某购物网站被黑客攻击导致用户信息包括用户常用地址用户名密码

上周，一家用户量超过六千万的购物网站被黑客攻破，数据库里上百万条用户信息被打包叫卖，包括用户名、密码和常用收货地址。安全团队在暗网论坛上看到有人挂出这批数据，标价两个比特币，还附了五千条样本供买家验证。样本里能清楚看到注册邮箱、明文密码和详细到门牌号的收货地址。

密码泄露最要命。很多人图省事，购物网站密码和邮箱、社交账号甚至网银用同一个。黑客拿到这批数据，第一件事就是撞库——用同样的账号密码去试其他网站。去年一家邮箱服务商被撞库，源头就是购物网站泄露的密码。地址泄露也不容小觑，骗子能准确报出你最近买了什么、寄到哪里，冒充客服退款诈骗成功率翻倍。用户名泄露则让钓鱼邮件更精准，标题直接写你的昵称，正文里夹带恶意链接，点开就中招。

这次攻击的手法并不高级，黑客利用的是网站一个未修复的SQL注入漏洞。安全审计发现，该网站的后台登录接口没有做参数过滤，攻击者通过构造恶意请求直接拖走了用户表。更让人捏把汗的是，密码存储用了过时的MD5加密，没有加盐，普通密码几秒钟就能破解。内部管理也有漏洞，离职员工的账号没有及时注销，成了跳板。

普通用户能做的不多，但很关键。马上改密码，尤其是购物网站和其他重要账号共用的密码。开启二次验证，哪怕只是短信验证码。收到退款、理赔电话先挂掉，自己登录官方App查订单。别点短信里的链接。网站方面，该升级加密算法、加WAF、定期做渗透测试，别等出事再补。

数据泄露没有旁观者。今天被卖的是购物地址，明天可能就是你的身份证照片。别等接到诈骗电话才后悔。