包含来自众多既往泄露事件的 260 亿条记录的数据泄露

链接与泄露性质

• 原始链接对一些人造成了技术问题；有人建议使用 Cybernews 的替代链接，认为信息更完整。
• 许多人认为“史上最大泄露”是标题党。普遍共识是，这更像是把过去的多次泄露大规模拼接在一起，而不是一次全新的超大事件。
• 一些检查了自己条目的人表示，重复内容很多，还有伪造数据和垃圾数据；“新增”数据的真实规模尚不清楚。
• 至少有一位评论者指出，文章并不清楚究竟泄露了什么（明文还是哈希密码）。

情绪反应与个人应对

• 很多人表达了疲惫、麻木或对不断发生的泄露感到“末日感”，并假定自己的数据早已外泄。
• 常见的应对策略：监控金融账户/信用状况，并接受持续风险。
• 还有几位在尽可能多的场合使用虚假的个人信息（年龄、地址等），以降低暴露。

企业激励与监管

• 普遍认为，公司在安全方面理性地投入不足，因为泄露成本很低（主要只是公关损失）。
• 提议包括：
  • 对每条记录施以严厉罚款，并随重复泄露递增，直至实际上“处死”惯犯公司。
  • 持续性的“数据泄露税”，或由泄露责任方资助的永久身份监测。
  • 将 PII 视为负债而非资产；抑制数据囤积和定向广告。
• 也有人担心，极高罚款会激励攻击竞争对手，或导致更多掩盖和诉讼。
• 许多人认为当前监管和监督（尤其在美国）是严重失败。

身份、SSN 与替代模式

• 广泛批评 SSN 和静态标识符被当作“秘密”来使用。
• 建议包括：
  • 由政府背书的强身份认证，结合加密认证（智能卡、NFC），如欧盟部分地区所见。
  • 由放贷方承担糟糕身份核验责任的系统；将“身份盗窃”重新定义为验证失败。
  • 去中心化或自我主权身份方案；使用别名和按服务生成的化名，以尽量减少连带损害。
• 有人认为，美国的政治和隐私顾虑阻碍了稳健的身份系统以及类似 GDPR 的隐私法律。

加密、数据存储与技术限制

• 一些人认为，除非第三方永远看不到未加密数据，否则泄露还会继续发生（端到端加密、字段级加密、全局唯一标识符）。
• 反对意见指出，许多现实服务（电子商务、实验室、多设备邮件）确实需要访问明文，而提供商总可以推送恶意客户端。
• 更激进的想法提出点对点商业和仅本地数据，以消除有吸引力的中心目标。

实用防护与卫生习惯

• 建议行为：
  • 使用唯一的、生成的密码，并存放在（通常离线的）密码管理器中。
  • 避免重复使用邮箱；使用别名、catch-all 域或“隐藏我的邮箱”服务。
  • 尽量少提供 PII；避免存储支付信息，或在可用时使用虚拟卡号。
  • 在主要征信机构冻结信用记录，只在必要时解冻。
• 注意事项：
  • 即使很谨慎的用户，也会通过无法避免的关键服务（银行、房贷服务商、ISP）暴露。
  • plus 地址写法支持不一致；一些网站会错误处理它。
  • 某些地区缺乏可靠的虚拟卡选项。

银行与认证安全

• 多个轶事突出显示银行认证薄弱：依赖 SSN 片段、短信 2FA、糟糕的验证脚本。
• 令人沮丧的是，开发者账户或“破网站”往往比银行提供更强的认证选项。
• 一些银行正缓慢采用基于应用的推送验证码；另一些则推广语音/指纹认证，但许多人认为这很危险，因为深度伪造和生物特征不可撤销。

更广泛的展望

• 几位评论者认为，鉴于对抗性动态和无处不在的联网设备，泄露会渐近地逼近“所有可获得的信息”。
• 也有人认为这并非不可避免，只要把安全当作生存性问题即可，但承认目前激励机制严重错位。