逾7.7億電郵地址資料外洩 帳戶密碼在黑客數據庫任人睇

撰文:凌俊賢
出版:更新:

澳洲網絡保安專家亨特(Troy Hunt)周四(17日)撰文表示,上周在網路雲端空間MEGA中發現一個黑客數據庫,內有高達87GB的外洩電郵地址及密碼資料,估計涉及約7.73億個電郵地址。
涉事電郵地址中,大部分曾在過去的外洩事件「中招」,也有約1.4億個電郵地址屬最新外洩。
保安專家指出,這個數據庫似乎沒有包含信用卡資料或其他更敏感的個人信息,但黑客可以利用當中的地址及密碼,試圖登入受影響用戶的Facebook、Netflix等社交媒體或網上服務平台帳戶,所以呼籲大家盡可能開啟雙重身份驗證,保障自己。

逾7.7億電郵地址資料外洩:亨特(Troy Hunt)指在雲端網絡發現這個數據庫,稱之為「Collection#1」。(Troy Hunt網站)

亨特的文章指出,上周在雲端網絡發現這個黑客數據庫,稱之為「Collection#1」。他補充指數據庫之後已在該雲端空間「下架」。

他稱「Collection#1」內裏有超過1.2萬個文件,合共有超過26.9億條來自不同來源的電郵地址及密碼資料。在數據庫中,撇除重複的資訊後,一共有大約7.73億個不同電郵地址及超過2100萬個不同密碼,當中1.4億個電郵地址是最新外洩,此前並無出現過。密碼數量遠少於電郵數目,是因為很多人都使用相同密碼,例如是123456、password等,所以互相重複。

文章指,這個數據庫中的部分資料,可能是從過往不同電郵資料外洩事件整合而來。

亨特警告說,黑客可能會利用這些資料作「帳號密碼填充」(Credential Stuffing)攻擊,即抽取數據庫的每組帳戶及密碼,再自動化地不斷試圖在不同平台上登入。這意味若大家在不同平台的帳戶均使用同一組密碼,就可能有被黑客入侵的危機。

他呼籲大家到他所設立的網站「Have I Been Pwned」(https://haveibeenpwned.com/),查看自己的電郵帳戶資料是否曾遭黑客洩漏。用戶若發現中招,應該更改與外洩帳戶有相關聯的任何密碼,並盡可能開啟雙重身份驗證功能,以保障自己。

亨特指,今次外洩的電郵地址最早可追溯到2008年,他又指這個數據庫並不是標價出售,換句話說當時只要擁有MEGA雲端網絡帳戶,用戶都可以免費得到這些資料。

這是有史以來極大型資料外洩事件之一,或僅次2013年雅虎(Yahoo)被「未經授權的團隊」入侵超過30億用戶並盜取帳戶資料一事。

(綜合報道)