2019年刚刚过去了不到一个月，今天就发生了一起严重的数据泄露事件。一个达87GB的存档文件包首先出现在MEGA云存储服务（已被删除）中，后又在黑客论坛上曝光，其中包括7.73亿封电子邮件地址以及对应的登陆密码。这个存档文件包名为“Collection #1”，如果黑客们利用这些数据开展凭据填充攻击，将不费吹灰之力。

凭证填充攻击

凭证填充是一种网络攻击手段，其中被盗的账户凭证通常由用户名/电子邮件地址以及相应密码（通常来自数据泄露）组成，通过针对web应用程序的大规模自动登录请求获得对用户帐户的未授权访问。与凭证破解不同，凭证填充攻击并不会试图暴力破解或猜测任何密码——攻击者只需使用标准Web自动化工具（如 Selenium，CURL，PhantomJS或专门为此类攻击设计的像Sentry MBA的工具）。

凭证填充攻击之所以可行且有效，是因为许多用户在多个站点重复使用相同的密码，其中一项调查报告显示约81％的用户在2个或更多站点上重复使用密码，25％的用户在大多数帐户中使用相同的密码。

Collection #1存档文件

此次出现在黑客论坛上的集合文件包是由安全研究员和Have I Been Pwned平台（可以快速检测用户的邮箱、密码十分泄露）创建者Troy Hunt发现的。作为微软公司的一位地区主管，在网络安全研究领域颇为有名。他表示该集合文件包由2800个不同的文件组成，包含来自多次数据泄露事件中曝光的电子邮件账户信息。

虽然原始数据可能设置了加密密码，但是编译此集合文件包的任何人都已将其转换为脱密密码以使其更容易被用于攻击。

部分曝光数据来源

具体来看这些曝光的数据，包括：

2，692，818,238 行信息；

1，160，253，228条电子邮件地址、密码组合；

772，904，991个独立的电子邮件地址；

21，222，975个独立的密码。

如何检查电子邮件是否已被盗用

Hunt在他的博客上表示，登录凭证似乎已经储存多年，因为有些密码和电子邮件来自2008年。从黑客论坛中获取存档文件包后，Hunt将其加载到Have I Been Pwned网站上，向订阅用户通知最新的违规行为并让新用户检查他们的帐户是否已被曝光。

Have I been Pwned是一个泄露账户信息的一站式聚合网站。也就是说，这个网站聚合了多起安全泄露事故中泄露的账号信息，用户可以整合这些信息以确定自己多少账户信息已经被泄露。由下图可以看到一些由邮箱地址asd@asd.com泄露的信息。

Have I been Pwned搜索结果示例

在不同的网站上使用不同的密码一如既往的重要，但是由于现在需要注册的网站太多了，记住每一个密码是不太现实的，所以建议您使用密码管理器来管理您的密码。使用不同密码的好处就是即使一个网站的数据被泄露了，也只会影响这一个网站上的特定凭据，而一个密码走天下影响的可就不是某个网站上的数据了。