6,800萬帳號信息外洩 Dropbox促用戶速改密碼

知名網路存儲及共享空間「Dropbox」週三（8月31日）對外發布聲明，該公司在2012年時發生的用戶電子郵件遭駭事件中受影響的電子郵件和加密密碼達到6,800萬筆，比起2年前報告的690萬筆多出10倍。該公司呼籲用戶立即更改密碼，以確保個資安全。

《今日美國》報導，Dropbox在2012年曾出現大規模用戶電子郵件地址遭駭客盜竊，不過當時並未發現用戶的密碼同樣被駭客竊取。近日則從網際網路上發現有部分舊用戶的電子郵件和密碼遭洩露，而且遭洩帳戶數量多達6,868萬741筆。

Dropbox公司表示，這些遭外洩的帳戶資料均來自2012年的事件，因此建議所有在2012年中之前註冊使用Dropbox，且2012年中起未曾變更過密碼的用戶立即更改密碼，並考慮啟動二階段驗證。

據數據外洩索引服務商LeakedSource向外媒softpedia透露，涉及的用戶密碼主要使用兩種演算法加密，其中有3,186萬5,280組密碼使用bcrypt雜湊加密，而另外的3,681萬5,461組密碼則使用SHA1雜湊加密。

LeakedSource發言人表示，由於Dropbox方面使用了未知的「加鹽」(Unknown salt)方式，以此提高密碼的複雜性，相信使用 SHA1加密的密碼短時間內不會被破解。

Dropbox方面也表示，敦促用戶更改密碼只是預防性措施，根據目前其安全團隊的檢測，相信尚未有帳戶遭到不當存取。同時，Dropbox建議，用戶最好不要在不同的服務帳號上使用同一組密碼。

2012年Dropbox遭駭事件最早被披露是在2014年10月，當時一名駭客透過文檔共享網站Pastebin宣稱他取得了693.7萬筆的Dropbox帳號及密碼，並公布了其中的400筆。但Dropbox則否認該站遭到入侵，表示相關資訊是由第三方服務所外洩。

《今日美國》報導稱，儘管Dropbox的帳戶資料或者存儲在網路上的資料沒有大量外洩，但這一事件對於網路用戶如何保護自己的網路資訊安全仍然是一個警鐘。

舊金山諮詢公司AsTech的安全顧問溫茲萊爾（Nathan Wenzler）表示，人們在使用在線服務時，一定要非常注意用戶帳戶和密碼的安全。

以下是溫茲萊爾的三個建議：

首先，相同的密碼不應該在多個網站上同時使用，這樣一來，假若其中的一個帳戶被攻破，駭客也不會用同樣的密碼去攻破其它的帳戶。

其次，密碼應該相對複雜一些，因為即使服務公司使用強大的加密功能對密碼進行加密，但諸如1234這樣的簡單密碼，將會讓駭客極易破解。

第三、不要偷懶，定期更改密碼。在Dropbox的案例中，有很多用戶從2012年創建帳戶以來，從來沒有更換過密碼，這是一件多麼恐怖的事情。