你查了外洩通報網站,或收到某家公司的通知信,然後看到了:你的電子郵件地址出現在一起資料外洩事件中。先說讓人安心的部分——這很常見、可以補救,而且接下來一小時的專注處理就能消除大部分風險。以下就是該做的事,按優先順序排列。
首先,搞清楚實際外洩了什麼
「你的信箱出現在外洩事件中」可以代表非常不同的情況,取決於被竊資料庫裡與它並列的還有什麼:
- 只有信箱地址。 預期垃圾郵件和釣魚郵件會變多。煩人,但危險性低。
- 信箱加密碼(不論雜湊或明文)。 情況嚴重。攻擊者會拿這組組合到其他網站嘗試——這叫撞庫攻擊,而它之所以有效,就是因為人們重複使用密碼。
- 信箱加個人資料(姓名、電話、地址、出生日期)。會提高針對性釣魚的風險,嚴重時甚至涉及身分冒用。
- 信箱加金融資料。 除了下面所有步驟外,還需要提高對銀行和信用卡的警覺。
如果你還沒親自確認曝險狀況,把你的地址丟進外洩查詢看看它出現在哪些外洩事件中,以及涉及哪些資料類別。
第一步:更改外洩帳號的密碼
立刻執行,就算該公司聲稱密碼有經過雜湊處理也一樣。雜湊值是可以被破解的,弱密碼尤其如此。新密碼要長、隨機且獨一無二——密碼產生器加上密碼管理器之所以是標準組合,不是沒有原因的。
第二步:揪出這組密碼的每一次重複使用
這一步比其他任何步驟都重要。如果外洩的密碼還守著其他帳號,那些帳號現在形同門戶大開。
- 列出所有用過相同或相似密碼的網站(密碼管理器能找出重複項;靠記憶也行,同一時期註冊的網站是重點嫌疑對象)。
- 把每一個都改成獨一無二的密碼。
- 從價值最高的目標開始:先是你的主要電子郵件帳號,然後是任何存有付款方式的帳號,再來是社群帳號。
你也可以用密碼外洩查詢確認某組密碼是否已在破解密碼清單中流傳。如果有,就把所有使用它的帳號一律視為已淪陷。
第三步:鎖上最重要的幾道門
- 為你的主要信箱、銀行帳戶,以及任何失去了會心痛的帳號啟用兩步驟驗證。驗證器 App 優於簡訊。
- 檢查你信箱帳號的設定,看有沒有不是你建立的轉寄規則、篩選器或已連結的應用程式。曾短暫入侵的攻擊者常會留下這些後門,以便持續偷看你的郵件。
- 在服務有提供的地方檢視近期活動——登入紀錄、連線中的工作階段、你不認得的寄件備份。
第四步:拉高你的釣魚警戒
外洩後的釣魚攻擊是最容易被低估的威脅。攻擊者現在知道你的地址、往往還知道你的名字,以及是哪個服務外洩的——足以寫出「因應近期事件,請驗證您的帳號」這種以假亂真的訊息。
- 絕不透過郵件中的連結登入。自己動手輸入網址。
- 對急迫感、帳號停用威脅和意外的附件保持懷疑。
- 記住,真正的外洩通知很少會要求你點擊任何有時效壓力的東西。
第五步:留意慢性後遺症
- 如果涉及金融資料,留意銀行和信用卡帳單上的小額「試刷」交易。
- 如果身分資料外洩,可考慮向當地信用機構申請信用凍結或詐騙警示。
- 預期外洩地址收到的垃圾郵件會永久性增加。我們的如何阻止垃圾郵件指南說明如何控管。
第六步:縮小下一次外洩的爆炸半徑
下一次外洩一定會來——不一定是你被駭,但世界上某處某個資料庫,總會裝著你的某個地址。目標是讓那件事變得無關痛癢。
- 別再一個地址走天下。 分層管理:一個核心地址給關鍵服務、別名給真實帳號、拋棄式地址給所有一次性的用途。完整的體系在我們的電子郵件隱私指南中。
- 用完即丟的表單就給用完即丟的地址。 下載、試用、需註冊才能看的內容和商店註冊,都可以交給會自動過期的 MailDrop 信箱。當那個資料庫外洩時——註冊資料庫可是天天在洩——攻擊者拿到的是一個已經不存在、也從未與你連結的地址。沒用過的話,先看什麼是臨時電子郵件。
- 從此不再重複使用密碼。 獨一無二的密碼,能把一次外洩從「萬能鑰匙失竊」降級成「弄丟一把單獨的鑰匙」。
- 定期複查。 每幾個月、或新聞爆出重大事件後,快速跑一次外洩查詢,讓你永遠走在風險前面。
誠實的結語
單就信箱涉入外洩這件事,很少會是災難。災難發生在外洩的密碼被重複使用,或在一片混亂中點了釣魚郵件的時候。換掉受影響的密碼、消滅每一處重複使用、開啟兩步驟驗證,接下來幾週對信箱裡的訊息保持懷疑。然後把教訓帶著走:放進你無法掌控的資料庫裡的真實資料越少,下一次外洩能從你身上拿走的就越少。