Zara 时尚品牌数据泄露近 20 万用户或遭钓鱼攻击

科技媒体BleepingComputer昨日发布消息，确认了与西班牙快时尚巨头Zara相关的一起数据泄露事件，受影响用户数量已达197,400名。

根据报道援引的数据泄露查询网站Ha ve I Been Pwned的分析，此次泄露的数据范围包括用户的邮箱地址、地理位置、购买记录、产品SKU、订单ID以及客服工单对应的市场信息。

乍一看，这些信息似乎无法直接用于盗取账户，但隐患恰恰藏在这里。攻击者完全可以将邮箱与具体的消费轨迹拼接起来，为每一位受影响的消费者勾勒出一幅精准的“数字画像”。有了这份画像，后续的钓鱼攻击或其他社会工程学攻击的成功率便会大幅提升。例如，伪装成客服，在联系用户时准确引用其真实订单细节，这样的骗局无疑更具迷惑性。

所以，对Zara的用户而言，眼下更现实的风险并非支付信息盗刷，而是需要警惕可能接踵而至的钓鱼邮件、勒索软件攻击以及品牌冒充行为。如果收到任何涉及订单、退货或客服工单的邮件或电话，务必保持高度警觉，切勿点击陌生链接，也不要轻易重复提交账户信息。

作为全球最大时尚分销集团Inditex的旗舰品牌，Zara在全球拥有超过1500家直营与加盟店。Inditex集团旗下还拥有Bershka、Pull&Bear等多个知名品牌。集团方面已强调，此次受影响的数据库并不在其核心系统之内，攻击者也并未获取到用户的姓名、电话号码、住址、登录凭证或支付信息等更敏感的数据。为控制风险，Inditex已启动了安全协议，并向相关监管机构进行了通报。

值得注意的是，此次攻击已被黑客组织ShinyHunters认领。该组织声称，他们通过窃取的Anodot身份验证令牌，从一个BigQuery实例中获取了约140GB的文档。

ShinyHunters可谓是“战绩显赫”，在最近几个月内，它还认领了针对谷歌、思科、Match Group、Vimeo、Rockstar Games乃至欧洲委员会等多起高调的数据泄露事件。