倘若您的企業不幸必須通知客戶有關資料外洩的情況，千萬不要在密碼重設通知信件當中提供連結，這等於鼓勵客戶養成不安全的習慣，使得他們很容易在這類事件發生之後遭到網路釣魚（Phishing）攻擊。請務必建議客戶自行前往您的網站，然後依照畫面上很容易找到的指示操作。
Rik Ferguson | 趨勢科技全球安全研究副總
我收到一封來自遊戲出版商 Ubisoft 的資料外洩通知信件,信件內容表示：
「最近我們發現駭客入侵了我們其中一個網站，並且擅自存取了我們的線上系統。我們立即採取了必要措施來阻止存取，同時亦著手調查此次事件，並且復原遭入侵的系統。
在這過程當中，我們發現我們的帳號資料庫已遭非法存取，包括：使用者名稱、電子郵件地址，還有已加密的密碼。請注意，Ubisoft 並未儲存任何個人付款資訊，因此您的扣款卡/信用卡資料並未受到此次入侵影響。
有鑑於此，我們建議您修改下列帳號的密碼：<帳號名稱>。」
此外，Ubisoft 部落格上的進一步說明指出，駭客使用了偷來的帳號密碼來非法存取該公司的系統。
接著，通知郵件表示：「為了謹慎起見，我們也建議您至任何您使用相同或類似密碼的網站上修改密碼。」這一點在這類情況之下確實是一項良好建議，但若仔細推敲 Ubisoft 的部落格內容就會發現，其情況可能比「為了謹慎起見」更加危急。
該公司的部落格文章表示：「密碼並非以純文字方式儲存，而是以編碼過的數值儲存。這些數值無法逆向解開，但卻可以強行破解，尤其是當密碼強度不足時。這就是為何我們建議使用者修改密碼。」
那麼，密碼到底是以何種安全方式儲存呢？我確定應該是使用雜湊值，這就是他們部落格所稱的「無法逆向解開」，但如果簡易的密碼可以輕鬆破解，那聽起來應該是使用了強度較弱的未加料雜湊值 (Unsalted Hash)，因此很容易被一些查表技術所破解，如「彩虹表」(Rainbow Table) 攻擊。這並非一項令人安心的消息。假使該公司確實採用了加料的雜湊值，那麼，他們是不是所有使用者都採用相同的加料值(Salt)，並且使用了講求速度而非講求安全的雜湊值演算法呢？如果是，那他們的密碼資料就仍然無法抵擋彩虹表攻擊。
理想的情況應該是每一使用者的密碼皆使用不同的加料值來儲存，並且採用一種可加入「工作參數」(Work Factor) 的演算法，例如：Blowfish 演算法。這可大幅拉長每個密碼的破解時間，而且由於這個工作參數是可調的，因此可以隨著電腦效能增強而修改。將工作參數值提高，雜湊值的計算速度就會變慢。其效果對計算單一雜湊值的影響是可忽略的，但卻可以讓彩虹表這類需要計算大量雜湊值的攻擊變得不可行。
避免在不同的網站上使用相同的密碼
從這個角度再回頭來看這份通知，其變更其他帳號密碼的建議就顯然更加迫切，而且您從今以後應該盡可能避免在不同的網站上使用相同的密碼。
撇開這一切不談，這份通知還犯了一個最基本的錯誤。它包含了一個想必已通過驗證的連結，讓我直接點一下就能重設密碼，不必再輸入我原本可能以遭破解的密碼來進行變更。
倘若您的企業不幸必須通知客戶有關資料外洩的情況，千萬不要在密碼重設通知信件當中提供連結，這等於鼓勵客戶養成不安全的習慣，使得他們很容易在這類事件發生之後遭到網路釣魚（Phishing）攻擊。請務必建議客戶自行前往您的網站，然後依照畫面上很容易找到的指示操作。
在不同網站上使用相同的密碼原本就不是件好事，因此，您最好每個不同的網站都使用不同的密碼。這或許聽來既複雜又不可能，但有一個很簡單的方法可以幫助記憶。先使用大小寫字母、數字和特殊符號 (如：$%&!) 來建立一個複雜、但可記住的密碼。您可以試著用一句您記得的英文句子每個字的開頭字母來組合。然後，再搭配一種區分每個網站的方式，例如，將網站名稱的第一和最後一個字母加到您密碼的開頭和結尾，這樣，每個網站的密碼就不會一樣，而且又容易記住。
至於安全提示問題和密碼重設問題，這也是帳號最常被破解的方式之一。當您被要求提供所謂「安全提示問題」的答案時，請想想您的答案是否真的安全。請選擇只有您才知道答案的問題。如果可以自己指定問題的話，請自行指定。如果您被迫必須使用一些標準的問題，如：「第一所學校」或「第一隻寵物」，請記得，您的答案不必是真的，只要是您記得住的回答就行。
@原文來源:https://countermeasures.trendmicro.eu/ubisoft-compromised-breach-notification-fail/
@延伸閱讀:
從美聯社 Twitter 帳號被入侵事件,看推特為何一直被駭?
以”你的照片”為餌的點擊劫持（clickjack）最常出現在Facebook、Twitter、Google+
106個黑莓機列入不得使用的蠢密碼(含 19 個男女英文名字)
尋找序號產生器,當心木馬入侵~PASSTEAL透過檔案分享網站偷偷潛入使用者的電腦
密碼別再12345,521314(我愛你一生一世)了~PE_MUSTAN.A 病毒鎖定 246 組弱密碼刪除檔案