通告变成了剧本
数据泄露通告会向公众说明哪个组织受到影响、涉及哪类数据，以及将如何联系客户。欺诈者会原样利用这些细节。提及数据泄露、引用通告内容并承诺赔偿或安全检查的消息看起来可信，因为数据泄露本身是真实的。
这波浪潮是什么样子
在我们研究的匿名化综合案例中，模式反复出现：在通告发布后数日内注册的仿冒域名，指向虚假客服或退款页面的短信和电子邮件，以及声称可收费删除泄露数据的虚假服务。宣传该泄露的同一批渠道，往往也会传播这些诱饵。
防御方可以关注的信号
包含品牌名称的新域名注册和证书透明度记录，仿制该组织设计的支付页面，以及声称可核查账户是否受影响的公开帖子。上述每一项都可以被抓取、计算哈希，并提交给域名注册商、托管服务商或滥用投诉部门，而无需接触泄露数据本身。
什么对客户有帮助
清晰且反复的提示比单次通告更有效：组织使用哪些渠道、绝不会索取什么，以及在哪里举报可疑消息。公布官方域名和客服电话，可使仿冒内容更容易被识别，无论对客户，还是对负责拦截这些内容的服务而言。
我们的做法
我们以被动方式监测公开来源中与受影响品牌及其供应商相关的内容，并将发现的情况私下报告给该组织。我们不与实施攻击活动的人员互动，不购买或下载泄露数据，也不公布尚未经公开确认的数据泄露的细节。