早上起來，老馮的 iPhone 突然提示我的賬號被鎖定了，要求我修改密碼。然后就看到了這篇新聞。于是重新把主流平臺的密碼都修改了一遍。在這個泄漏已經不算新聞的時代，還是要注意基本的網絡衛生，不要被扒光了再追悔莫及。

Vilius Petkauskas, Cybernews https://cybernews.com/security/billions-credentials-exposed-infostealers-data-leak

超過160億條登錄憑據被曝光，可能源自各類信息竊取木馬

（infostealer）。 有時，無意間收集并匯總敏感信息的危害，并不亞于黑客主動盜取。Cybernews 研究團隊近期在網上發現了多份超巨型數據集，涵蓋從社交平臺、企業系統，到 VPN、開發者門戶等幾乎所有常見在線服務的登錄信息，可謂“無孔不入”。

自今年年初開始，研究團隊持續監控網絡安全態勢，迄今已發現 30 份外泄數據集，單份容量從數千萬到 35 億條不等，總量高達 160 億條賬號記錄——規模之大，令人難以想象。

除了 5 月底 Wired 報道的一份包含 1.84 億記錄的“神秘數據庫”外，這些數據集此前均無人披露；然而它在本次發現的榜單中甚至排不進前二十。更令人擔憂的是，研究人員指出，“幾乎每隔數周就會冒出一份新的超大數據集”， 足見信息竊取木馬的普遍與猖獗。

“這不僅是一次泄露，更像是大規模利用的‘作戰藍圖’。 160 億條登錄記錄，讓不法分子獲得前所未有的入侵籌碼，可用于賬號接管、身份盜用，或極具針對性的釣魚攻擊。更可怕的是，這些數據集的結構完整且更新極快——并非舊漏的回鍋，而是可直接武器化的新鮮情報。” ——研究團隊

唯一的“好消息”是：這些數據集在公網暴露的時間都很短——足夠讓研究員發現，卻不足以追溯幕后操縱者。多數數據集通過未加固的 Elasticsearch 或對象存儲短暫公開。

這些“百億級”數據里有什么？

研究團隊表示，外泄數據主要由信息竊取木馬日志、撞庫字典及舊泄露數據再包裝混合而成。 雖然難以逐一比對，顯然數據間存在大量重疊，因此無法準確估算究竟多少獨立賬號受影響。

從結構看，絕大多數記錄遵循固定格式：URL → 賬號 → 密碼——這正是現代信息竊取木馬常用的抓取方式。

16 億條記錄意味著，幾乎所有主流在線服務都難逃其“魔爪”： Apple、Facebook、Google、GitHub、Telegram 乃至各國政府服務，應有盡有。

如此規模的憑據泄露，可為釣魚、電郵欺詐（BEC）、勒索軟件入侵提供豐厚燃料。 若企業缺乏 MFA 或賬號衛生意識，這些帶有 Token / Cookie / 元數據 的新舊日志組合將構成極大威脅。

數據集都有哪些？為何而泄？

團隊發現的數據集差異巨大：

?最小的命名與某木馬相同，包含 1600 萬條記錄；?最大的疑似面向葡語用戶，達 35 億條；?平均每份超 5.5 億條。

有的命名籠統，如 “logins”“credentials”，難以推斷來源；有的則暗示所屬服務。 例如：

?一份 4.55 億條的數據庫名指向俄羅斯；?另一份 6000 萬條的數據庫直接叫 “Telegram”。

命名并非絕對，但可見部分數據指向云服務、企業內部數據甚至加密文件；某些名稱或許直接對應收集木馬的代號。

目前無法確定數據擁有者身份。可能有安全研究員用于監測泄露，但基本可以斷定，其中不少屬于網絡犯罪團伙。對黑客而言，“大而全”的聚合數據庫能夠快速放大身份盜用、釣魚、未授權訪問等攻擊效果——即便命中率不足 1%，也足以威脅數百萬用戶的資產安全。

用戶該怎么辦？

由于無法溯源，個人很難對這些外泄數據采取補救措施。但基本的網絡安全衛生仍是自保關鍵：

1.使用強、獨一無二且定期更換的密碼；2.開啟多因素認證（MFA），即便憑據泄露也能降低風險；3.檢查系統是否感染信息竊取木馬，避免繼續“輸血”給黑客。

大規模數據泄露早已司空見慣

?上周，Cybernews 報道了可能是xXXXXX
?去年夏天，包含 近 100 億 唯一密碼的 RockYou2024 在黑客論壇公開；而 2021 年也曾出現 80 億 級別的 RockYou2021。?2024 年初，Cybernews 發現了迄今最大的數據泄露之一——被稱為 “Mother of All Breaches (MOAB)”，包含驚人的 260 億 條記錄。

如今的現實是：“百億級”泄露不再是新聞。對個人與企業而言，唯一可行的策略，就是把安全意識與防護手段前置，別等憑據漂浮到暗網黑市才后知后覺。

References

[1]: https://cybernews.com/security/billions-credentials-exposed-infostealers-data-leak
[2]: https://www.wired.com/story/mysterious-database-logins-governments-social-media/
[3]: https://www.yahoo.com/news/16-billion-passwords-apple-facebook-203204594.html