佩洛顿遭遇数据泄露。好消息是什么？关于你的锻炼习惯的信息后来被外人随意获取，但并不是那么糟糕。然而，佩洛顿的延迟反应更令人担忧。

正如Pen-Test合作伙伴在最近的一篇博文中所描述的那样，该公司以前使用的一些api可能会被任何经过身份验证和未经身份验证的用户查询到。后来该公司改变了这一规定，只允许使用前者，但考虑到任何对数据感兴趣的人都可以简单地注册一个免费的Peloton帐户，这并不是什么保护措施。

至于攻击者可以挖到什么，可用的数据包括：

• User IDs
• Instructor IDs
• Group Membership
• Location
• Workout stats
• Gender and age
• If a person was in the studio or not

这很烦人，但并不可怕。如果攻击者知道你做了多少工作，他们就无能为力了。但他们有可能利用这些信息（单独或与其他数据泄露提供的其他信息相结合）向您发送一次巧妙的网络钓鱼尝试。

令人倍感不安的是，Peloton花了多长时间才对这些（通常是开放的）api的报告作出回应。正如笔试伙伴所说：

• 20th January 2021: disclosed privately to Peloton, as per their [Vulnerability Disclosure Program].
• 20th January 2021: receipt acknowledged. This is the last we heard from Peloton.
• 22nd January 2021: we requested an update and offered assistance replicating the vulnerability. No resp***e.
• 2nd February 2021: unauthenticated API endpoint issue was silently and partly resolved – user data was now only available to all authenticated Peloton users. Er…?
• 2nd February 2021: we asked for an update, given the silent fix. No resp***e.
• After 90 days we asked a trusted journalist to speak to Peloton on our behalf.

他说，这名记者是TechCrunch自己的扎克·惠特克（Zack Whittaker），他最终发表了一篇关于Peloton的文章，这篇文章似乎最终引起了公司的注意，更重要的是，影响了变革。

作为一个安全/隐私爱好者，我发现看到事情发展到这样的地步是令人沮丧的。虽然Peloton声称它从最初的漏洞提交以来就一直在采取行动，但奇怪的是，这些漏洞仍然是可利用的，直到科技界最大的出版物之一揭露了这个问题。佩洛顿还没有证实或否认这些数据不是被外界集体窃取的，这一点更令人恼火。

这整集是不是让你把你的Peloton自行车扔进垃圾桶了？不，那是一件昂贵的设备。不过，我会留意未来Peloton数据泄露的消息；你可能需要自己采取行动，而不是等待Peloton采取适当的披露步骤（和补救措施）。如果可能的话，您可能还需要考虑对数据进行模糊处理。如果你骑自行车（或慢跑）不需要它，那么佩洛顿就没有理由需要它，给他们一个假生日、地址、名字等等。你的运动伙伴不会介意的。