SourceNext 于 10 月 15 日宣布，其会员信息管理系统遭未经授权访问，可能有多达 22,519,960 条客户记录被曝光。SourceNext 数据泄露 2200 万条记录这一数字使其成为日本史上规模最大的企业泄露事件之一，任何曾在该公司拥有账户的人都应严肃对待。
目前可获得的细节有限，因此本文仅陈述已报道的内容，并聚焦于你现在可以采取的实际措施。
SourceNext 披露了什么，泄露规模有多大
据报道，该公司表示，其会员信息管理系统遭未经授权访问，可能有多达 22,519,960 条客户记录被曝光。措辞很重要：公司称记录可能被曝光，而这一数字是上限，而非已确认的被盗条目数量。
来源报道未说明受影响记录中包含哪些字段，我们也不会妄加猜测。在公司公布详细分类之前，最安全的假设是：你在创建或管理会员账户时提供的任何信息都可能涉及。这通常意味着联系方式账户凭据，但请查阅公司自己的通知以获取已确认的清单。
为何此次泄露跻身日本最大规模之列
报道称，该事件是日本企业第二大个人数据泄露事件。只有约 3504 万条记录的泄露规模比它更大。
规模的重要性不仅仅在于一份严峻排名中的名次。当一个数据库覆盖数千万人时，被曝光的记录就成为犯罪分子开展大规模活动的有用原材料。即便在数百万联系人中只有很小的成功率，也可能产生大量受害者。这就是为什么大型泄露事件之后，往往会紧随一波诈骗信息和针对无关服务的登录尝试。
这也不是近期唯一一起对消费者造成影响的日本企业事件。今年早些时候的秋季，庆应集团旗下公司遭勒索软件攻击导致系统中断，并影响了零售门店的信用卡支付。原因不同，但两起案例都表明，单个系统被攻陷会如何波及普通客户。
受影响客户如何识别后续钓鱼攻击
此类泄露最可能的后果，并不是你的账户遭到戏剧性的黑客入侵。而是大量极具说服力的信息涌来。掌握客户记录的犯罪分子可以发送看似来自该公司本身的电子邮件或短信，并提及你的会员身份或某次购买。
留意以下迹象：
- 紧迫性。 声称你的账户将被关闭，或你必须在数小时内采取行动的信息。
- 要求通过链接登录。 合法通知很少需要你点击链接来“验证”密码或支付详情。
- 意外的退款或补偿提议。 泄露通知是诈骗者最喜欢的幌子。
- 发件地址或域名略有异常。 检查完整地址，而不仅仅是显示名称。
如有疑问，不要使用信息中的链接。请自己输入网址打开公司网站，或使用你已有的书签，并在那里查看通知。
这对你意味着什么
如果你曾经拥有 SourceNext 账户，在公司另行说明之前，应假设你的信息可能位于受影响数据集中。你现实中的风险是定向钓鱼和凭据复用。凭据复用是指攻击者用同一组电子邮件和密码组合去尝试其他服务，例如电子邮件、购物或银行账户。如果你在多个地方使用同一个密码，那么一家公司的泄露就可能为其他地方打开大门。
如果你从未使用过 SourceNext，这起具体事件不会直接影响你，但无论如此，以下习惯都值得养成。
泄露后限制自身暴露的步骤
- 立即更改被复用的密码。 从 SourceNext 密码开始，然后是任何你使用了同一密码的其他账户。优先处理电子邮件，因为它可以重置其他一切。
- 使用唯一密码。 密码管理器可以通过为每个网站生成并存储不同密码，让这件事变得可管理。
- 开启双重认证。 即便密码被盗，第二重因素也会让其更难被利用。认证器应用或硬件密钥通常比短信验证码更强。
- 设置泄露监控。 许多浏览器、密码管理器和免费服务可以在你的电子邮件地址出现在已知泄露事件中时提醒你。
- 检查账户活动。 查看近期登录和已发送邮件，寻找任何你不认识的内容。
- 谨慎对待未经请求的联系。 任何提到你的 SourceNext 会员身份的信息，在通过官方渠道核实之前，都应视为可疑。
底线
SourceNext 数据泄露 2200 万条记录的披露提醒我们，你无法控制一家公司保护你数据的能力，但你可以控制泄露能造成多大损害。如果你可能是 SourceNext 客户，今天就更改任何被复用的密码，启用双重认证，并设置泄露监控。若要了解更多企业事件如何波及日常消费者，请阅读我们对庆应勒索软件攻击的报道，并关注 SourceNext 在确认哪些信息被曝光后的最新消息。
