址，而不要通过消息中的链接登录。由于尚未核实存在密码泄露，不应仅凭这条记录就认定您在社交登录服务提供商处的账户密码已经泄露。不过，仍应将重复使用的密码更换为各不相同的密码，因为这些密码可能出现在其他泄露事件中。如果发现冒充您的个人资料、未经授权的直播、陌生应用或意料之外的账户恢复设置变更，请保留证据、结束会话，并通过官方客服渠道报告。

社交账户登录很方便，但一个服务提供商也可能成为多个账户的入口。为主要邮箱和社交账户分别设置独一无二的密码，将密码保存在密码管理器中，并使用身份验证应用或硬件安全密钥启用多因素身份验证。定期检查已关联应用的权限，移除不再使用的服务，不要授予应用并不需要的个人资料访问权限。在多个平台使用同一个用户名，会让身份关联变得更容易；可以考虑为公开的直播身份和私人账户使用不同的用户名或邮箱别名。减少个人资料中不必要的位置、联系信息和跨平台链接。不要以为删除应用就等于关闭账户；应使用账户关闭和数据删除选项。请在服务内部确认安全通知，而不是通过邮件链接查看，并继续定期检查数据是否暴露。

查到邮箱匹配项，意味着该邮箱出现在与 YouNow 关联、包含18,241,518个不重复邮箱地址的数据集中。这并不能证明出售帖所称的4000万行记录对应不同用户，也不能证明账户尚未关闭、密码曾被暴露，或社交登录服务提供商遭到了入侵。如果查到匹配项，请检查用于登录的社交账户中的会话、已关联应用和账户恢复设置，并留意针对您的邮箱或用户名发送的虚假 YouNow 通知。未查到匹配项也不能绝对保证安全，因为您可能使用过其他邮箱、只出现在不含邮箱地址的记录中，或遭遇过其他泄露事件。查询服务只覆盖已建立索引的数据集。应明确保留数据中不含密码这一事实，也不要将社交媒体个人资料链接描述为访问令牌。对于可疑消息，应综合判断发件人域名、链接指向的地址、是否催促您采取行动，以及是否索要密码或验证码。