HackerNews 编译，转载请注明出处： Zacks Investment Research（以下简称 Zacks）是一家美国投资研究公司，通过其专有的股票表现评估工具“Zacks Rank”为客户提供数据驱动的洞察，以帮助做出明智的财务决策。据报道，Zacks 去年遭受了另一起数据泄露事件，导致约 1200 万个账户的敏感信息被曝光。 今年 1 月底，一名威胁行为者在黑客论坛上发布了数据样本，声称 Zacks 在 2024 年 6 月发生了数据泄露，导致数百万客户的数据被曝光。这些数据可供论坛成员以少量加密货币换取，包含全名、用户名、电子邮件地址、物理地址和电话号码。 BleepingComputer 多次联系 Zacks 询问数据的真实性，但尚未收到回复。然而，该威胁行为者告诉 BleepingComputer，他们以域管理员身份访问了公司的活动目录，然后窃取了主网站（Zacks.com）和其他 16 个网站的源代码，包括一些内部网站。他们还分享了窃取的源代码样本作为新漏洞的证明。 今天早些时候，泄露的 Zacks 数据库被添加到“Have I Been Pwned”网站，用户可以在此检查他们的个人数据是否被泄露。HIBP 确认该文件包含 1200 万个唯一的电子邮件地址，以及 IP 地址、姓名、未加盐的 SHA-256 哈希密码、电话号码、物理地址和用户名。 然而，该服务也指出，大约 93% 的泄露电子邮件地址已经存在于其数据库中，这些地址来自过去对该平台或其他服务的泄露。 无官方确认 Zacks 尚未确认所谓的数据泄露，但如果数据泄露被证明是新黑客攻击的结果，这可能是该公司过去四年中的第三次重大数据泄露。 2023 年 1 月，Zacks 披露黑客在 2021 年 11 月至 2022 年 8 月期间侵入了其网络，并获取了 82 万名客户的敏感信息。 几个月后，2023 年 6 月，HIBP 验证了一个来自 Zacks 的独立数据库，该数据库之前已被泄露。该数据库包含使用 Zacks 服务的 880 万名个人的电子邮件地址、用户名、未加盐的 SHA256 密码、地址、电话号码和全名。 根据 HIBP 服务的创建者 Troy Hunt 的说法，这些数据似乎在 2020 年 5 月被泄露，表明这是一起较早的事件。 尽管尚未得到官方验证，但 HIBP 在将其添加到服务之前已经验证了最新的 Zacks 客户数据泄露，并且有非常高的信心认为它来自一起新事件。需要注意的是，也有可能是威胁行为者从其他服务抓取了这些信息，并编制了一个与 Zacks 相关的用户信息数据库。   消息来源：Bleeping Computer；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

Bleeping Computer 网站披露，Zacks Investment Research (Zacks)遭遇了此前未公开披露的数据泄露事件，影响约 880 万客户。 值得一提的是，2021 年 11 月至 2022 年 8 月期间，Zacks 曾发生过数据泄露事件，未经授权的网络攻击者”访问“了约 82 万名客户的个人敏感信息，但 Zack 在当时通报中声称没有理由相信任何客户信用卡信息、任何其他客户财务信息或任何其他客户的个人信息被访问。 Zacks 大量数据信息泄露 数据泄露查询网站 Have I Been Pwned（HIBP）在收到包含 880 万条用户记录的数据库后，于上周末列出了一个新的 Zacks 泄露事件。 HIBP 的创建者 Troy Hunt 告诉 Bleeping Computer，这个数据库似乎是在 2020 年 5 月 10 日左右被”丢弃“的，（比第一次披露的82万客户信息泄露还要早。）比 Zacks 之前的漏洞要早。此外，Hunt指出泄露的数据库包含了 Zacks 客户的电子邮件地址、用户名、未加盐的 SHA256 密码、地址、电话号码、名字和姓氏以及其他数据信息。 Zacks 在 HIBP 上的最新数据泄漏通知 据悉，网络攻击者没有”访问“信用卡和银行账户等财务信息，不幸的是，Zacks 此前已经为 1 月份披露的漏洞启动了密码重置程序，但 90% 没有被确认为漏洞的账户没有被纳入该措施，因此致使其面临账户劫持、凭据填充和 SIM 卡交换的安全风险。 目前，Zacks 方面还没有正面回答 BleepingComputer 的问题，Hunt 表示 Zacks 计划通知受影响的用户，但何时通知还没有时间表。 黑客论坛上出现了 Zacks 数据 在将数据泄露添加到 Have I Been Pwned 不久，Zacks 数据库就被发布在了 Exposed 黑客论坛上。（该论坛是一个用于共享和出售被盗数据的网站，因泄露包含现已解散的 RaidForums 近 50 万成员详细信息的数据库而臭名昭著）。 威胁攻击者在 Exposed 论坛上发布的帖子（来源： Bleeping Computer） 最后，鉴于目前数据库已被公开泄露，威胁攻击者可能会在网络钓鱼或凭据填充攻击中滥用该数据库。 因此，强烈建议所有 Zacks 用户将密码更改为仅在该网站使用的唯一密码，如果在其他网站使用相同的Zacks 密码，建议立刻修改密码。       转自 Freebuf，原文链接：https://www.freebuf.com/news/369287.html 封面来源于网络，如有侵权请联系删除