#安全资讯 日本软件销售商 Sourcenext 遭到黑客攻击，泄露 22,519,960 条记录，蓝点网曾在上面买过 1Password 3 年版，因此也中招。可能外泄信息包括电子邮箱、密码、姓名及假名、地址、性别、电话号码、传真号码、出生日期、公司名称、职位等。蓝点网怀疑该平台甚至使用明文存储密码，因为事发后 Sourcenext 立即重置所有用户密码，并且在邮件通知中没有提到密码是哈希加盐存储的。正常来说如果是哈希加盐的那应该说明，因为这类密码泄露后问题不是很大。查看全文：https://ourl.co/127475
日本知名软件销售公司 Sourcenext 日前向用户发送电子邮件通知，攻击者滥用会员信息查询 API 接口批量获取用户数据。该公司估计最多有 22,519,960 条记录外泄，涉及用户的注册邮箱、密码、姓名、住址、电话等信息。具体到每位会员，受影响的字段可能不同，基于安全考虑该公司已重置所有用户密码。
Sourcenext 称 10 月 13 日上午 9 时左右发现会员信息管理系统遭到未经授权的访问，当天下午 13 时 36 分 Sourcenext 采取措施阻断攻击 (很奇怪 9 点发现异常为什么到下午 1 点才阻断攻击)。
后续调查显示，攻击者早在 10 月 9 日上午 10 时就开始不当调用会员信息获取 API，然后批量匹配获得用户信息。Sourcenext 已经向日本个人信息保护委员会披露此次安全事件，同时聘请外部专业机构进行调查。
Sourcenext 列出可能泄露的信息包括但不限于：电子邮箱、密码、姓名及假名、地址、性别、电话号码、传真号码、出生日期、公司名称、职位、部门，以及服务加入情况、注册日期和登录日期等系统识别信息。
公告还特别提到清单列表是可能涉及的字段，但并非所有用户所有字段信息都泄露，而密码也在可能泄露的范围内。蓝点网甚至有点怀疑 Sourcenext 采用的是明文存储，因为如果是哈希加盐存储，那肯定会在邮件中说明，哈希加盐密码泄露倒是问题不大，但如果是明文密码那就惨了。
蓝点网曾在 Sourcenext 买过软件信息也被泄露：
此前密码管理器 1Password 宣布涨价，但 Sourcenext 提供的 3 年版 1Password 按汇率和折扣价计算还比较划算，于是蓝点网也通过 Sourcenext 注册会员并购买 1Password 3 年版订阅。
不过蓝点网使用的都是随机生成的高强度密码，因此哪怕是明文存储也不至于要去轮换其他所有网站密码，但个人信息泄露就很让人头疼，所幸我预留的真实信息不多，除了邮箱外其他信息基本都是假的，但接下来可能会频繁收到垃圾邮件甚至针对性的钓鱼邮件。
建议曾在 Sourcenext 购买过软件或注册或会员的用户立即检查使用的密码，如果该密码也曾在其他网站使用，那需要将这些网站的密码也都改掉，如果可以最好使用密码管理器生成随机密码，避免以后再出现类似问题。
