Pitney Bowes遭遇數據泄露，820萬郵件地址外泄

物流科技公司Pitney Bowes近日成為黑客組織ShinyHunters新一輪勒索攻擊的受害者。該公司主要生產美國郵資機及相關郵寄技術產品。

數據泄露追蹤平臺Have I Been Pwned（HIBP）于4月27日確認了此次泄露事件。泄露數據包含820萬個唯一郵件地址，同時還涉及姓名、電話號碼及實際地址等信息。其中一小部分數據來自公司內部員工記錄，包含職位信息。

《The Register》曾嘗試聯系Pitney Bowes獲取更多信息，但發送至其新聞專用郵箱的郵件均遭退回，投資者關系聯系人雖處于活躍狀態，但截至發稿尚未回復。

Pitney Bowes雖非家喻戶曉的品牌，但它是一家實力雄厚的美國科技企業，其運輸軟件和郵寄技術廣泛應用于日常物流場景。該公司聲稱在全球擁有逾60萬客戶，2025年營收達19億美元。

ShinyHunters近期動作頻頻，HIBP持續追蹤并核實該組織的攻擊聲明。已確認的受害方包括《俠盜獵車手》開發商Rockstar Games和實體安防巨頭ADT，而該組織聲稱攻擊過的企業名單還要長得多。

僅在過去一周內，這個網絡犯罪團伙就宣稱對Udemy、嘉年華郵輪以及亞洲足球聯合會發動了攻擊，據稱泄露了數萬名職業球員的個人信息及證件掃描件。《The Register》已就此事向亞洲足球聯合會發出置評請求，但尚未收到回應。

在此輪攻擊浪潮之前，ShinyHunters還曾對交友平臺Match Group和荷蘭電信運營商Odido發動攻擊。該組織還于今年3月向《The Register》透露，他們通過一次Salesforce漏洞入侵，獲取了近400家企業的數據。此外，ShinyHunters去年還參與了針對Salesloft Drift的大規模攻擊，并與Scattered Lapsus$ Hunters等其他犯罪團伙協同作案，2025年晚些時候又攻擊了數百家Salesforce客戶。

事后，Pitney Bowes向《The Register》表示，公司于4月9日"發現有人未經授權訪問了Salesforce客戶關系管理系統中的部分記錄"，入侵發生于前一天夜間，"起因是一次網絡釣魚攻擊，導致一名員工的郵件賬戶遭到入侵"。

該公司表示："我們立即對相關環境進行了安全加固，撤銷了被入侵賬戶的訪問權限，并聘請了頂級網絡安全專家和執法機構協助調查。"

Pitney Bowes確認："受影響的記錄涉及企業客戶賬戶及聯系人信息。調查結果顯示，此次攻擊活動未擴散至Pitney Bowes的其他系統，也未發現敏感個人數據遭到訪問的跡象。我們已直接通知了受影響的企業客戶。"

針對ShinyHunters的威脅，該公司表示："我們已獲悉某威脅行為者關于潛在數據泄露的聲明，正在與網絡安全專家和執法機構協同開展積極調查，并將持續監控任何數據外泄的跡象。我們已實施額外的訪問控制措施，擴大了監控范圍，并正在開展有針對性的員工培訓。隨著調查推進，我們將就重要進展及時通知客戶。"

Q&A

Q1：Have I Been Pwned是什么，它如何確認數據泄露？

A：Have I Been Pwned（HIBP）是一個專門追蹤數據泄露事件的平臺，用戶可以通過輸入郵箱地址查詢自己的信息是否出現在已知的泄露數據庫中。在Pitney Bowes事件中，HIBP于4月27日正式確認了此次泄露，核實了820萬個唯一郵件地址連同姓名、電話號碼和實際地址一同被包含在泄露數據中。

Q2：Pitney Bowes數據泄露是怎么發生的？

A：此次泄露源于一次網絡釣魚攻擊。攻擊者通過釣魚手段入侵了一名員工的郵件賬戶，進而在2025年4月8日夜間未經授權訪問了Pitney Bowes的Salesforce客戶關系管理系統，導致企業客戶賬戶及聯系人相關記錄外泄。公司發現后立即封鎖了被入侵的訪問權限，并啟動了安全調查。

Q3：ShinyHunters是誰，他們還攻擊過哪些公司？

A：ShinyHunters是一個活躍的網絡犯罪團伙，慣用"付錢或泄露數據"的勒索手段攻擊大型企業。近期已確認的受害方包括游戲公司Rockstar Games、安防巨頭ADT、在線教育平臺Udemy、嘉年華郵輪及亞洲足球聯合會等。此外，該組織還曾通過Salesforce漏洞入侵近400家企業，并參與了針對Match Group和荷蘭電信運營商Odido的攻擊。