Comcast 表示黑客窃取了近 3600 万 Xfinity 客户的数据

泄露范围与性质

• 黑客获取了数千万名 Xfinity 客户的数据，包括联系方式、出生日期、SSN 后四位以及安全问题/答案。
• 一些评论者认为，完整 SSN 和广泛的类信用局档案在此前的数据泄露中早已“到处都是”，因此这次更多是增量影响，而非独特影响。
• 人们指出，Comcast 的通知措辞含糊不清（“数量未指定的客户”），并且把事件描述为例行安全审查，而不是明确披露。

安全问题、SSN 与用户习惯

• 大家普遍认为，安全问题本质上就是密码，应该使用随机答案或不真实答案。
• 建议包括：使用短语密码，把问题当作替代提示（“宠物名字” → “第一辆车的颜色”），或者固定复用一套虚构模式并将其存入密码管理器。
• 反对意见：随机答案会降低可用性，尤其是在电话验证场景中；许多企业仍把这些信息以明文存储并用于呼叫中心认证。
• 更广泛的看法：SSN 及类似的静态标识符从根本上就不适合作为认证因素。

Comcast 的安全文化与 CitrixBleed 响应

• 多个轶事描述了内部安全实践松散，以及把销售指标置于认证之上。
• CitrixBleed 利用被批评为尴尬地简单；有人说 Comcast“及时”打了补丁，也有人从时间线中读出晚了好几周。
• 许多人怀疑 Comcast 所谓的“强大安全项目”是否真的有意义，除了在事后发现事件之外。
• 过去拒绝开展漏洞赏金计划，被引用为系统性漠视的证据。

责任、罚款与监管

• 许多人呼吁制定按用户计的法定罚款，并根据泄露数据的类型和组合进行分级，甚至罚到足以威胁公司存续。
• 争论焦点在于：巨额罚款或某种“企业死刑”是否真能帮助客户，还是只会把成本转嫁出去。
• 有人主张把个人数据视为负债而不是资产，以抑制囤积行为。

垄断、竞争与基础设施

• 普遍的不满在于 Comcast 往往在当地形成垄断或寡头局面；客户感觉自己无法“用钱包投票”。
• 讨论内容包括有线电视/电信游说、限制性的市政协议，以及禁止市政光纤。
• 有人认为核心基础设施（如宽带）应该由公共持有或受到严格监管，因为私营供给往往会走向垄断。

用户风险、缓解措施与“反正都泄露了”

• 许多人已经在主要信用局冻结了信用，并建议把这作为基本防护。
• 有些人觉得反复泄露让个人行动几乎无效，除了信用冻结和监控之外。
• 另一些人强调物理风险：地址暴露可导致跟踪、恶作剧报警或定向犯罪，尤其对知名人士而言。对有条件的人，还讨论了使用空壳公司或第三方来办理水电等服务的做法。

更广泛的安全启示

• 评论者批评企业产品过度设计（如 Citrix、WAF），而不是更简单、已被充分理解的技术栈；他们认为许多企业安全更像是表演。
• 通过电话对用户进行认证被描述为一个尚未解决的问题，它推动了许多不安全的做法。