您的个人信息已泄露到暗网。接下来会发生什么？

与大众普遍认知相反，暗网并非某些评论员所言的罪恶之都。事实上，暗网中存在大量合法网站和论坛，提供注重隐私的内容和服务，帮助用户规避审查和压迫。然而，事实是，暗网也对网络犯罪分子极具吸引力，他们可以自由访问暗网的论坛、市场和其他网站，而无需担心被追踪或暴露身份。

这些网站的存在往往是为了促成被盗个人和财务信息的交易。个人数据经常与其他物品（例如毒品、黑客工具和漏洞利用程序）一起买卖。那么，如果您发现自己的数据在这些网站上出售，应该怎么办呢？

我的数据怎么会出现在那里？
个人身份信息（PII）、凭证和财务数据可能通过多种途径落入网络犯罪分子手中：

数据泄露是指大规模窃取客户/员工信息，这些信息通常会在暗网上出售。美国的数据泄露事件数量有望创下历史新高， 2025年上半年已记录了1732起事件，导致超过1.657亿份泄露通知。如今，我们每天都会与众多线上机构进行业务往来，因此遭遇数据泄露的风险也在不断增加。我们大多数人一生中至少都会收到一封数据泄露通知邮件。此外，由于双重勒索型勒索软件攻击的泛滥，这种风险也进一步加剧。在这种攻击中，数据被窃取是为了勒索受害机构。
信息窃取恶意软件顾名思义，就是窃取用户信息。由于RedLine和Lumma Stealer等“即服务”工具包的出现，这种恶意软件变得极其流行。它可以隐藏在看似合法的移动应用、网页、恶意广告和钓鱼链接/附件等各种地方。攻击者会将收集到的数据整合起来，并在暗网上出售。通常情况下，用户凭据和会话 cookie 都会被窃取，这使得黑客更容易绕过多因素身份验证 (MFA)。
网络钓鱼一直是窃取受害者信息的常用手段。但生成式人工智能（GenAI）工具的出现，使得攻击者更容易扩大攻击规模，同时还能实现攻击的个性化，并使用地道的本地语言编写信息，从而提高攻击成功率。如果您不慎点击链接并在钓鱼网站上输入个人信息，这些信息最终可能会被出售到暗网上。
由于云系统配置错误（例如未设置访问在线数据库的密码），意外泄露在互联网上屡见不鲜。这可能导致任何知道如何查找（或一直在扫描配置错误的实例）的人都能获取数据。如果长时间保持开放状态，数据库可能会被窃取并在暗网上出售。攻击者也可能删除原始数据库，以此勒索企业受害者。
供应链攻击与常规数据泄露类似，但不同之处在于，被黑客攻击的不是与您共享数据的公司，而是供应商或合作伙伴。这些公司虽然获得了访问和使用信息的权限，但通常缺乏同样强大的安全防护。它们对攻击者极具吸引力，因为一次攻击就可能帮助他们获取多个企业客户的数据。有时，这些供应商是数字服务提供商，例如 Progress Software。2023年，其热门文件传输软件 MOVEit 的一个零日漏洞被利用，导致数千家机构和超过 9000 万下游客户的数据遭到泄露。数据经纪商是另一个潜在的薄弱环节。他们通过网络爬虫和跟踪合法收集信息，但可能并未妥善保护这些信息。

他们想要什么？
网络犯罪分子真正想要的是你的财务信息（银行账号、银行卡信息和登录信息）、个人身份信息 (PII) 以及账户登录信息。有了这些信息，他们就可以劫持账户，盗取数据和资金，甚至可能访问存储的银行卡信息，或者利用你的个人身份信息发起后续的网络钓鱼攻击，以获取你的财务信息。此外，他们还可以利用这些个人身份信息进行身份盗窃，例如申请新的信用额度、医疗服务或福利救济。

生物识别数据尤其敏感，因为它无法像密码那样“重新发放”或重置。此外，会话令牌/Cookie 对攻击者也很有用，因为它们可以帮助攻击者绕过多因素身份验证 (MFA)。

这可能会造成重大的经济损失。ITRC最近的一份报告称，20% 的美国诈骗受害者在一年内损失超过 10 万美元，超过 10% 的受害者损失至少 100 万美元。

如果你的信息出现在暗网上该怎么办？
如果您发现某些个人和/或财务信息出现在暗网上，请采取以下措施（视风险信息而定）：

更改所有已泄露的密码，并确保仅使用存储在密码管理器中的强密码和唯一密码。
为所有帐户启用 MFA，并使用身份验证器应用程序或硬件安全密钥，而不是短信（短信可能会被拦截）。
请从所有设备上注销，以阻止可能窃取您会话 cookie 的黑客。
联系你的银行，冻结你的银行卡并重新办理新卡。
冻结您在各大信用机构的信用记录。这将防止任何诈骗分子以您的名义开设新的信用账户。
扫描您的电脑/设备是否存在窃取信息的恶意软件。
请向美国联邦贸易委员会(FTC)、英国反欺诈机构 ( Report Fraud ) 或相关欧洲机构举报泄密事件。
保护您的个人身份信息的长期措施
尘埃落定之后，您可以采取一些措施来降低敏感信息落入暗网的风险。例如，您可以考虑使用“隐藏我的邮箱” （Hide My Email）之类的服务来减少公司存储的个人信息量。此外，密切关注银行账户的可疑活动也至关重要。在第三方网站购物时，最好以访客身份结账，并且切勿保存任何银行卡信息。

其次，在所有设备和电脑上安装信誉良好的安全软件，将大大降低感染窃取信息程序和网络钓鱼的风险。请仅从官方应用商店下载应用程序。同时，请警惕任何包含链接或附件的未经请求的电子邮件、短信或社交媒体消息。

将所有社交账户设置为“私密”，以减少可供数据经纪人获取的数据量。使用加密通信服务和隐私增强型浏览器及搜索引擎。此外，考虑向数据经纪人发送“被遗忘权”请求，最好通过具备相关专业知识的服务机构进行。

最后，一些身份保护产品和服务，例如 HaveIBeenPwned，可以扫描暗网，查找您的个人信息是否已被泄露，并在任何个人身份信息出现在暗网时发出警报。如果发现匹配项，您就可以有时间取消银行卡、更改密码并采取其他预防措施。

个人信息和登录信息的泄露不仅会造成经济损失，还会令人情绪低落。如果您在工作账户中重复使用相同的登录信息，甚至可能对您的职业生涯产生负面影响，因为这会让黑客有机可乘，访问公司资源。归根结底，我们都需要积极主动地保护自己的数字生活安全。