跳到正文
ITDWeb 安全平台
ITD
搜索

安全指南

#数据泄露#网络钓鱼#凭证#事件响应#韩国

CHAEVI充电应用数据泄露（298,000条记录）：泄露了什么，用户应该怎么做

韩国电动汽车充电平台CHAEVI称，2026年7月23日的黑客攻击泄露了298,333条记录。泄露内容有哪些，是否包括充电记录，应如何应对。

发布于 2026-09-30 更新于 2026-09-30 最后核实 2026-09-30 3 分钟阅读
本页目录

适用对象：曾经使用或注册过CHAEVI（채비）这款韩国电动汽车充电应用的人；希望了解充电应用数据泄露可能暴露哪些信息的各地电动汽车司机；以及处理用户数据的小型平台的开发者和运营者。本文基于CHAEVI在其官网发布的通知撰写，不描述攻击方法。

用户现在应该做什么

1

自行访问CHAEVI网站，查询自己是否受影响

CHAEVI的通知称，泄露项目因人而异，可以在其“个人数据泄露查询”页面上查看。请不要通过邮件或短信收到的查询链接进行查询。请自行在浏览器中输入chaevi.com，或通过您已安装的CHAEVI应用进入。以“查询您的数据是否泄露”为名义的消息，是虚假链接的常见借口。

2

更改密码，从您重复使用密码的地方开始

CHAEVI的7月26日通知要求用户立即更改密码，7月30日的后续通知建议，如果您在其他网站使用相同或相似的密码，也应一并更改。电子邮件和密码（已加密）在131,411 + 829条记录中一同泄露。

更改顺序应为电子邮件账户 → 银行和支付 → 其他所有服务，因为控制您电子邮件的人可以重置您其他服务的密码。

在所有地方使用不同密码的现实做法是使用密码管理器；要保护您的电子邮件账户，请参阅正确选择多因素认证。

3

通过应用或客服核实任何声称来自CHAEVI的邮件、短信或电话

CHAEVI称，它绝不会通过电话、短信或电子邮件索要您的密码、金融信息或验证码。其指引是不要打开来源不明的短信或邮件中的链接或附件，也不要在提示时安装应用。

如果声称来自CHAEVI或政府机构的电话或消息看起来可疑，请不要回拨来电号码，而应直接联系CHAEVI客服 1522-2573（24小时）。识别网络钓鱼的基本方法见什么是网络钓鱼。

4

举报垃圾信息、短信诈骗和未经请求的推销电话

CHAEVI请收到未经请求的产品推销（非法电话营销）或垃圾短信和诈骗短信的用户，向118（韩国个人信息侵权举报中心）或CHAEVI举报。

韩国政府推荐的举报和查询渠道，以及如果您已点击链接应如何处理，均依据科学技术信息通信部的安全提示，在我们关于TVING用户在泄露事件后应做什么的文章中有所说明。这里同样适用。

5

如果您已遭受损失，请保留记录并联系求助机构

CHAEVI的通知称，目前尚未确认有任何次生危害案例。但如果冒充行为已造成您的经济损失，或您怀疑如此，请保留邮件或短信截图而不要删除，并向CHAEVI客服举报。

如需救济或咨询，CHAEVI指向韩国个人信息争议调解委员会（1833-6972）和个人信息侵权举报中心（118）。

虚假的“未付充电费”和“积分即将过期”消息很难与真实消息区分

电动汽车司机经常收到有关充电付款、会员卡和漫游价格变动的消息。一旦“CHAEVI客户”的身份与您的电子邮件地址一同被泄露（现在可能已是如此），关于支付未付费用、充电积分即将过期、补办会员卡或索取泄露赔偿的邮件，就很难与真实信息区分。

本站建议遵守一条规则：对于任何要求您付款或登录的消息，不要根据内容判断真伪，而是自行打开应用，查看是否有相同的通知。

发生了什么（依据CHAEVI的通知）

以下内容是CHAEVI在其官网两份通知中的表述：《个人数据泄露事件的通知及致歉》（2026年7月26日）和《关于个人数据泄露的补充通知》（7月30日）。

  1. 约2025年1月

    在调查7月事件时，CHAEVI发现客户姓名、地址、联系电话和手机号码（均已加密）、数据创建时间和数据序列号也在这一时期前后遭到泄露（7月30日后续通知）。其经过、项目和规模正在与外部专业机构共同调查。

  2. 2026年7月23日

    个人数据在一次非法外部黑客攻击中泄露。CHAEVI称，其在察觉后立即阻断了攻击路径。

  3. 7月26日

    CHAEVI在其网站发布泄露事件及其规模（共298,333条记录），称已向个人信息保护委员会和韩国互联网振兴院（KISA）报告。同时附上泄露查询页面和密码更改页面的链接。

  4. 7月底

    向受影响客户发出的个别通知（第一份通知注明日期为7月27日，后续通知为7月26日）。

  5. 7月30日

    后续通知：CHAEVI称已向个人信息保护委员会、KISA、金融服务委员会、金融监督院和调查机关报告，并披露了2025年1月的泄露事件。
298,333
泄露记录总数（7月23日事件）
164,858
仅含电子邮件地址
132,240
包含电子邮件 + 密码（已加密）（131,411 + 829）
未持有
居民登录号、护照、银行卡和账户号码（CHAEVI称：未收集，未泄露）
仅电子邮件164,858 · 55.3%
电子邮件 + 密码（已加密）131,411 · 44.0%
电子邮件 + 姓名、联系方式（已加密）+ 性别、出生日期等1,235 · 0.4%
以上全部 + 密码（已加密）829 · 0.3%

通知泄露项目列表中未包括：充电记录 · 充电站位置 · 车辆信息 · 支付数据

按泄露类型划分的记录数，由CHAEVI披露。条形长度为占298,333条总数的比例（两个较小的组为保证可见而按最小宽度绘制）。每组都包含电子邮件地址。
泄露了什么（CHAEVI 7月26日和30日通知）
总计
298,333条记录。泄露项目因人而异
每条记录都有
电子邮件地址（未标注为已加密）
部分记录有
密码（已加密）、姓名（已加密）、联系电话（已加密）、性别、出生日期、会员序列号、注册日期
CHAEVI的说明
标注为“已加密”的信息以无法解密的单向加密方式存储和管理，因此即使泄露，外部也无法读取其实际内容
未泄露
居民登录号、护照号码，以及银行卡和账户号码等支付数据。CHAEVI称其不收集或持有这些信息，并通过多次核查确认未发生泄露
另行发现（约2025年1月）
客户姓名（已加密）、地址（已加密）、联系电话（已加密）、手机号码（已加密）、数据创建时间、数据序列号。经过、项目和规模仍在调查中
CHAEVI的应对
阻断入侵路径并修复漏洞；审查网络隔离和防火墙；扩大加密范围；加强访问控制；24小时监控；与外部专业机构共同调查原因并制定预防措施

充电应用可能记录您的车辆何时何地在充电，此次是否泄露？

电动汽车充电应用保存的数据类型，可能与普通购物应用不同。在哪个站点、什么时间、充了多少电，合在一起就构成了您日常行动的地图。例如，每晚在家附近的慢速充电桩充电的记录，实际上就暴露了您的住址和回家时间。因此，任何充电平台数据泄露的首要问题是：“充电记录是否包括在内？”

通知列出的泄露项目

  • 电子邮件地址（全部298,333条记录）
  • 密码（已加密，132,240条记录）
  • 姓名和联系电话（已加密）、性别、出生日期、会员序列号、注册日期（2,064条记录）
  • 2025年1月事件：地址（已加密）等 — 规模仍在调查中

不在列表中

  • 充电记录、充电站位置、车辆信息（未列出，但也未明确声明“未泄露”）
  • 居民登录号和护照号码（未收集或持有 — CHAEVI已声明）
  • 银行卡和账户号码等支付数据（未收集或持有 — CHAEVI已声明）

有一点需要区分。CHAEVI明确表示其不收集或持有、因而未泄露的，是居民登录号、护照号码，以及银行卡和账户号码。通知对充电记录或位置信息没有具体说明；这些项目只是未出现在泄露项目列表中。根据通知内容，本站只能如此表述：“充电记录尚未被披露为泄露项目。”

2025年1月的事件确实包括地址（已加密），但那是客户记录中的地址字段，而非充电地点，其规模也尚未披露。调查结果公布时，我们将更新本文。

“已加密”能防范什么，不能防范什么

CHAEVI称，姓名、联系电话和密码以无法解密的单向方法加密，因此“无法用于识别个人或登录”。一般而言，“单向”意味着不会生成可以反向还原数值的密钥，因此不存在密钥随数据一同泄露从而解锁数据的风险。这是良好的设计。

不过，单向方法仍有普遍的局限。攻击者无需还原数值，而是可以把常见密码用同样的方法计算，然后比对结果是否吻合。计算速度慢或使用盐值（为每个密码添加的随机值）的方法会让这种比对成本更高，但“1234abcd”这类密码在任何方法下都是最先被猜中的。

CHAEVI的通知没有说明具体方法，因此本站不对其强度做评价。对用户而言，结论都是一样的：CHAEVI本身建议更改密码，而且电子邮件地址从一开始就没有加密。哈希和加盐的工作原理见如何安全存储密码。

小型平台运营者的经验

CHAEVI的第一份通知按项目组合将泄露分为四组，说明了其不收集的信息，并把查询页面和密码更改页面一并链接。让用户立即看出“我属于哪一组”，是其他平台可以借鉴的格式。以下，本站总结运营者在事件发生前可以做的三件事。

1

将历史数据与会员数据分开管理

带有时间和地点印记的数据（充电、出行、支付）一旦与会员记录关联，就能显示某人何时身在何处。请逐一检查数据表清单，标记每一张以会员ID关联后能得出地点和时间的数据表，并为每张表设定保存期限。超过所需期限的历史数据应予删除，或切断其与会员ID的关联。关于如何判断哪些数据根本不应保存，见组织安全的六项优先事项。

2

找出以明文（未加密）保存的数据，通常是电子邮件地址

即使姓名和联系电话像此次一样受到保护，用作登录ID的电子邮件地址往往仍以明文保存。一旦泄露，每位会员都可能成为网络钓鱼的目标。因此，请把您在泄露通知中会加入的那句话——“我们绝不会通过电子邮件索要您的密码或验证码”——以及您的官方发件域名，也写入日常的消息中。防止他人冒用发件域名的设置见用SPF、DKIM和DMARC防止电子邮件欺骗。

3

提前准备泄露通知模板

提前准备一份模板，预留以下空白：按泄露类型划分的数量、未收集的信息项、查询页面、密码更改链接、24小时联系电话，以及已报告的主管机构。事件发生当天再从头撰写，容易遗漏内容并导致表述前后不一致。

本站观点：明确说明未包括的内容，可减轻焦虑

数据泄露通知发出后，用户最长时间感到不安的，往往是通知中没有提及的部分——“那我的充电记录呢？”CHAEVI通过明确说明其不收集居民登录号和支付数据，减轻了这方面的焦虑。

对于任何处理位置或历史数据的服务，本站认为，单独用一行明确说明历史数据是否包括在内，是减少咨询量和次生危害的最简单方法。

资料来源（公开记录）

本文的事实依据以下公开资料。我们没有对未披露的攻击方法或原因进行推测。

更新记录

2026-09-30：首次发布，依据CHAEVI 7月26日通知及7月30日后续通知。待2025年1月泄露事件的调查结果或韩国个人信息保护委员会的公告发布后，我们将予以更新。

延伸阅读

FAQ

QCHAEVI数据泄露事件中泄露了什么？
A

根据CHAEVI于2026年7月26日发布的通知，共298,333条记录：164,858条仅含电子邮件地址；131,411条含电子邮件和密码（已加密）；1,235条含电子邮件、姓名（已加密）、联系电话（已加密）、性别、出生日期、会员序列号和注册日期；829条包含以上全部信息以及密码（已加密）。泄露内容因人而异，CHAEVI称用户可以在其“个人数据泄露查询”页面上查看自己是否受影响。

Q我的充电记录或位置信息是否泄露了？
A

CHAEVI关于7月23日事件的通知中列出的泄露项目不包括充电记录、充电站位置或车辆信息。但是，该通知并未明确说明这些信息没有泄露。CHAEVI明确表示其不收集或持有、因此未泄露的是居民登录号、护照号码以及银行卡号和账户号码。另外单独发现的约2025年1月前后的泄露包括地址（已加密）；其经过、项目和规模仍在调查中。

Q我在韩国以外驾驶电动汽车，这会影响我吗？
A

CHAEVI是韩国的充电服务，因此只有在您注册了其应用或网站的情况下才属于受影响范围。不过，这一教训适用于所有电动汽车司机：充电应用可能保存您的车辆在何时何地充电的记录。在任何充电应用发生数据泄露后，请确认充电记录是否在泄露范围内，并默认将“未付充电费用”之类的消息视为可疑。

Q我应该更改密码吗？
A

应该。CHAEVI在7月26日的通知中要求用户立即更改密码，7月30日的通知则建议，如果您在其他网站使用相同或相似的密码，也应一并更改。CHAEVI称密码已以无法解密的方式加密，但无论采用何种方法，简短或常见的密码都可能被猜出，因此更改密码是安全的选择。

Q如果数据是“已加密”的，我的数据就安全了吗？
A

CHAEVI称，标注为“已加密”的信息采用无法解密的单向加密方式存储，因此即使泄露，外部也无法读取其实际内容。单向意味着没有可以将数值还原为原始内容的密钥。不过，通知并未说明具体方法，而且电子邮件地址根本没有加密，因此您仍需提防网络钓鱼。

Q2025年1月的泄露是怎么回事？
A

根据CHAEVI于7月30日发布的后续通知，在调查7月攻击的原因时，它发现约在2025年1月前后，客户姓名（已加密）、地址（已加密）、联系电话（已加密）、手机号码（已加密）、数据创建时间和数据序列号也曾遭泄露。其经过、项目和规模正在与外部专业机构共同调查，CHAEVI表示如确认有进一步情况，将另行通知客户。