10 月初，暗网又传来熟悉的动静：网络犯罪论坛上有两名不同的卖家在兜售 Minecraft 玩家记录。一人声称最多有 1800 万条，另一人则称有 900 万条，数字同样惊人。两人附上的却是同一份样本。 Cybernews 研究人员 下载样本并进行分析后，立刻发现这些夸张宣传站不住脚。
样本实际包含的内容
- 两则销售帖中重复出现的恰好是 1000 条记录
- Minecraft 用户名、电子邮箱地址，以及部分账户的密码哈希
- 数据仅与三个不同的社区服务器有关
- 其中许多电子邮箱地址已出现在 Have I Been Pwned 上
没有时间戳，没有 Mojang 账户令牌，也没有 Microsoft 登录信息。由于可验证的部分极少，研究人员无法确认卖家声称的数据总量。两名卖家显然是在转售同一份回收数据包，并夸大数量来吸引点击。
这不是 Mojang 遭到入侵，也不是 Microsoft 账户迁移 fiasco。这些数据表明，Minecraft 玩家和小型服务器运营者不断遭到普通信息窃取恶意软件攻击，之后相关日志被打包起来，几年后再次转卖。如果你在 Minecraft 账户、电子邮箱和银行账户上重复使用同一个密码，那么你就是被拿来牟利的目标。
PCGamesHardware 于 10 月 4 日跟进并进行了自己的事实核查，得出了相同结论：样本来自第三方服务器，而非中央基础设施。Mojang 没有发表官方声明，因为没有任何东西需要他们修补。威胁来自玩家一侧。
这一模式与此前在 2026 年针对 Minecraft 模组下载和假客户端的恶意软件活动如出一辙。受感染的设备会悄悄登录服务器、窃取凭据并向外发送数据。几个月或几年后，这些日志便会在论坛上出现，被包装成“超级大规模泄露”。
你真正应该做的事
- 在 Have I Been Pwned 上检查你的电子邮箱
- 不要在 Minecraft、Microsoft 和其他任何账户之间重复使用密码
- 如果 Microsoft 账户尚未启用双重身份验证，请开启它
- 避免从不可信来源下载模组，也不要下载“免费客户端”
互联网会继续大喊有 1800 万个 Minecraft 账户被黑，因为这个数字听起来很吓人。经核实的实际情况要小得多、久远得多，也平淡得多。改掉重要账户的密码，然后继续生活。
新闻
