find-leaks-in-the-wild

在真实环境中查找泄露数据

数据会在被任何内容索引之前出现在这里，而你找到的大多数内容，都是多年前泄露数据的重新组合。最常见的两个错误是：以为粘贴站自身的搜索能找到粘贴内容，以及把账号密码列表（combolist）报告为数据泄露事件。前者会白白浪费一天；后者会让交付内容出现事实错误，而且迟早会被发现。

根据手头的信息从哪里开始

你有	从这里开始	原因
一个电子邮件地址或用户名	先查精选数据泄露服务	成本低、有来源标注，而且能回答大多数问题——what-leaked-about-you
一个你认为目前正在流传的查询标识符	先用 site: 搜索粘贴站，再查粘贴内容聚合器	搜索引擎覆盖有限，但免费；聚合器能找到从未被抓取的内容
一份已删除的粘贴内容	查历史粘贴内容语料库	内容被删除是常态；有些服务会保留内容
有人声称某家公司的数据遭到泄露	先查该公司的自行披露，再查监管机构的通知	一个权威来源胜过再多的论坛传言
一份正在被兜售的数据集	对样本进行结构分析	要回答问题，几乎从不需要完整数据集
一个你正在防护的域名	使用供应商监控，并设置自己的诱饵查询标识符	零星搜索会漏掉两次搜索之间发布的所有内容

各来源的访问模式和风险： reference/source-catalogue.md。

为什么粘贴站搜索不起作用

粘贴内容默认不公开列出。没有索引页，没有目录，只能通过 URL 访问——因此站点无从搜索，爬虫也无从追踪。有些站点会提供数据流或抓取接口，但通常仅限付费账号使用，并要求将 IP 地址加入允许列表，因为开放版本曾遭滥用。内容量极大，保留时间也很短。

因此，人们主要通过另外四种方式找到粘贴内容，按大致成效排序：持续抓取粘贴站并为内容建立索引的第三方聚合器；原始内容删除后仍会保留内容的历史粘贴内容语料库；搜索引擎的 site: 查询，由于页面没有链接且存续时间短，覆盖有限，但无需付费；以及将粘贴内容与数据泄露事件一并编入索引的精选数据泄露服务。

先使用免费的方式；查询形式见 google-like-a-spy。请注意，粘贴内容生态远不止那些显而易见的站点：简约的现代粘贴服务、代码沙盒、代码片段、发布到网络上的文档，以及内容经过客户端加密、服务器本身无法读取的粘贴软件——任何现有聚合器都看不到这类内容。

论坛：一个有生命周期的类别

不要去记站点名称，要了解其中的规律。一个论坛积累用户和数据，成为公认的交易市场，招来执法部门，最终被查封或运营者被捕——几周内就会出现一个声称延续其传统的继任论坛，往往沿用同一批工作人员并导入原论坛的用户数据库。名称会变，但这个类别不会。

以下三点会改变你的行事方式：

• 被查封后“恢复”的论坛，可能由执法部门运营或监控。 这种情况确实发生过。注册账号会让你的信息进入证据材料。
• 注册会带来持续风险。 论坛数据库可能泄露、被查封或被公开。应假定你创建的任何账号最终都会被公开，其中的电子邮件地址、IP 历史记录和帖子也会一并曝光。
• 未注册访客能看到的是宣传内容，而非数据。 声誉等级和付费墙会限制对实际数据集的访问，这正是付费获取访问权限会加剧法律风险的原因。

许多组织禁止调查人员接触这些站点，转而向通过合同承担风险的供应商购买情报。这是合理的做法，并非逃避责任。

Telegram 是分发层

这是结构性原因，而非一时风潮：频道可以向无限量订阅者广播，直接附加大型文件，被封禁的频道几分钟内就能重建，而且无需邀请即可访问公开频道。

通过平台的公开预览在浏览器中阅读公开频道。 无需账号，也无需加入。加入频道是一项会暴露你身份的账号操作；对于阅读公开频道而言，它毫无益处。先这样做，在大多数调查中，也只需这样做。

发现频道才是难点——应用内搜索不擅长寻找你尚不了解的频道。第三方频道索引和频道搜索服务是切实可行的途径，而且还能提供订阅者历史记录和帖子存档，这些都是频道本身不会提供的。

有两项平台特性值得了解。转发的消息会标明来源频道，因此，沿着转发链可以还原分发路径，而且往往能找到源头。此外，机器人会被用作泄露数据库的检索入口——查询机器人会暴露你的账号，并将你的筛选条件交给其运营者，因此应将任何此类机器人视为针对你的情报收集者。

频道会消失，存档也会随之消失。一旦看到帖子、文件列表和元数据，就立即保存。

如果你需要账号，它必须是专用账号，使用非本人持有的号码，并在首次启动前锁定发现和联系人同步设置。investigate-without-getting-made 涵盖了整个环境；不要在这里自行发挥。

真正的泄露事件还是回收再利用的凭据列表

对于任何被称为新泄露事件的材料，默认假设都应是它由旧资料重新组合而成，因为大多数情况确实如此。要让这项说法经得起验证。

最有力的证据来自外部：所谓受害方自行披露的消息，或监管机构、CERT 发出的通知。在接触数据之前，先检查这些信息。

从结构上看，真正的源数据转储会沿用其来源应用的架构：列顺序一致；内部标识符连贯，且在记录删除处存在间隔；注册时间戳分布于服务的实际存续期内；哈希方案符合当时的情况；电子邮件域名分布与用户群体相符；还有最有力的正面信号——包含只有该服务才会收集的字段，例如订阅等级或游戏角色名称。

凭据列表则完全不是这样：只有两列，没有元数据，经过排序和去重，记录数量可疑地整齐，混杂着多种哈希格式，并且与同一密码下、早已明确归属的旧泄露数据高度重叠。有些重叠很正常，因为人们会重复使用凭据——你要衡量的是重叠率。

还需排除另外两种误判：被包装成黑客攻击的公开抓取数据，其中每个字段都是平台原本就展示过的；以及已用其他名称传播过的数据集，可通过在粘贴站和论坛语料库中搜索公告里的独特字符串来发现，例如确切的记录数、文件名和卖家的措辞。

完整检查清单和评分标准： reference/authenticity-triage.md。

持续监控与一次性搜索

一次性搜索只能回答“现在是否存在”，会错过两次搜索之间发布的所有内容。考虑到粘贴内容通常会保留多久，这类内容占了绝大多数。要持续掌握泄露情况，就需要持续收集；而实际上，这意味着购买供应商的监控服务，因为自行从这些来源收集数据，恰恰会带来你本想规避的风险。购买前先问一个问题：他们从什么时候开始收集，因为覆盖范围从那时才开始，而且没人能补回他们从未捕获的内容。

然后衡量他们的表现。在你要保护的系统中植入诱饵标识符——独特的电子邮件地址和标识符，并为每个供应商和合作伙伴分别设置不同的标识符。诱饵不仅能告诉你发生了泄露，还能指出是哪一方下游泄露了数据，因此这是这里唯一能提供溯源而不只是检测的机制。它还能独立衡量你的监控供应商是否看到了他们声称能看到的内容。

容易出错的地方

• 凭据组合列表会摧毁来源信息。 命中只能说明某个账号密码组合曾在某处出现，无法指出它来自哪个服务——而这正是调查价值所在。
• 声称的日期只是营销话术。 泄露日期、首次流传日期和你的信息源收录它的日期是三个不同的日期，彼此往往相差数年。
• 没有发现并不说明什么。 找不到某个标识符，只能说明它不在你能访问的数据集中。大多数泄露材料根本不会公开发布。
• 卖家会在两个方向上谎报范围，要么夸大范围以抬高价格，要么缩小范围以免引人注意。抓取的数据经常被重新标记为泄露数据，供应商也不例外。
• 你的搜索会被记录——供应商平台、机器人和论坛搜索框都会记录。假设你查询的每个标识符都会被某人保留。
• 公告数量不等于事件数量。 同一数据集会被许多转售商反复重新发布，按帖子数量统计会夸大活动规模。
• 恶意软件和钓鱼才是镜像站与仿冒泄露网站的真正目的，它们会专门针对通过搜索新域名而访问这些网站的人。

置信度分级

• 已确认 — 声称受影响的组织或监管机构已披露该事件，且样本结构与披露内容一致。
• 较有可能 — 尚未披露，但包含特定于服务的字段、一致的内部标识符、合理的时间戳和哈希，且与先前数据集的重合度较低。
• 未经确认 — 样本可信，但没有相关披露，也没有可用于区分来源的结构；或者你只看到卖家对某个数据集的描述。
• 已驳回 — 与同一密码的先前泄露高度重合，呈现双列凭据组合列表的格式，记录数超过受影响组织合理的用户规模，把抓取数据说成系统遭入侵，或者该数据集曾以其他名称更早出现。

写作时要把三项主张分开：某个数据集存在且正在流传；其中包含与你的目标对象相关的记录；目标对象的系统遭到入侵。第三项主张强得多，而且目标对象的数据也可能来自供应商、合作伙伴、以前收购的公司和无关服务的泄露。

示例

某客户的域名出现在一条 Telegram 帖子中，帖子宣称某家该客户正在使用的 SaaS 提供商发生了“新泄露的 240 万条数据”事件。

该供应商尚未发布任何披露信息，也没有监管机构通知。卖家提供的样本是通过频道的公开网页预览获取的，无需加入频道。样本包含两列 email:password，经过排序，没有用户 ID、注册日期，也没有该产品特有的字段。

没有进展：在粘贴内容库中搜索确切的记录数和文件名，没有找到更早的内容，因此“是否已换名传播”的测试无法得出结论，而非证实了这一点。

交叉比对给出了答案。抽查的 12 条样本记录与一个精心整理的泄露事件服务进行比对后，发现它们出现在三个更早且来源标注可靠的泄露事件中，密码也完全相同。记录数是整数，没有数据结构，且几乎完全重合：这是一份借知名品牌之名营销的组合列表。

报告结论：与客户员工相关的记录正在传播——可能属实；所指的供应商遭到入侵——驳回，并记录了理由。无论如何，客户都应轮换密码，因为这些凭据已经在传播，不论其来源为何。

后续调查方向

新线索	转至
泄露数据中的电子邮件地址	what-an-email-reveals、what-leaked-about-you
用户名和账号名	hunt-a-handle
电话号码	whose-number-is-this
列表中的域名和主机名	who-owns-this-domain、find-hidden-subdomains
出售帖中的钱包地址	follow-the-crypto
卖家或频道运营者身份	find-anyone、graph-the-network
附件文档和图片	secrets-in-file-metadata、is-this-photo-real
可追溯到代码仓库的凭据或密钥	secrets-in-git-history
已被删除的帖子或频道	read-deleted-pages

法律与处理须知

绝不要使用泄露的凭据登录任何系统。 不要用它确认账号是否存在，哪怕一次，也不要因为客户口头许可就这么做。在大多数司法辖区，凭据填充属于计算机滥用法所禁止的未经授权访问，而密码已公开并不能作为辩护理由。重置密码和使用找回的安全问题答案也同样如此。

绝不要购买、索取或交换泄露数据。 除了资助数据交易外，在许多司法辖区，购买和索取都属于犯罪，而查看公开页面则不属于；这条界线会让调查演变为犯罪行为。

持有是否合法取决于司法辖区。 有些司法辖区将持有某些类别的被盗数据定为犯罪，不论数据如何取得；另一些则将其视为受数据保护规则约束的合法处理。下载任何内容前，先确认适用的法律制度；对于涉及下载的任何委托，都应将这一决定书面记录。

在实际操作中：分析样本而非获取完整数据集，将保留量降至最低，静态存储时加密并记录访问情况，绝不保留凭据，按事先确定的计划删除，并记录保留每项内容的必要性。根据 GDPR 及同等制度，这些内容属于个人数据，且往往属于特殊类别数据；处理这些数据需要合法依据。参见 ../../ETHICS.md。