Paidwork数据泄露事件全解析：2300万用户信息如何被泄露，你该如何应对？

泄露了哪些信息？

本次泄露的数据库包含范围极广的个人及财务信息 ：

• 个人身份信息： 全名、电子邮箱地址、电话号码、家庭住址、出生日期、性别、教育背景、个人头像
• 财务数据： 银行账号、财务交易记录、薪酬支付记录，以及部分用户的PayPal详情和加密货币钱包地址
• 账户凭证： 使用bcrypt（一种强哈希算法）加密的密码，以及IP地址和设备信息
• 平台数据： 个人兴趣及用户个人资料详情

Troy Hunt指出，其中约35%的邮箱地址此前已出现在其他数据泄露事件中。虽然密码经过bcrypt加密码而言非明文——但这是攻击者唯一可以离线尝试破解的字段 。

事件时间线

受影响用户面临的风险

• 金融欺诈： 银行账号、PayPal信息及加密货币钱包地址直接暴露，用户面临未经授权交易、账户接管和针对性盗窃的风险 。
• 网络钓鱼与社会工程学攻击： 攻击者手握姓名、邮箱、电话、住址及交易记录，可以伪造出极其逼真的钓鱼邮件、短信或电话，冒充Paidwork或金融机构进行诈骗 。
• 撞库攻击： 任何在其他平台重复使用Paidwork密码的用户，其账户均面临被攻击者利用的风险。bcrypt加密码虽能阻碍批量破解，但弱密码或常见密码依然脆弱 。
• 身份盗窃： 完整的姓名、出生日期、住址、电话及财务数据，足以在许多司法管辖区内实施身份欺诈 。

受影响用户应立即采取的防护措施

1. 立即修改Paidwork密码——并在其他使用了相同密码的网站上同样修改 。务必为每个服务使用独一无二的高强度密码。

2. 开启双重认证：在你的Paidwork账户及所有支持此功能的账户上启用双重认证（2FA）。优先使用身份验证器应用，而非短信验证码 。

3. 密切监控财务账户： 仔细检查银行账户、PayPal及加密货币钱包，留意是否有未经授权的交易。发现可疑活动，立即联系银行或支付服务商 。

4. 警惕钓鱼攻击： 对任何提及Paidwork或你财务账户的未经验证的邮件、电话或短信保持高度警惕。不要点击陌生信息中的链接——应直接访问官方网站 。

5. 查询邮箱是否泄露： 访问 haveibeenpwned.com 查询你的邮箱是否在此次泄露中 。

6. 申请信用冻结或欺诈警报： 如果你在美国，请考虑向三大信用机构（Equifax、Experian、TransUnion）申请信用冻结或欺诈警报，尤其是考虑到银行账号已经暴露 。

7. 运行一次“人肉搜索”扫描： 使用DoxxScan等工具，查看你在泄露数据中关联了哪些用户名、邮箱和电话号码 。