Paidwork 史上最大資料外洩：2,300 萬用戶銀行與個資全數曝光

事件概述

2026 年 7 月 19 日，知名微任務平台 Paidwork 被加入「我是否被盜」（Have I Been Pwned, HIBP）資料庫，原因是其一個 11 GB 的資料庫，內含 23,272,765 名獨立用戶 的紀錄，已被完整公開在網路上 。這批資料據稱是在 2026 年 3 月 被駭，最初在一個網路犯罪論壇上兜售，隨後於 7 月初被全面公開 。

哪些資料外洩？

根據多個資安機構與媒體的報告，此次外洩的資料庫涵蓋範圍極廣，包含個人身份與財務資訊 ：

• 個人識別資訊： 姓名、電子郵件地址、電話號碼、居住地址、出生日期、性別、教育程度、個人檔案照片
• 財務資料： 銀行帳戶號碼、財務交易歷史、付款記錄，對部分用戶還包含 PayPal 詳細資訊 與 加密貨幣錢包地址
• 帳戶憑證： 經 bcrypt（一種強力且運算緩慢的雜湊演算法）加密的密碼，以及 IP 地址和設備資訊
• 平台資料： 個人興趣、用戶個人檔案細節

資安專家 Troy Hunt 指出，約 35% 的電子郵件地址 早已存在於 HIBP 的資料庫中。他也強調，雖然密碼是經過 bcrypt 加密，並非明碼，但這卻是攻擊者唯一有機會離線破解的欄位 。

事件時間軸

日期	事件
2026 年 3 月	駭客聲稱已取得 Paidwork 的資料庫，並在地下論壇兜售
2026 年 4 月 2 日	威脅行為者「hackformetome」在知名暗網論壇上張貼了這個號稱有 2,200 萬筆以上記錄、11 GB 的資料庫
2026 年 5 月 26 日	資料庫經資安監控服務驗證，確認為真實的生產環境備份
2026 年 7 月初	該資料集被完全公開
2026 年 7 月 19 日	HIBP 及 Mozilla Monitor 正式將該筆外洩事件加入追蹤清單

對用戶的潛在風險

資料外洩的後果極其嚴重，用戶可能面臨以下威脅：

• 金融詐騙： 銀行帳號、PayPal 資訊與加密貨幣錢包細節直接曝光，讓用戶面臨未經授權的交易、帳戶被接管以及針對性盜竊的風險 。
• 網路釣魚與社交工程： 攻擊者擁有姓名、電子郵件、電話、住址與交易紀錄，可以精心設計詐騙郵件、簡訊或電話，假冒 Paidwork 或金融機構，讓用戶防不勝防 。
• 憑證填充攻擊： 若用戶在其他網站使用了與 Paidwork 相同的密碼，這些帳戶將面臨被駭客利用自動化工具嘗試登入的風險 。
• 身份盜竊： 姓名、出生日期、地址、電話與財務資料的組合，已足以在許多司法管轄區內進行身份詐欺 。

受影響用戶的立即應變措施

1. 立即變更密碼： 立刻更改 Paidwork 的密碼，並確保同樣的密碼沒有被用在其他任何網站服務上 。

2. 啟用雙重驗證 (2FA)： 為你的 Paidwork 帳戶以及其他支援 2FA 的帳戶啟用此功能，並優先使用驗證器 App，而非 SMS 簡訊驗證 。

3. 嚴密監控金融帳戶： 定期檢查銀行帳戶、PayPal 與加密貨幣錢包是否有異常交易。一旦發現可疑活動，立即通報銀行或支付服務商 。

4. 提防釣魚攻擊： 對任何聲稱來自 Paidwork 或金融機構的未經請求的郵件、電話或簡訊保持高度警覺。不要點擊訊息中的可疑連結，應直接打開官方網站或 App 進行操作 。

5. 查詢是否受害： 前往 Have I Been Pwned 網站，輸入你的電子郵件地址，確認是否在此次外洩事件中被波及 。

6. 設定詐欺警示或信用凍結： 若你人在美國，可考慮向三大信用機構（Equifax, Experian, TransUnion）提出申請，防止身份盜用者利用你的資訊開立新帳戶 。

7. 進行個資暴露掃描： 使用成爲服務（如 DoxxScan）來檢視你的電子郵件、電話號碼等是否已與外洩資料產生關聯 。