日本软件销售商Sourcenext泄露2252万条敏感信息 蓝点网曾买过软件也被泄露
内容提要
日本软件销售商Sourcenext遭黑客攻击，攻击者于10月9日至13日滥用会员信息查询API批量获取数据，约2251万条记录可能外泄，涉及邮箱、密码、姓名、地址、电话、出生日期、公司及职位等信息。公司已重置所有用户密码并向日本个人信息保护委员会披露。由于通知未说明密码是否经过哈希加盐处理，文章怀疑其可能明文存储密码。建议曾注册用户立即更换密码，尤其是曾在其他网站复用过的密码。
延伸解读
API滥用暴露接口安全短板
攻击者从10月9日至13日持续滥用会员信息查询API批量获取数据，说明该接口缺乏有效的频率限制或异常行为监控。企业应重视API访问控制，部署实时监测与阻断机制，避免合法接口被用于大规模数据抓取。
响应延迟与密码存储疑云
Sourcenext在10月13日上午9点发现异常，却到下午1点36分才阻断攻击，响应延迟可能扩大了泄露规模。此外，通知未说明密码是否哈希加盐存储，引发明文存储猜测。若密码未加密，攻击者可直接利用，风险远高于哈希泄露。
用户应尽快更换复用密码
泄露信息包括邮箱、密码、姓名、地址等，可能被用于垃圾邮件或钓鱼攻击。曾注册Sourcenext的用户应立即更换密码，尤其是与其他网站复用的密码。使用密码管理器生成随机高强度密码，可降低此类事件的影响。
Q&A
Sourcenext数据泄露事件中，攻击者是如何获取用户信息的？
攻击者滥用会员信息查询API接口，在10月9日至13日期间批量获取用户数据。
Sourcenext泄露了哪些类型的个人信息？
可能泄露的信息包括电子邮箱、密码、姓名及假名、地址、性别、电话号码、传真号码、出生日期、公司名称、职位、部门，以及服务加入情况、注册日期和登录日期等系统识别信息。
Sourcenext是如何发现和应对这次攻击的？
Sourcenext于10月13日上午9时左右发现会员信息管理系统遭到未经授权访问，当天下午13时36分采取措施阻断攻击，并向日本个人信息保护委员会披露，同时聘请外部专业机构进行调查。
为什么怀疑Sourcenext可能明文存储密码？
因为Sourcenext在邮件通知中没有提到密码是哈希加盐存储的，而通常如果是哈希加盐存储应该会说明，所以怀疑可能采用明文存储。
作为Sourcenext的用户，我应该采取什么措施？
建议立即检查使用的密码，如果该密码也曾在其他网站使用，需要将这些网站的密码也都改掉，最好使用密码管理器生成随机密码。
蓝点网在Sourcenext购买了什么产品？其信息是否也泄露了？
蓝点网曾在Sourcenext购买1Password 3年版订阅，因此其注册信息也在本次泄露事件中受到影响。
