Tell HN：Scribd 遭入侵
Scribd 透露发生了一起安全事件，未经授权的一方可能访问了用户电子邮件地址和部分支付信息，包括信用卡后四位、发卡机构、国家和到期日期。评论者质疑公司分批且含糊的通知流程，指出其类似问题的历史，并对这一被广泛认为是在给原本可免费获取的 PDF 加付费墙的服务缺乏同情。这次泄露也被视为更广泛网络攻击浪潮和日益增长的“泄露疲劳”的一部分，讨论还涉及 AI、红队测试，以及虚拟卡等更好的支付工具可能如何改变安全格局。
泄露细节与通知
- 有用户表示在 10 月下旬的不同日期收到了泄露通知邮件。
- 讨论串中链接的 Scribd 支持文章称通知会分批发送；评论者指出这解释了延迟的 事实，但没有说明其 原因。
- 邮件内容被描述为基本上是支持文章的重复，一些人批评其表述含糊，并把用户引导去打电话。
- 一段被引用的文字称，可能泄露的数据包括：电子邮件地址、信用卡后四位、国家、发卡机构和到期日期。
- 有人想知道如何识别受影响的是哪张卡；通知要求用户联系专门的呼叫中心。
对事件处理与历史的批评
- 多位评论者质疑为何没有一次性向所有受影响用户发送通知，尤其是在涉及付款信息时。
- 事件页面被批评几乎没有提供具体信息，而且只在 10 月初更新过一次。
- 讨论中提到了 Scribd 2013 年的先前泄露；当时他们声称没有访问到支付数据，并承诺提升安全性。评论者指出，历史似乎正在重演。
Scribd 作为服务的声誉
- 许多人对 Scribd 表现出敌意，称其掠夺性或“负价值”，原因包括：
- 把原本免费可用或曾经免费可用的 PDF 放到付费墙后面。
- 鼓励上传内容，却不给上传者报酬。
- 让原始文件难以下载，并推动订阅。
- 不少人说自己在搜索结果里都会直接忽略 Scribd，也对这家公司毫不同情，但会同情受影响的用户。
更广泛的安全问题与泄露疲劳
- 有人把这次泄露看作一波事件中的一部分；也有人说，人们在很多年前就已经对数据泄露不再在意，转而接受现实。
- 讨论扩展到 AI 的双重角色：
- 既可作为攻击者和防御者的工具。
- 也会在用于生成代码时，导致代码库更混乱、理解成本更高。
- 关于 AI 保护的代码是否真的更安全存在争论；一些人认为，目前由人类编写、再用 AI 审查的代码更安全。
技术安全分支讨论与回应
- 有人澄清，“静态加密”主要是防止物理硬盘被盗，而不是防止应用被攻破。
- 提到了同态加密，理论上可避免明文暴露，但被认为当前并不实用。
- 讨论了虚拟/一次性信用卡作为缓解手段；是否可用取决于银行。
- 一些人计划通过关闭旧账户来减少自己的“账户攻击面”，以限制未来的暴露。