Crunchyroll数据泄露：680万用户IP及位置数据遭曝光
Crunchyroll数据泄露事件再次提醒我们，个人数据的安全程度，取决于企业供应商链中最薄弱的一环。索尼旗下动漫流媒体巨头Crunchyroll已确认，黑客访问了约680万用户的客户支持数据——攻击者并非直接入侵Crunchyroll自身的系统，而是通过攻破一家第三方客户支持外包服务商的单个账户得手。
泄露的数据包括IP地址、电子邮件地址、位置信息、支持工单内容，以及部分情况下有限的支付卡数据。如果您曾向Crunchyroll提交过支持请求，您的信息可能在受影响之列。
泄露事件的经过
此次攻击并不需要对Crunchyroll核心基础设施进行复杂的入侵。攻击者将目标锁定在Crunchyroll所使用的一家外包供应商的客服人员账户上。仅凭攻破这一个账户，攻击者便获取了大量客户支持工单数据。
这是一次典型的第三方供应商攻击。大型企业通常出于合理的运营需要，将客户数据共享给外部合作伙伴，涉及支持、账单、物流和营销等各个环节。每一个合作伙伴都代表着额外的数据暴露风险。一旦其中任何一方遭到攻破，数据便会流入攻击者手中，无论主要企业自身的系统有多么安全。
Crunchyroll绝非唯一遭遇此类事件的企业。第三方和供应链攻击已成为大规模数据泄露最常见的途径之一，原因恰恰在于主要企业难以对其进行有效管控或快速察觉。
泄露数据的内容及其重要性
乍一看，支持工单数据库的泄露似乎不如密码或完整支付卡号泄露那般触目惊心。但此次泄露的数据组合不容小觑。
IP地址和位置数据尤为敏感。您的IP地址可以揭示您的大致地理位置、您的互联网服务提供商，在某些情况下还可用于关联您在不同服务中的活动记录。对于身处政府管控严格国家的用户，或任何注重隐私的人而言，IP地址与身份信息相关联并在泄露事件中曝光，是一个切实的威胁。
电子邮件地址是网络钓鱼攻击的"燃料"。知晓您使用Crunchyroll的攻击者，可以伪造极具迷惑性的假冒邮件，声称来自Crunchyroll，要求您验证账户、更新支付信息，或点击植入恶意软件的链接。
支持工单内容可能包含用户在求助时输入的任何内容：账户详情、账单纠纷，或其他以为对话私密而分享的个人信息。
有限的支付卡数据即便不完整，与其他已泄露信息相结合，也会使欺诈尝试更具说服力。
这对您意味着什么
如果您拥有Crunchyroll账户，尤其是曾联系过其支持团队，请将此次泄露视为持续威胁，并采取以下具体措施：
- 密切关注您的收件箱。 冒充Crunchyroll的钓鱼邮件很可能接踵而至。不要点击不明邮件中的链接；请直接在浏览器中手动输入地址访问Crunchyroll官网。
- 修改您的Crunchyroll密码，即使密码未被明确确认为此次泄露的一部分。每当您的账户与安全事件相关联时，这都是良好的安全习惯。
- 在您的Crunchyroll账户以及使用相同邮箱或密码的任何账户上启用双重认证（2FA）。
- 检查与账户关联的支付方式，并留意是否出现异常扣款。
- 回顾您在支持工单中分享的内容。 如果您在过往对话中透露了敏感信息，请意识到这些信息现在可能已落入不法之手。
IP地址和位置信息的泄露值得单独关注。每次您连接流媒体服务、购物网站或任何在线平台时，您的IP地址都会被记录。当这些日志出现在泄露事件中，便会暴露您所在的位置和您的网络提供商。使用VPN意味着服务所记录的IP地址是VPN服务器的地址，而非您的真实地址，因此即便该数据日后在泄露事件中曝光，也无法追溯到您的真实位置或身份。
第三方风险是每个人都面临的问题
Crunchyroll泄露事件带给我们的更深层启示，并不是说Crunchyroll特别疏忽大意，而是：每当您在某项在线服务上创建账户，您的数据就可能流向您从未听说过、也未与之建立任何直接关系的供应商、合作伙伴和分包商。您与一家公司签署了隐私政策，而您的数据最终却存储在您从未同意过的系统中。
您无法完全掌控企业将数据发送到何处，但您可以从源头限制可被识别的个人信息的数量。在注册服务时尽量减少填写的个人信息、为不同账户使用独立的电子邮件地址、隐藏您的IP地址，这些都是在此类泄露事件发生时切实降低个人风险的有效措施。
在hide.me VPN，我们相信保护隐私不应要求您信任企业供应链中的每一个供应商。当您通过hide.me浏览网页和观看流媒体时，各服务所记录的IP地址和位置数据属于我们，而非您，这样您的一部分身份信息便不再漂浮于您看不见、也无法掌控的数据库之中。如果您希望进一步了解VPN如何在网络层面保护您的数据，欢迎了解更多关于VPN加密的工作原理以及您的IP地址泄露了哪些信息。
Crunchyroll数据泄露事件是一个契机，促使我们审视自己的数字习惯。目标并非远离互联网，而是以一种能够将任何单次泄露对您造成的损害降至最低的方式在网络中穿行。
