俄罗斯流媒体平台“START”（start.ru）已经承认，此前有关数据泄露影响数百万用户的传言为真。START平台的管理员称，黑客从公司系统中窃取了2021 年的数据库，目前正在在线分发样本。

被盗数据库中的信息包括电子邮件地址、电话号码和用户名。START表示这些信息价值不高，大多数网络犯罪分子不会对此感兴趣，因为它们无法用于获取账户权限。该平台还进一步强调，用户的财务信息、银行卡数据、浏览历史记录、账号密码等信息没有受到影响，因为数据库中并未包括上述高价值隐私信息。

目前，START表示已经对相关漏洞进行修复，并且关闭了黑客对平台的数据访问。但是，有安全专家表示，出于安全方面的考虑，即便START未强制执行全局重置，用户也应更改密码。

8月28日，有关START平台数据泄露的流言首次在社交平台上传播，当时有消息称包含近4400万用户信息，高达 72GB MongoDB JSON转储的数据开始在暗网上分发。但是有用户表示，这些数据中明显包含诸多测试账户，因此真实用户数量应该没有4400万那么多。

而转储中包含的唯一的电子邮件地址约有750万条，不少人认为该数据更接近数据泄露的真实用户。目前已知的数据泄露最近日期是2021年9月22日，这意味着在此日期之后注册START平台的用户不会受到影响。

【START主页】

有意思的是，俄罗斯新闻媒体Medusa报道称，他们在 START 的密码恢复工具上测试了泄露数据库中的随机条目，结果所有登录都是有效的。

根据START的声明和转储之间的信息对比，两者之间的差异是，转储包含md5crypt 哈希密码、IP 地址、登录日志和订阅详细信息，这些都没有包含在平台的官方声明中。

由于针对俄罗斯在线平台的网络攻击活动增加，莫斯科正在实施保护用户数据免受未经授权访问，以及保护其公民信息安全的方法。根据媒体相关报道，俄罗斯数字发展部正在推动一项计划，以创建一个“不可接受的IT安全实践”登记册，提高组织领导者的安全意识。

该部门还提议设立一个专门的基金，用户补偿数据库泄露的受害者。该基金的资金来源之一就是对存在安全漏洞或出现数据泄露的实体组织的罚款。

提出的法律草案建议对违规公司处以年营业额3%的罚款，以激励公司开发和应用良好的安全实践。

参考来源：

https://www.bleepingcomputer.com/news/security/russian-streaming-platform-confirms-data-breach-affecting-75m-users/