小米数据库泄露事件 拿什么来保护你的账号安全?

5月13日晚间，微博认证为山东电视台记者的@风似利刃 发微博称：“据知情人爆料，疑似@小米手机论坛的用户数据库在黑客界传播。大概800W数据，多为13年左右的老数据。小米用户注意修改密码。”随后，据国内安全问题反馈平台乌云的最新消息，证实了小米论坛官方数据泄露的事故。此次泄露的数据可进入小米账户，通过小米云服务可得到手机号及设备信息;通过同步可获得通讯录，短信，照片，并可在线定位，锁定手机及擦除信息等。今日10点左右，小米公司官方微博回应了此问题，公布了具体涉及账号的细节，并向用户道歉。

2011年CSDN的泄密门事件还未走远，小米论坛800W数据泄露又波澜再起，在速速改密码之后，下面就赶紧跟随随小编一起来深入看看近几年互联网数据泄露的”来龙去脉“，从中学个一招半式，“涨涨姿势”保护你的账号安全和个人信息吧!

一、事件综述：

①山东电视台记者 @风似利刃 13日23点左右发布微博称，“据知情人爆料，疑似 @小米手机 论坛的用户数据库在黑客界传播。大概800W数据，多为13年左右的老数据。小米用户注意修改密码。 ”

②国内安全问题反馈平台乌云跟进并转发称，“有消息称小米论坛数据库疑似遭到泄露，大概影响到2013年的800w用户数据，目前消息真实性正在确认中，希望知情人士可以提供线索，同时请小米用户做好修改密码的准备，因泄露信息很可能间接影响到小米手机云中的敏感数据! ”

③今日01:48，@乌云-漏洞报告平台微博最新消息，“小米数据库泄露事件最新进展：乌云君已将最新的用户报告提交给了官方，结果指明官方数据确实遭受了泄露事故，影响800w左右论坛注册用户，请大家及时修改密码，避免影响到小米云导致手机敏感信息泄露!”

④今日10点38分，小米回应，承认800万用户数据泄露，官方微博回应问题，公布了具体涉及账号的细节，并向用户道歉。#p#

二、小米回应：

今日10点38分，小米公司官方微博也迅速通过官方微博回应了此问题，公布了具体涉及账号的细节，并向用户道歉。

以下是小米官方回应全文：

尊敬的小米用户：

2014年5月13日，我们接获部分早期小米论坛账号信息可能泄露的消息，第一时间进行了全面安全检查。

经查，确有部分2012年8月前注册的论坛账号信息被非法获取。

对此次事件给用户带来的困扰，我们深表歉意。

这部分账号信息此前进行了严格加密(独立Salt单向哈希值)，且不少用户近年已修改密码，实际可能存在风险的只有其中一小部分。截止公告前，我们尚未发现可见的流量异动以及投诉报告。

经确认，2012年8月后注册小米账号的用户在本次事件中完全不受影响;对在此之前注册小米论坛账号，且在2012年8月后未修改过密码的用户，出于安全考虑，我们将通过短信、邮件等方式提示其尽快修改密码。对于前述可能存在风险的小部分账号，我们会要求其立即修改密码。

在创业初期，我们的论坛及依附论坛产生的账号体系都使用了第三方开源程序。2012年8月，基于安全考虑，旧论坛账号体系不再使用，小米将所有服务(包括小米云服务、米币等)切换到全新的账号安全体系，采用业界最新安全实践方案，对所有存储数据均进行了最严格的安全加密。

用户账号和隐私安全是小米极其重视的头等大事，我们一直对此持最谨慎态度，不遗余力地提升安全保障措施，包括异地登录预警、安全令牌登录等。用户登录使用重要服务(米币中心、小米云服务等)时，还会在手机端得到安全提示推送。

我们将密切关注此次安全事件动态和用户反馈，持续跟进并及时通报。

小米安全中心

2014年5月14日

#p#

三、网络信息泄露的应急安全措施

2011年12月29日，微博上流行一张截图，内容是用户的账号以及地址，并称“当当网1200万用户信息疑遭泄露”。2011年的“泄密门”事件同样也闹得沸沸扬扬，当时当当对于此消息，采取的措施是，官方公布表示立即在内部进行排查：“经核实，网络公布的信息数据只有极小部分属实，且均系2011年6月之前的老数据，该部分数据是由于之前遭到网络黑客攻击被盗取。”

继CSDN、天涯社区用户数据泄露后，互联网行业一片人心惶惶，而在用户数据最为重要的电商领域，也不断传出存在漏洞、用户泄露的消息，目前已经被卷入的企业有京东(微博)商城、支付宝(微博)和当当(微博)网，其中京东及支付宝否认信息泄露，而当当则表示已经向当地公安报案。

互联网安全问题早已引起关注。而最近的一系列 “泄露门”则进一步推动了相关人士对这一问题的讨论，同时，也引起了主管部门的注意。天涯社区等一系列网站用户信息泄露事件传出后，国家工信部近日在官网发出 《工业和信息化部关于近期部分互联网站信息泄露事件的通告》。除对窃取和泄露用户信息的行为进行谴责外，工信部称已启动应急预案，组织相关通信管理局、国家计算机网络应急技术处理协调中心(CNCERT)、网络安全专家和部分互联网企业，了解核实事件情况，评估事件影响和危害，研究提出应对措施，同时，工信部要求各互联网站要及时发现和修复安全漏洞，发生用户信息泄露的网站，要妥善做好善后工作，尽快通过网站公告、电子邮件、电话、短信等方式向用户发出警示，提醒用户修改在本网站或其它网站使用的相同用户名和密码。未发生用户信息泄露的网站，要加强安全监测，必要时提醒用户修改密码。