ShinyHunters 聲稱泄露事件導致 11.9 萬個 Vimeo 電子郵件被公開

根據 Have I Been Pwned 的數據，超過 119,000 個 Vimeo 用户的電子郵件地址在一起與第三方分析供應商相關的泄露事件中被提取。

這一事件首次出現在四月，當時 ShinyHunters 團隊將 Vimeo 加入其不斷擴大的 “支付或泄露” 黑名單，聲稱他們提取了數百 GB 的數據，並威脅如果不達成協議就會公開這些數據。

該數據泄露事件已經發生，泄露通知服務 Have I Been Pwned 現在給出了至少部分後果的數字：119,000 個獨特的電子郵件地址，在某些情況下與姓名配對。

Vimeo 上週確認數據被盜，但沒有具體説明有多少人受到影響。該公司將事件歸咎於 Anodot，這是一家在其系統中使用的第三方分析提供商，並表示攻擊者是通過該集成獲得訪問權限，而不是直接入侵 Vimeo。

Anodot 尚未公開發表任何聲明，但其狀態頁面顯示事件始於 4 月 4 日。

根據 Vimeo 的説法，被盜數據庫主要包含技術數據、視頻標題、元數據和一些客户電子郵件地址。該公司強調了未包含的內容：沒有實際的視頻內容，沒有有效的登錄憑證，也沒有支付卡信息。

這並不意味着數據是無害的。像這樣的電子郵件列表會被重複使用、轉售，並在多年內被回收用於網絡釣魚，尤其是當它們附帶足夠的上下文使信息看起來可信時。

• ESA 報警，犯罪分子盜取 500 GB 文件，稱安全漏洞仍然存在
• 去年近一半的英國企業遭到攻擊，網絡釣魚仍然像 2005 年一樣有效
• Have I Been Pwned 聲稱 Pitney Bowes 遭遇 820 萬電子郵件地址泄露
• 準備迎接補丁海嘯：人工智能正在揭露數十年的代碼債務

攻擊者聲稱泄露事件更為嚴重。在 The Register 看到的一篇帖子中，ShinyHunters 指稱 “Snowflake 和 BigQuery 實例的數據因 Anodot.com 而受到損害”，並補充説該公司 “儘管多次嘗試談判，但未能達成協議”。

Vimeo 表示已從源頭切斷問題，禁用 Anodot 憑證，拆除集成，並引入外部安全幫助，同時通知執法部門。調查仍在進行中，該公司表示會在瞭解更多信息後更新客户。

目前，Have I Been Pwned 的數據似乎填補了 Vimeo 初步披露留下的空白，並強調了一個熟悉的問題：你可以鎖定自己的系統，但你的供應商只需一次失誤。®