Crunchbase 数据泄露事件已被收录至 Have I Been Pwned，559,908 个电子邮件地址因此进入了一个可公开搜索的数据库。据 TechNadu 报道，这些数据于 2026 年 10 月 14 日被添加至该泄露通知服务，这些地址大多属于潜在客户和商务联系人。此次收录源于 2026 年 1 月 ShinyHunters 组织发起的“付钱或泄露”勒索企图。

如果你曾经注册过 Crunchbase、被录入其销售渠道，或与在那里工作的人有过邮件往来，那么值得快速检查一下。

泄露了什么，以及 ShinyHunters 是如何走到这一步的

Crunchbase 是一家以企业和初创公司信息数据库闻名的私营公司。据该报道，目前出现在 Have I Been Pwned（HIBP）中的 559,908 个电子邮件地址大多属于潜在客户和商务联系人，而非普通消费者账户。HIBP 在其关于该事件的条目中还列出了其他数据类型。我们审阅的摘录并未逐一说明所有字段，因此 HIBP 的条目本身是查看究竟哪些信息被暴露的最佳途径。

时间线很重要。2026 年 1 月，ShinyHunters 针对 Crunchbase 发起了报道中所称的“付钱或泄露”勒索企图。该组织声称其据称获取的数据超过 200 万条记录。10 月的收录表明，这场纠纷最终以数据流出告终，尽管报道摘录并未详述数据是如何或在何处被泄露的。

注意两个数字之间的差距。HIBP 中的 559,908 个地址与该组织声称的超过 200 万条记录并不相同。记录和唯一电子邮件地址是不同的概念，HIBP 的计数反映的是被加载到其数据库中的内容。勒索组织往往会夸大其词，因此在更多细节浮现之前，应将这两个数字分开看待。

这是一种常见的模式。我们关于 Gentlemen 勒索软件组织列出 MoneyGram、德勤和肯德基索赔事件的报道展示了勒索最后期限和公开声明如何被用作施压手段，以及在判断一项声明是否真实时，数据样本的有无为何至关重要。

如何检查你的电子邮件是否在 Have I Been Pwned 中

检查只需不到一分钟：

  1. 前往 Have I Been Pwned 网站，在搜索框中输入你的电子邮件地址。
  2. 查看出现的泄露事件列表。如果 Crunchbase 在其中，说明你的地址出现在了泄露数据中。
  3. 打开 Crunchbase 条目，查看与你的地址一同被暴露的数据类型。
  4. 对你使用的每个地址重复搜索，尤其是工作地址和以往工作留下的旧地址。

许多人会忽略一个细节：由于这次泄露主要由商务联系人构成，你的工作邮箱比个人邮箱更有可能出现。两者都要检查。你还可以使用 HIBP 的通知功能，以便在你的地址出现在未来的泄露事件中时收到提醒。

干净的结果并不保证安全。HIBP 只覆盖已被加载到其中的泄露事件，因此它是一个有用的信号，而非对你暴露情况的完整审计。

为什么被暴露的商务联系人会面临有针对性的网络钓鱼

一份泄露的商务联系人名单对攻击者来说具有特殊价值：它告诉他们谁在哪里工作，谁可能是销售线索、买家或决策者。这种背景信息使诈骗比普通垃圾邮件更具说服力。

预计会出现提及你的职位、行业或某种看似合理的供应商关系的消息。当发件人似乎了解你的业务时，一封看似来自数据提供商、潜在客户或财务联系人的电子邮件更有可能被打开。那些催促你“验证账户”、打开发票或将对话转移到其他渠道的电子邮件尤其值得怀疑。

第二个风险是撞库。如果任何被暴露的数据包含密码，或者你在其他地方重复使用了 Crunchbase 的密码，攻击者就可以在其他服务上尝试相同的邮箱和密码组合。重复使用的密码会将一次泄露变成多次泄露。

勒索团伙还与更广泛的犯罪生态系统相互关联。近期的执法活动，例如查封黑客平台并将一名勒索软件嫌疑人移交德国，表明对这一世界的打击力度正在加大，但泄露的数据往往在原始团伙被捣毁后仍长期流传。

这对你意味着什么

如果你的地址在 Crunchbase 数据中，仅凭你的电子邮件本身并不构成灾难。实际风险在于，你会成为更具说服力的个性化消息的更易得手的目标。如果你管理一个团队，同样的情况也适用于地址出现在泄露数据中的同事，因为攻击者可能会冒充你来接触他们。

如果你的电子邮件被暴露，应采取的措施

  • 如果你有 Crunchbase 账户，更改你的 Crunchbase 密码，并在任何你重复使用过该密码的地方一并更改。
  • 使用密码管理器为每项服务创建唯一密码，这样一次泄露就无法解锁另一个账户。
  • 开启多因素认证，最好使用身份验证器应用或硬件密钥，而非短信。
  • 通过带外方式验证意外请求。 如果电子邮件要求付款、凭证或敏感文件，请通过你已信任的电话号码或渠道进行确认，而不是消息中提供的渠道。
  • 如果工作地址受到影响，通知你的 IT 或安全团队，以便他们留意冒充企图。
  • 对提及你的工作或公司的消息中的链接和附件保持警惕，即使发件人看起来很熟悉。

要点总结

Crunchbase 数据泄露被收录至 Have I Been Pwned 一事提醒我们，一次勒索企图可能在数月后以公开泄露告终。今天就在 Have I Been Pwned 中搜索你的个人和工作电子邮件地址，然后按照上述防护步骤逐一操作。如需了解更多关于此类施压活动如何展开的背景信息，请阅读本文前面链接的我们关于 Gentlemen 勒索软件索赔的报道。