Have I Been Pwned收到近7,100萬筆來自惡意程式的外洩電子郵件帳號及逾1億個密碼

蒐集全球外洩個資並免費供使用者查詢的Have I Been Pwned（HIBP），本周再獲得了70,840,771筆的電子郵件帳號與1億個密碼，過去HIBP所蒐集的資料多半來自企業資料庫遭駭，但這次的資料卻是來自駭客透過惡意程式於被害者的電腦上搜括而來。

該筆資料名為Naz.API，在去年9月便出現在駭客論壇上，並輾轉交到HIBP創辦人Troy Hunt手上。Hunt發現，Naz.API總計有104GB，存放了319個檔案，當中含有70,840,771個電子郵件帳號，其中有65%的帳號已被HIBP收錄，有35%是新的外洩資料。

圖片來源／Troy Hunt

值得注意的是，當Naz.API出現在駭客論壇時，賣家宣稱相關資料來自於Stealer logs，內含10億筆的不重覆紀錄，代表這是駭客於使用者裝置上植入惡意程式，自受駭裝置的瀏覽器搜括而來，因此，除了電子郵件帳號之外，也可能含有各種服務的密碼、Cookie、瀏覽歷史紀錄、金鑰或加密貨幣錢包等。

Hunt輸入自己的資料進行測試，發現他的電子郵件帳號的確出現在Naz.API中，還有他在2011年以前曾使用過的許多密碼，顯示它可能是個很舊的資料庫。

使用者只要於HIBP上輸入自己的電子郵件帳號，就能查詢自己的資料是否曾經外洩，系統也會秀出外洩的服務名稱，但若資料出現在Naz.API中，便意謂著使用者的電腦曾經感染過惡意程式。