当你使用的某项服务披露了一起数据泄露事件时，第一个问题通常是一样的：我是否受到了影响？一位日本用户——他自称是 Times Car 数据泄露的受害者——对他使用的每一项服务都提出了这个问题。随后，他发布了一份过去一年国内服务中个人信息泄露和入侵事件的汇编，并附上了关于应在哪些地方更改密码的指引。他的清单对每个人来说都是一个有用的提醒，促使大家检查你的数据是否泄露——在那些你早已遗忘的服务中。
关于信息来源的说明：我们所能获取的原文摘录较为简短，因此本文不会重复个别泄露事件的细节。取而代之的是，本文以作者的方法为模板，供你应用于自己的账户。
Times Car 数据泄露事件揭示了账户暴露的哪些问题
作者的出发点值得注意。他并非一开始就打算撰写一份泄露事件汇总。他成为了一起事件的受害者，然后开始思考过去一年中还可能有哪些问题被忽略了。这是一种明智的反应，因为一则通知很少能讲述完整的故事。
大多数人的个人信息分散在数十种服务中：汽车共享、购物、云存储、旅行、外卖。每一项服务都持有你的部分信息组合——姓名、电子邮件、电话号码、地址，有时还包括支付或登录数据。你无法控制它们各自的保护力度。当某一家服务提供商被入侵时，即使你自己的设备从未被攻破，暴露风险也会随之而来。
这种服务提供商方面的风险是关键教训。乐天 Drive 泄露事件影响 15,000 个账户是另一个例子，说明服务端发生的事件可能使你存储在该处的数据面临风险，无论你个人多么谨慎。
如何检查哪些服务泄露了你的数据
你可以通过以下几个步骤借用作者的方法：
- 列出你的服务。 在电子邮箱中搜索过去几年的欢迎邮件、收据和密码重置邮件。包括你使用过的每一个邮箱地址。
- 查找通知。 在收件箱中搜索“未经授权的访问”、“安全事件”或“重要通知”等关键词。公司通常会向受影响的客户发送电子邮件，而这些邮件往往会被过滤到垃圾邮件中。
- 使用泄露查询工具。 信誉良好的泄露搜索服务允许你输入电子邮件地址或电话号码，查看其是否出现在已知的泄露数据集中。使用成熟的知名服务，切勿在其中输入你的密码。
- 查看公司公告。 对于你实际使用的服务，查看官方新闻或安全页面。像作者那样的汇编清单可以帮助你交叉比对名称。
- 记录你的发现。 记下服务名称、日期以及据报道被暴露的数据类型。
查询没有返回结果并不能证明你是安全的。并非每起泄露事件都被公开或收录。将这些工具视为多个信号中的一个。
应优先更改哪些密码
你不需要一次性更改所有密码。按账户被接管可能造成的危害来排定优先级：
- 你的主电子邮箱账户。 它可以重置几乎所有其他账户，因此应放在第一位。
- 泄露通知中提到的任何账户。 即使公司表示密码未被暴露，也要更改密码。
- 保存了银行卡或积分余额的金融、支付和购物账户。
- 云存储和备份账户，其中可能存有身份证件、照片和工作文件。
- 与已泄露账户共用密码的任何账户。 密码重用是一处泄露变成多处泄露的主要途径。
同时也要查看还有哪些信息被暴露。如果通知中列出的是电话号码或地址而非密码，那么更改密码帮助不大；相反，要做好应对更具迷惑性的钓鱼和诈骗信息的准备，对意外的链接和来电保持警惕。
通过双重认证和密码管理器锁定账户
更改了紧急密码之后，让下一次泄露的代价更小。
使用密码管理器。 它为每项服务生成一个长且唯一的密码，因此一家服务提供商的泄露无法解锁另一家。你只需要记住一个强主密码。
开启双重认证（2FA）。 在服务支持的情况下，优先使用身份验证器应用或硬件安全密钥，而非短信验证码。即使密码泄露，攻击者仍然需要第二重验证。
查看登录活动和已连接的应用。 从未知设备登出，并移除不再使用的第三方访问权限。
删除你不需要的东西。 关闭已停止使用的服务账户。未被存储的数据无法被泄露。
这对你意味着什么
你所使用服务的泄露事件在很大程度上超出你的控制，但你的应对方式并非如此。了解哪些账户受到了影响，可以让你优先处理正确的账户，而唯一密码加上双重认证则能限制单次泄露的扩散范围。VPN 无法保护公司存储在自己服务器上的数据，因此在这种情况下，账户卫生比网络工具更重要。
要点总结
- 本周抽出时间来检查你的数据是否泄露，涵盖你使用的各项服务。
- 在收件箱中搜索泄露通知，并建立一份受影响账户的简单清单。
- 先更改电子邮箱密码，然后是金融和云账户。
- 采用密码管理器，并在所有支持的地方启用双重认证。
- 关闭不使用的账户，并审视你如何在在线服务提供商处存储文件，正如乐天 Drive 事件所表明的，服务提供商方面的问题可能波及已存储的数据。
现在花一小时进行审计，远比日后恢复被入侵的账户要容易得多。
