AfD 42.1万封电子邮件的泄露让公众罕见地得以窥见一个德国政党的内部。据heise online报道，“德国选择党”（Alternative for Germany）显然遭遇了一次泄露，约42.1万封电子邮件被公开。该报道的标题还提到了被非法复制的文件。大部分报道将聚焦于这些信息揭示了该党的哪些情况。本文则从另一个角度切入：这类泄露对于出现在他人收件箱中的普通人意味着什么。
关于范围的说明：来源文章篇幅简短，许多细节——例如数据是如何被获取的、是谁发布的，以及这些电子邮件的具体内容——在我们掌握的材料中并未得到确认。我们坚持只报道已见诸报端的内容，并解释任何大规模电子邮件泄露所带来的普遍风险。
AfD电子邮件泄露中公开了什么
核心事实有限。该党显然遭遇了一次数据泄露，约42.1万封电子邮件被公之于众。heise称这些材料让人得以一窥该党内部。“显然”一词很重要：泄露已被报道，但在该党、调查人员或可靠媒体证实之前，读者应谨慎对待网上流传的进一步说法。
电子邮件存档是最具揭示性的泄露数据种类之一。与用户名数据库不同，一个邮箱中保存着自由文本对话、附件、转发的文件、带有电话号码的签名，以及显示谁在何时写给谁的完整邮件头。即使42.1万封邮件中只有一小部分包含敏感材料，如此庞大的数量也使任何人难以事先知道其中有什么。
除该党本身之外，还有谁面临暴露风险
最可能受到影响的人未必是该党领导人。任何与该组织通信过的人都可能出现在存档中：发送申请或提问的成员、捐赠者、活动参与者、记者、供应商、地方官员，以及写信表达投诉或意见的公众成员。他们中没有人能控制该党如何存储或保护其邮件。
这就是组织性泄露的核心教训。你的暴露程度取决于与你通信的每一个群体的安全实践，而不仅仅是你自己的。一个只给某个政党写过一条消息的人，如今其姓名、电子邮件地址以及该消息中的任何细节都可能躺在一个公开的数据堆中。
在政治语境下，风险可能高于典型的商业泄露。与政党的关联可能具有敏感性，被公开的通信可能导致骚扰、人肉搜索或定向钓鱼。诈骗者也倾向于利用泄露的联系方式，精心制作引用真实对话的、令人信服的消息。这种次生伤害的模式也出现在我们报道过的其他事件中，例如暴露了2360万用户记录的Gyazo数据泄露，其中对个人的真正风险来自他人事后对泄露数据的利用。
该党的GDPR义务与受影响者的权利
由于该党在德国运营，欧盟《通用数据保护条例》是相关框架。根据GDPR，遭遇个人数据泄露的组织通常必须在不无故拖延的情况下通知主管监管机构，并在可行的情况下于知悉后72小时内通知，除非该泄露不太可能对人们构成风险。如果对个人的风险很高，该组织还必须直接通知受影响者。根据该条例，政治观点被视为特殊类别的个人数据，这提高了保护水平和审查力度。
我们没有从来源文章中确认是否已发出通知，因此无法判断该党是否履行了这些义务。我们能够描述的是人们所享有的权利：
- 访问权： 你可以询问某个组织是否持有你的个人数据，并要求获取副本。
- 删除权： 在许多情况下，你可以要求删除你的数据。
- 投诉权： 如果你认为你的数据被不当处理，你可以向数据保护机构提出投诉。
- 赔偿权： GDPR允许个人就侵权行为造成的物质或非物质损害寻求赔偿。
如果你曾与该党有过联系，发送访问请求是了解他们持有哪些关于你的数据的合理方式。
这对你意味着什么
你不需要是党员，也可能受到此类泄露的影响。如果你曾向任何遭遇泄露的组织写过信、捐过款或注册过，请假设那些消息中的细节现在可能已公开。实际风险是钓鱼、冒名顶替和不受欢迎的关注，而非立即的账户接管——除非有密码或登录链接通过电子邮件发送过。
最后一点值得注意。旧邮件中常常包含密码重置链接、共享凭证或账号。如果你曾在与受影响组织的通信中发送或接收过此类细节，请将其视为已泄露。大规模的内部数据堆，例如我们关于Valve 12TB大规模泄露的报道中所描述的那样，表明被遗忘已久的材料可能在多年后重新浮出水面。
组织性泄露后如何保护自己
你无法修复别人的安全问题，但你可以限制自己这一方的损害：
- 检查泄露数据库。 在信誉良好的泄露通知服务中搜索你的电子邮件地址，看看它是否出现在已知的数据堆中。
- 使用唯一密码。 密码管理器让你可以为每个账户设置独立的密码，这样一次泄露就无法解锁其他账户。
- 开启双重认证。 尽可能优先使用身份验证器应用或硬件密钥，而非短信。
- 对引用过往联系的消息保持怀疑。 攻击者可能引用泄露邮件中的真实细节。在点击或回复之前，通过你已经信任的渠道进行核实。
- 考虑使用电子邮件别名。 为不同组织使用不同地址，可以限制单次泄露所揭示的关于你的信息。
- 行使你的GDPR权利。 询问该组织持有哪些数据，并在适当情况下要求删除。
VPN无法帮助你应对他人邮件服务器遭到的泄露，因为暴露发生在组织一端。它对于保护你自己的流量仍然有用，但在此并非补救措施。个人媒体和身份数据的暴露，如ClarityCheck泄露的900万张面部图像所揭示的那样，提醒我们最好的防御是尽量减少你分享的内容，并保护好你无法收回的东西。
关键要点
AfD 42.1万封电子邮件的泄露提醒我们，你的隐私与你写信联系的每一个组织的习惯息息相关。检查你的地址是否出现在泄露数据堆中，为每个重要账户改用唯一密码并开启双重认证，并警惕那些似乎对你了解过多的消息。要了解这些步骤在实践中如何运作，请阅读我们关于Gyazo泄露及其他近期曝光事件的报道，并随时回来查看关于此次泄露的更多经核实的细节。
