2020小米账号泄露事件

2020年3月，小米泄露一个叫"小破站"的账号论坛上突然冒出几张截图。发帖人说自己半夜收到一封邮件，事件发件方显示是小米泄露"小米账号安全中心"，邮件里直接写着他注册小米账号时用的账号手机号、绑定的事件邮箱，甚至还有一部分人的小米泄露真实姓名和身份证前六位。他以为是账号钓鱼邮件，点进小米官网一查，事件发现账号确实在异地登录过。小米泄露

这事一开始没多少人信。账号小米账号泄露？事件那会儿大家更关心的是微博账号被卖、某快递公司内部人员倒卖面单。小米泄露可接下来几天，账号陆续有人贴出证据：有人发现自己小米云相册里多了陌生人的事件照片，有人收到短信验证码轰炸，还有人登录小米商城时发现收货地址里躺着别人的家庭住址。

真正让事情压不住的是3月底。一个叫"安全豹"的公众号发了一篇技术分析，说他们在暗网上看到一批数据在兜售，卖家声称是"小米用户数据库"，样本量大概2000万条。数据格式很规整：手机号、密码哈希值、IMEI、甚至部分用户的设备型号和最后登录IP。安全豹的人验证了几百条，发现手机号能对得上小米账号，密码哈希用MD5解出来一部分居然是明文——比如"123456""xiaomi2020"这种。

小米官方在3月30号发了声明。措辞很谨慎，说"未发现批量泄露"，但承认"有部分账号存在异常登录"。这个回应被网友骂惨了。什么叫"部分"？有人翻出2014年小米论坛被拖库的旧账，那次泄露了800万用户数据，小米当时也是说"部分"。六年过去，同一个坑摔两次。

我有个朋友那阵子正好在用小米手环。他收到小米发来的短信，让他"立即修改密码并开启两步验证"。他改完密码后顺手查了登录记录，发现除了他自己，还有三个陌生IP：一个在河南，一个在广东，还有一个显示是美国。他打电话给客服，客服说"可能是您在其他设备上登录过"。他反问："我人在北京，设备就一台手机一个手环，哪来的美国登录？"客服沉默了几秒，说"帮您反馈"。

后来有安全圈的人出来分析，说这次泄露大概率不是小米服务器被直接攻破，而是撞库。什么叫撞库？就是黑产拿着从其他平台泄露的账号密码，批量去试小米账号。很多人图省事，所有平台用同一个密码，一个平台泄露，全平台遭殃。这个说法有一定道理，但解释不了为什么泄露的数据里会有IMEI和收货地址——这些信息撞库撞不出来，只能从小米自己的数据库里流出来。

小米在4月初悄悄上线了一个功能：登录时强制要求短信验证，哪怕密码正确。这个动作被解读为"亡羊补牢"。但用户不买账——早干嘛去了？有技术博主翻出小米账号系统的代码，发现登录接口居然没有频率限制，也就是说，黑产可以拿脚本无限次试密码，试到对为止。这种低级漏洞出现在一家自称"互联网公司"的手机厂商身上，挺讽刺的。

事情最后没有官方定论。小米没承认大规模泄露，也没公布具体受影响人数。那个在暗网卖数据的卖家，帖子挂了不到一周就删了。但直到2020年底，还有人在小米社区发帖说自己的账号被异地登录，绑定的手机号被换成了陌生号码。

我后来把这事讲给一个做安全的朋友听。他笑了笑说："国内这些互联网公司，没几家把用户数据当回事。不出事就装死，出了事就发个声明说'部分'。你猜为什么是'部分'？因为说'全部'要罚款，说'部分'可以糊弄。"这话有点绝对，但2020年那会儿，确实没见哪家公司因为数据泄露被重罚过。小米不是第一家，也不是最后一家。用户能做的，也就是换个密码，开个两步验证，然后祈祷下次别轮到自己。