一个以 Proton 命名的组合列表现身 Telegram
一个名为“protonmail.de - 17.570 emails”的文件在 Telegram 上流传，引起了追踪地下数据市场的研究人员的注意。据 HEROIC 的分析师称，该组合列表于 6 月 10 日浮出水面，包含 17,570 个与 protonmail.de 域名关联的失窃登录凭据。像这样的组合列表是用户名和密码的汇编，通常来自更早的数据泄露、恶意软件感染或撞库尝试，然后被重新打包，在暗网论坛和即时通讯平台上转售或免费分发。
值得先看一下这个域名本身。Proton 的旗舰邮件服务主要使用 protonmail.com 和 proton.me，而不是 protonmail.de。这个区别很重要，它会影响用户对这一泄露的重视程度。一个带有某个域名的组合列表并不自动意味着该域名的服务器被入侵了。很多情况下，这些文件是从其他地方获取的凭据拼凑而成，然后由攻击者根据这些登录凭据能解锁的服务打上标签。无论 protonmail.de 的凭据是来自直接攻击、钓鱼活动，还是来自窃取恶意软件日志的回收数据，对受影响用户的实际风险都是一样的：暴露的密码可能被用于试探其他账户。
为什么组合列表比听起来更危险
与那些动辄数百万条记录、登上新闻头条的泄露事件相比，17,570 个凭据的列表可能看起来很小。但组合列表的特别危险之处在于它们的使用方式。攻击者会定期将这些文件输入自动化的撞库工具，这些工具会在数十个其他网站和服务上尝试每个用户名和密码组合。如果有人在银行网站、购物账户或工作登录上重复使用了他们的 protonmail.de 密码，那么这一个泄露的凭据就能同时打开好几扇门。
这也是泄露监测工具如此重要的原因。像 HEROIC 的免费泄露扫描器这样的服务，会将电子邮箱地址与一个据称包含超过 4000 亿条泄露和被泄漏记录的数据库进行比对，这些记录涵盖组合列表、窃取日志和其他地下数据源。通过这样的扫描器查询你的邮箱，是快速发现你的凭据是否出现在已知泄露事件中的一种方式，包括那些从未成为主流新闻的小众或不太知名的域名。
此类泄露后重新思考电子邮箱安全
对于任何在此次或类似泄露中出现的电子邮箱地址使用者来说，应对措施应该直接了当：立即更改密码，并在重复使用过该密码的所有其他地方更改。密码重复使用仍然是单个泄露凭据演变成更大范围入侵的最常见原因之一。如果你还在依赖记忆或便利贴，而不是使用密码管理器，像 Proton Pass 这样的工具可以为每个账户生成并存储唯一的凭据，消除在不同服务之间重复使用密码的诱惑。
这次事件也是评估你信任哪个邮件提供商来承载收件箱的好时机。注重隐私的服务通过加密标准、数据保留政策以及向用户披露事件的速度来体现自身的差异。像 Tuta、Mailfence 和 StartMail 这样的提供商对端到端加密和账户安全都采取了略有不同的方法，比较它们可以帮助你判断当前的提供商是否仍然符合你的需求。
对你意味着什么
如果你曾经使用过 protonmail.de 域名上的电子邮箱地址，或者只是想图个安心，最明智的第一步是检查你的地址是否出现在此次或任何其他泄露事件中。利用大型组合列表和窃取日志数据库的泄露扫描器，可以揭示你原本永远不会听说的暴露情况，因为并非每次泄露都会得到媒体报道。除了检查，这也是审视更广泛密码卫生习惯的有益触发点。在任何提供此功能的地方开启双重身份验证，避免在不同账户间循环使用密码，并将任何与金融或工作登录关联的电子邮箱视为需要更强保护的高优先级目标。
可行的行动要点
- 通过信誉良好的泄露扫描器查询你的电子邮箱地址，检查是否存在与 protonmail.de 泄露或其他组合列表相关的暴露。
- 如果你的凭据出现在任何地方，立即更改该密码，并在重复使用过该密码的任何其他账户上更新。
- 采用密码管理器，为你使用的每项服务生成独特、复杂的密码。
- 为电子邮箱和任何持有敏感个人或金融数据的账户开启双重身份验证。
- 定期审视你信任哪个加密邮件提供商，因为安全功能和事件响应在不同服务之间差异很大。
涉及组合列表的数据泄露短期内不太可能消失，但当你的信息出现在其中时，保持信息灵通并迅速采取行动，仍然是普通用户最可靠的防御手段。
