Paidwork 洩漏 2300 萬用戶資料：銀行帳號、密碼全部外洩，你中咗招未？

• 個人身份識別資料： 全名、電郵地址、電話號碼、屋企地址、出生日期、性別、教育程度、個人檔案相
• 財務資料： 銀行帳戶號碼、財務交易記錄、出糧記錄、部分用戶嘅 PayPal 資料同加密貨幣錢包地址
• 帳戶憑證： 用 bcrypt（一種強勁、運算慢嘅 hash 演算法）加密嘅密碼，加上 IP 地址同裝置資料
• 平台資料： 個人興趣同用戶檔案細節

Troy Hunt 指出，大約 35% 嘅電郵地址 之前已經喺其他洩漏事件入面出現過，而 bcrypt 加密嘅密碼雖然唔係明文，但係攻擊者仍然可以嘗試離線破解 。

事件時間表

對受影響用戶嘅風險

• 銀行 fraud。 銀行帳號、PayPal 資料同加密貨幣錢包地址直接外洩，令用戶面臨未經授權交易、帳戶被騎劫同針對性盜竊嘅風險 。
• 釣魚攻擊同社交工程。 姓名、電郵、電話、地址同交易記錄全部喺同一個資料庫入面，攻擊者可以炮製極似真嘅釣魚電郵、SMS 或電話，假扮係 Paidwork 或者銀行 。
• Credential stuffing。 任何喺其他網站重用 Paidwork 密碼嘅用戶，其他帳戶都有被騎劫嘅風險。雖然 bcrypt hash 令大規模破解密碼速度變慢，但弱密碼或者常見密碼仍然好危險 。
• 身份盜用。 全名、出生日期、地址、電話同財務資料嘅組合，喺好多地方都足以用來進行身份詐騙 。

受影響用戶應該做嘅安全步驟

1. 立即更改 Paidwork 密碼 — 同埋更改任何重用咗同一個密碼嘅其他網站密碼 。每個服務要用獨立、強大嘅密碼。

2. 啟用雙重認證（2FA） 喺你嘅 Paidwork 帳戶同任何支援嘅其他帳戶。最好用 authenticator app 而唔係 SMS 2FA 。

3. 密切監察你嘅財務帳戶。 檢查銀行帳戶、PayPal 同加密貨幣錢包有冇未經授權嘅交易。有可疑即刻通知銀行或支付服務商 。

4. 提防釣魚攻擊。 對所有提及 Paidwork 或你財務帳戶嘅不明來歷電郵、電話或訊息格外留神。唔好點擊意外訊息入面嘅連結 — 直接去官方網站登入 。

5. 去 haveibeenpwned.com 檢查吓你嘅電郵有冇喺今次洩漏入面 。

6. 如果你喺美國，可以考慮喺主要信貸機構（Equifax、Experian、TransUnion）度设置 fraud alert 或 credit freeze，尤其係今次銀行帳號都被洩漏 。

7. 用 doxxing 暴露掃描工具（例如 DoxxScan），睇吓你嘅用戶名、電郵同電話號碼喺洩漏資料入面係咪有關聯 。