本周已确认两起独立的安全事件，一起发生在日本，一起发生在台湾。Comic CMoa 数据泄露事件影响日本最大的电子书商店之一，据报电子邮件地址和密码哈希已泄露。另外，ACCESS 已确认 CROS 上有 1,305 个卡账户被盗。这两起案件互不相关，但共同展示了两种常见的暴露类型：登录凭证和支付卡数据。

目前可获得的细节有限，因此本文仅依据已报道的内容，并解释其在实际中的含义。

Comic CMoa 和 ACCESS 泄露事件中泄露了什么

据报道，Comic CMoa 数据泄露事件涉及一家广受欢迎的日本电子书商店，泄露的数据包括用户电子邮件地址和密码哈希。密码哈希是密码经过混淆处理后的版本，而非密码本身。企业存储哈希值是为了不必在服务器上保留明文密码。

第二起事件是独立的。ACCESS 确认 CROS 上有 1,305 个卡账户被盗。来源描述的规模为 1,305 个卡账户，在我们审阅的材料中未提供进一步细节。我们不会猜测哪些字段被窃取、攻击者如何入侵，或任何一起事件的幕后黑手是谁。

值得强调的是，这是两家不同的公司、两个不同的系统、两种不同类型的数据。读者不应假设一起事件与另一起有关联。

为什么哈希密码仍然使用户面临风险

听说只有哈希被窃取听起来可能令人安心，但这不应让任何人放松警惕。哈希是一层保护，而非保证。哈希密码的安全程度取决于原始密码的强度以及服务的哈希方式。

如果攻击者获得了一组哈希值，他们可以尝试通过猜测常见密码、对每个猜测进行哈希运算并比较结果来逆向破解。短小、可预测或常用的密码往往最先被攻破。强壮的、唯一的密码短语则难以恢复得多。

电子邮件地址也很重要。即使没有任何密码，一份与特定服务关联的电子邮件列表也可用于定向钓鱼攻击，例如冒充电子书商店发送虚假消息，要求你重新登录。

最大的实际危险是密码重用。如果你在其他网站上使用了 Comic CMoa 的密码，任何破解了该哈希值的人都可以在其他地方尝试相同的电子邮件和密码组合。这被称为凭证填充攻击，只有在人们重用密码时才会奏效。

CROS 卡数据窃取对受影响客户意味着什么

卡数据是另一个问题。据报 CROS 上有 1,305 个卡账户被盗，受影响客户的主要担忧是未经授权的扣款和欺诈尝试。发卡机构通常有更换受损卡片和处理欺诈交易争议的流程，但他们只有在你发现问题或被告知时才能采取行动。

如果 ACCESS 或你的发卡机构就此事件联系你，请认真对待通知，但首先要进行核实。数据泄露之后往往伴随冒充受影响公司的诈骗消息。请使用印在卡片上的联系方式或直接从公司官方网站获取的联系方式，而不是意外收到的电子邮件或短信中的链接。

小额测试扣款是卡片被盗用的常见迹象，因此即使是你未认出的微小交易也值得致电发卡机构。

泄露事件后保护账户的步骤

你不需要恐慌，但几个快速操作就能大有帮助：

  • 更改重用的密码。 如果你的 Comic CMoa 密码曾在其他地方使用，请在每个其他账户上更换它。确保每个密码都是唯一的。
  • 开启双因素认证（2FA）。 即使有人拥有了你的密码，第二重验证因素也会让入侵变得更加困难。基于应用的验证码或硬件密钥通常比短信更强。
  • 使用密码管理器。 它可以生成冗长的随机密码并为你记住它们，从而消除重用的诱惑。
  • 监控信用卡账单。 定期检查你的账户，如果银行提供交易提醒功能则设置提醒，并立即报告任何不熟悉的交易。
  • 警惕后续消息。 不要点击关于上述任何一起事件的意外电子邮件中的链接。

同样的习惯适用于任何泄露事件之后，包括犯罪分子旨在直接破坏受害者的攻击，例如 Akira 勒索软件附属团伙的攻击搬起石头砸了自己的脚 的案例。攻击者会犯错，但你不应依赖这一点来保护你的数据。

这对你意味着什么

如果你拥有 Comic CMoa 账户，请假定你的电子邮件地址可能已落入第三方之手，且你的密码哈希最终可能被破解，尤其是如果密码较弱的话。请更改密码，并更改你在其他任何地方使用过的相同密码。如果你与 CROS 或 ACCESS 卡账户有关联，请密切关注你的账单，并通过官方渠道确认任何通信。

如果你不属于上述任何一方，这些事件仍然是有用的提醒。泄露造成的大部分损害发生在事后，当被盗的详细信息被重新用于那些没有改变习惯的人时。

关键要点

Comic CMoa 数据泄露和 ACCESS CROS 卡数据窃取是独立事件，但建议是相同的：尽早行动。将重用的密码替换为唯一密码，启用 2FA，将凭证存储在密码管理器中，并定期审查你的卡片活动。现在花十分钟清理远比日后处理账户被接管或欺诈扣款要容易得多。