Paidwork数据泄露事件全解析：2300万用户信息如何被泄露，你该如何应对？

以下是经核实的2026年7月Paidwork数据泄露事件的详细信息。

事件概要

2026年7月19日，微任务平台Paidwork被正式列入“Have I Been Pwned”（HIBP）数据库，原因是其一个11GB的数据库被公开泄露，涉及23,272,765名唯一用户 。据信，该数据于2026年3月被盗，最初在暗网犯罪论坛上出售，随后于7月初被公开 。

泄露了哪些信息？

本次泄露的数据库包含范围极广的个人及财务信息 ：

• 个人身份信息： 全名、电子邮箱地址、电话号码、家庭住址、出生日期、性别、教育背景、个人头像
• 财务数据： 银行账号、财务交易记录、薪酬支付记录，以及部分用户的PayPal详情和加密货币钱包地址
• 账户凭证： 使用bcrypt（一种强哈希算法）加密的密码，以及IP地址和设备信息
• 平台数据： 个人兴趣及用户个人资料详情

Troy Hunt指出，其中约35%的邮箱地址此前已出现在其他数据泄露事件中。虽然密码经过bcrypt加密码而言非明文——但这是攻击者唯一可以离线尝试破解的字段 。

事件时间线

日期	事件
2026年3月	黑客声称获取Paidwork数据库，并在暗网论坛上挂牌出售
2026年4月2日	网名为“hackformetome”的攻击者在知名暗网论坛上发帖，声称出售包含2200万+条记录的11GB数据库
2026年5月26日	该数据库经监测机构验证，确认为Paidwork生产环境的真实归档文件
2026年7月初	数据集被完全公开
2026年7月19日	HIBP将该泄露事件录入数据库；Mozilla Monitor也同步收录

受影响用户面临的风险

• 金融欺诈： 银行账号、PayPal信息及加密货币钱包地址直接暴露，用户面临未经授权交易、账户接管和针对性盗窃的风险 。
• 网络钓鱼与社会工程学攻击： 攻击者手握姓名、邮箱、电话、住址及交易记录，可以伪造出极其逼真的钓鱼邮件、短信或电话，冒充Paidwork或金融机构进行诈骗 。
• 撞库攻击： 任何在其他平台重复使用Paidwork密码的用户，其账户均面临被攻击者利用的风险。bcrypt加密码虽能阻碍批量破解，但弱密码或常见密码依然脆弱 。
• 身份盗窃： 完整的姓名、出生日期、住址、电话及财务数据，足以在许多司法管辖区内实施身份欺诈 。

受影响用户应立即采取的防护措施

1. 立即修改Paidwork密码——并在其他使用了相同密码的网站上同样修改 。务必为每个服务使用独一无二的高强度密码。

2. 开启双重认证：在你的Paidwork账户及所有支持此功能的账户上启用双重认证（2FA）。优先使用身份验证器应用，而非短信验证码 。

3. 密切监控财务账户： 仔细检查银行账户、PayPal及加密货币钱包，留意是否有未经授权的交易。发现可疑活动，立即联系银行或支付服务商 。

4. 警惕钓鱼攻击： 对任何提及Paidwork或你财务账户的未经验证的邮件、电话或短信保持高度警惕。不要点击陌生信息中的链接——应直接访问官方网站 。