Bleeping Computer 網站披露，Zacks Investment Research (Zacks)遭遇了此前未公開披露的數據泄露事件，影響約 880 萬客戶。

值得一提的是，2021 年 11 月至 2022 年 8 月期間，Zacks 曾發生過數據泄露事件，未經授權的網絡攻擊者”訪問“了約 82 萬名客戶的個人敏感信息，但 Zack 在當時通報中聲稱沒有理由相信任何客戶信用卡信息、任何其他客戶財務信息或任何其他客戶的個人信息被訪問。

Zacks 大量數據信息泄露

數據泄露查詢網站 Have I Been Pwned（HIBP）在收到包含 880 萬條用戶記錄的數據庫后，于上周末列出了一個新的 Zacks 泄露事件。

HIBP 的創建者 Troy Hunt 告訴 Bleeping Computer，這個數據庫似乎是在 2020 年 5 月 10 日左右被”丟棄“的，（比第一次披露的82萬客戶信息泄露還要早。）比 Zacks 之前的漏洞要早。此外，Hunt指出泄露的數據庫包含了 Zacks 客戶的電子郵件地址、用戶名、未加鹽的 SHA256 密碼、地址、電話號碼、名字和姓氏以及其他數據信息。

Zacks 在 HIBP 上的最新數據泄漏通知

據悉，網絡攻擊者沒有”訪問“信用卡和銀行賬戶等財務信息，不幸的是，Zacks 此前已經為 1 月份披露的漏洞啟動了密碼重置程序，但 90% 沒有被確認為漏洞的賬戶沒有被納入該措施，因此致使其面臨賬戶劫持、憑據填充和 SIM 卡交換的安全風險。

目前，Zacks 方面還沒有正面回答 BleepingComputer 的問題，Hunt 表示 Zacks 計劃通知受影響的用戶，但何時通知還沒有時間表。

黑客論壇上出現了 Zacks 數據

在將數據泄露添加到 Have I Been Pwned 不久，Zacks 數據庫就被發布在了 Exposed 黑客論壇上。（該論壇是一個用于共享和出售被盜數據的網站，因泄露包含現已解散的 RaidForums 近 50 萬成員詳細信息的數據庫而臭名昭著）。

威脅攻擊者在 Exposed 論壇上發布的帖子（來源： Bleeping Computer）

最后，鑒于目前數據庫已被公開泄露，威脅攻擊者可能會在網絡釣魚或憑據填充攻擊中濫用該數據庫。 因此，強烈建議所有 Zacks 用戶將密碼更改為僅在該網站使用的唯一密碼，如果在其他網站使用相同的Zacks 密碼，建議立刻修改密碼。

文章來源：https://www.bleepingcomputer.com/news/security/have-i-been-pwned-warns-of-new-zacks-data-breach-impacting-8-million/