Zacks (2024) 数据泄露

本事件列出的数据类型包括：电子邮箱地址、IP地址、姓名、密码、电话号码、实体地址和用户名。与投资兴趣相关的账户数据可能被用于伪造投资组合提醒、市场报告或账户验证消息。这些字段同时出现，可能使攻击者更容易编造虚假账户通知、实施欺诈、进行身份匹配，或尝试有针对性的社会工程攻击。

据了解，密码以未加盐的SHA-256哈希值形式存在，这会给弱密码带来显著风险。如果数据中没有密码，风险也不会完全消失；地址、电话号码、出生日期、设备信息、职业资料、会员计划、网络活动或购买信息，也可能足以让用户成为攻击目标。如果数据中包含密码，应立即检查是否在其他服务中重复使用了同一密码。

本记录涵盖与域名zacks.com相关的2024年数据集中的约1199万个不重复的电子邮箱地址。该事件归类为已确认记录。其范围通过比对域名、公司背景、国家、行业、账户数量和数据类别来确定。向用户展示的字段仅限于本记录列出的字段。

本记录与此前的Zacks事件分别记录，并已根据2024年数据集的覆盖范围进行更新。在某些事件中，来自公司的核实可能有限，或者数据集可能已在第三方环境中传播。针对本事件，说明重点放在能够反映用户实际风险的方面，不夸大尚不确定的情况。

Zacks用户、拥有投资研究账户的个人，以及在金融或电子邮箱账户上使用同一密码的用户，都面临风险。这些用户的主要风险在于，泄露字段可能与其他平台上使用的常见信息相匹配。如果在不同账户中重复使用同一电子邮箱、电话号码、用户名、地址、社交资料或密码，攻击面就会扩大。

金融业务背景可能被滥用于虚假报告、投资建议、账户锁定通知、订阅或付款消息。游戏、零售、支付、社交资料、旅行、投资、航空及健康保健等场景会带来不同风险。用户不应只查看域名列表，还应考虑这些域名对应的是哪个账户或哪项服务。

受影响用户应更改密码，并检查金融及电子邮箱账户的登录记录。如果列出的字段包含密码或类似密码的内容，用户应更改所有使用相同或相似密码的账户密码，为各账户设置独立密码，并在条件允许时启用多因素身份验证。电子邮箱账户也应加强保护。

如果数据中包含地址、电话号码、出生日期、设备、业务资料、购买信息或会员计划等字段，用户应检查账户恢复选项、会话记录、转发规则和可疑消息。对于在金融、支付或航空业务场景中收到的验证或文件提交请求，应通过另一渠道确认。

投资和金融账户应始终使用独立密码，并启用多因素身份验证和交易提醒。从长期来看，使用密码管理器、为各账户设置独立密码、启用多因素身份验证、关闭旧账户，以及删除不必要的个人资料字段，都是基本防护措施。由于长期有效的个人数据无法收回，应加强用户行为层面的防护，并改进账户设置。

机构应定期审查数据最小化措施、旧客户记录的保留期限、论坛和社区账户权限、会员计划字段，以及事件报告流程。对于用户而言，避免在所有平台使用相同的身份信息，可以持续降低风险。

如果用户的信息与本记录匹配，除Zacks账户外，还应检查所有使用相同密码的金融服务账户。发现匹配后，用户应查看记录列出了哪些数据字段，并据此确定行动的先后顺序。如果包含密码，应优先更改密码；如果包含地址或电话号码，应优先设置欺诈警报；如果包含金融或支付信息，应优先监控账户；如果包含社交资料，应优先检查隐私控制设置。

最终评估：本记录包含IP、地址、电话号码和未加盐的密码哈希值，因此属于涉及敏感金融账户信息的事件。用户应将本记录与自己的账户历史进行比对，并分别检查使用相同电子邮箱、电话号码、用户名、地址或密码的服务。事件发生后，任何可疑来电、电子邮件、消息或账户恢复通知，都应视为风险更高。