微软 42 组合列表泄露 140 条登录记录

一场带有熟悉名字的小规模泄露

据 HEROIC 的暗网泄露扫描器显示，一个名为“微软 42”的组合列表最近在网上出现，包含 140 条被泄露的登录记录。该公司维护着超过 4000 亿条泄露记录的数据库，并在持续监控地下论坛和市场中流通的组合列表时，标记了该文件。

与那些动辄曝光数百万账户的泄露事件相比，140 条记录听起来或许微不足道。但组合列表的大小，与其对凭据持有者构成的危险几乎无关。真正重要的是那些邮箱与密码的组合是否仍然有效，以及有多少其他账户共享着相同的复用密码。

组合列表究竟是什么（以及名字为何重要）

组合列表是一种纯文本文件，将邮箱地址或用户名与密码配对，通常来源于此前的泄露、钓鱼活动或恶意软件感染，而非来自某一次全新的黑客攻击。“微软 42”这个标签并不一定意味着微软本身遭到了入侵。组合列表经常以某个品牌、服务或主题命名，以帮助买家和犯罪论坛整理失窃数据，即使其中的凭据是从不相关的来源收集而来，只是被重新打包。

这种命名方式可能会让不了解情况的人产生误解，但这并不会降低底层数据的可利用率。攻击者将组合列表加载进自动化工具，并针对银行网站、邮箱服务商、流媒体服务和企业登录界面运行，这种技术被称为凭据填充。即便此次泄露的 140 条记录中只有少数密码在其他地方仍处于活跃状态，那些账户都将面临风险，而微软自身的系统是否被触碰过，反而无关紧要。

这种凭据循环利用的模式，属于一个庞大生态系统的一部分。像 ShinyHunters 语音钓鱼攻击袭击 Charter 并泄露约 4000 万条记录这类更引人注目的大规模事件，与当前这种小型组合列表共享同一条地下供应链。窃取的凭据很少只停留在单次泄露当中；它们会被打包、转售，并在最初被窃取数年之后重新组合成新的列表。

为何微软主题的威胁反复出现

微软的生态系统横跨 Outlook、Microsoft 365、Azure 和 Windows，正因其体量而成为持续不断的目标。攻击者清楚，一个可用的微软凭据常常能一次性解锁邮箱、云存储和商业应用，这对个体诈骗者和有组织的威胁行为者而言，都是高价值目标。

这也解释了为何微软主题的攻击往往会升级，超越简单的密码泄露。另有一则报道详细说明了被追踪为 Storm-2949 的威胁行为者如何利用 Microsoft 365 密码重置流程窃取云端数据，揭示出一个被复用或泄露的密码，如何成为更具破坏性入侵的入口。凭据泄露与账户接管活动往往会相互强化：泄露的密码帮助攻击者完成重置和账户访问，而成功的入侵又会产生新的失窃数据，最终流入下一份组合列表。

同样值得记住的是，失窃凭据正越来越多地助长勒索操作。其他研究曾指出，新的勒索软件组织大约每周出现一个，其中许多组织依赖购买或泄露的凭据来获得初始访问权限，而后再部署勒索软件。一份 140 条记录的组合列表孤立来看可能无足轻重，但它正是维持这一庞大犯罪经济的原材料之一。

这对你意味着什么

如果你使用微软账户，或者在任何账户中重复使用了密码，实际的风险并不在于具体的组合列表名称，而在于你当前的密码是否出现在任何泄露数据集当中。像 HEROIC 免费泄露扫描器这样的工具，恰恰为此而生：它们让你在数十亿条暴露记录中搜索，查看你的邮箱地址或密码是否曾出现在某次泄露中，而不必亲自追踪每一起独立事件。

最稳妥的假设是：任何你使用过一次以上的密码，尤其是在那些较老或安全性较低的网站上，都已在某处遭到泄露。像这次的组合列表，不过是再次证明，循环使用的凭据仍然是攻击者最容易得手的入口之一。