這些很可能就是遭遇到了“撞庫(kù)”攻擊，并導(dǎo)致個(gè)人的賬號(hào)信息被盜取和售賣(mài)。而這背后，其實(shí)隱藏著一個(gè)巨大的“撞庫(kù)”黑色產(chǎn)業(yè)鏈：所謂的黑客們通過(guò)“撞庫(kù)”技術(shù)盜取各類(lèi)社交網(wǎng)站上的數(shù)字賬號(hào)，并最終通過(guò)售賣(mài)、敲詐、詐騙等手段實(shí)現(xiàn)非法獲利。不久前，國(guó)內(nèi)首個(gè)利用“撞庫(kù)”獲利的黑色產(chǎn)業(yè)團(tuán)伙落網(wǎng)，揭開(kāi)了背后的不法利益鏈條。
“撞庫(kù)”攻擊核對(duì)出50余萬(wàn)條賬號(hào)和密碼，網(wǎng)上售賣(mài)非法獲利
今年下半年，百度安全實(shí)驗(yàn)室監(jiān)測(cè)到針對(duì)百度賬號(hào)體系發(fā)起的大量“撞庫(kù)”攻擊，通過(guò)對(duì)攻擊流量分析，確定了武漢、安徽、北京等多地的惡意IP地址，并將分析結(jié)果及時(shí)上報(bào)北京市海淀區(qū)公安局網(wǎng)絡(luò)安全保衛(wèi)大隊(duì)。
所謂“撞庫(kù)”，是一種針對(duì)數(shù)據(jù)庫(kù)的攻擊方式，是黑客通過(guò)收集互聯(lián)網(wǎng)已泄露的用戶(hù)和密碼信息，嘗試批量登錄其他網(wǎng)站后，得到一系列可以登錄的用戶(hù)賬號(hào)。也可以理解為，在黑客攻不破B網(wǎng)站的情況下，只需要攻破安全性差的A網(wǎng)站，然后用賬號(hào)來(lái)推測(cè)獲取B網(wǎng)站賬號(hào)密碼，因?yàn)楹芏嘤脩?hù)在不同網(wǎng)站使用的是相同的賬號(hào)密碼。
在警方立案后，百度安全實(shí)驗(yàn)室配合海淀網(wǎng)安大隊(duì)提供后方技術(shù)支持，通過(guò)歷史數(shù)據(jù)分析，鎖定了位于湖北的數(shù)據(jù)中心機(jī)房，網(wǎng)安民警前往調(diào)查取證，最終鎖定嫌疑人身份，隨后在河北省廊坊市將其抓獲。嫌疑人胡某對(duì)犯罪事實(shí)供認(rèn)不諱，其所供述的犯罪行為與百度安全實(shí)驗(yàn)室監(jiān)測(cè)到的攻擊流量完全吻合。之后，本案中提供“撞庫(kù)”工具編寫(xiě)收費(fèi)服務(wù)的嫌疑人馬某，也被公安機(jī)關(guān)在深圳抓獲。
根據(jù)胡某供述，從2015年7月開(kāi)始到2016年8月，他先后從網(wǎng)上購(gòu)買(mǎi)了500萬(wàn)條“個(gè)性數(shù)據(jù)”，從網(wǎng)友處要來(lái)了2000余萬(wàn)條“個(gè)性數(shù)據(jù)”，將這些數(shù)據(jù)通過(guò)馬某出售的“撞庫(kù)”軟件進(jìn)行批量“撞庫(kù)”，核對(duì)出50余萬(wàn)條正確的百度網(wǎng)盤(pán)賬號(hào)和密碼。最終，通過(guò)網(wǎng)上售賣(mài)共獲利5萬(wàn)余元。
安全專(zhuān)家認(rèn)為，胡某能夠?qū)嵤┓缸锏年P(guān)鍵環(huán)節(jié)是中小網(wǎng)站用戶(hù)賬號(hào)密碼容易受到掃號(hào)攻擊。一般傳統(tǒng)企業(yè)會(huì)在登錄頁(yè)面直接增加驗(yàn)證碼，但簡(jiǎn)單的驗(yàn)證碼識(shí)別已經(jīng)難不倒那些不法分子，很難防止有針對(duì)性的惡意攻擊，因此需要更多的技術(shù)防御來(lái)提高攻擊者的成本，防止惡意“撞庫(kù)”和掃號(hào)行為。
“撞庫(kù)”安全事故呈高發(fā)狀態(tài)，盜取用戶(hù)數(shù)據(jù)的黑色產(chǎn)業(yè)已形成產(chǎn)業(yè)鏈
今年以來(lái)，“撞庫(kù)”安全事故呈現(xiàn)高發(fā)狀態(tài)，騰訊、網(wǎng)易郵箱、世紀(jì)佳緣等大型社交網(wǎng)站和互聯(lián)網(wǎng)廠商紛紛中槍。不法分子通過(guò)所謂的“撞庫(kù)”技術(shù)，攻擊并盜取各種社交網(wǎng)站、電商、視頻網(wǎng)站上有價(jià)值的賬號(hào)，“撞庫(kù)”盜取用戶(hù)數(shù)據(jù)的黑色產(chǎn)業(yè)也已形成了產(chǎn)業(yè)鏈。
安全專(zhuān)家介紹說(shuō)，“撞庫(kù)”的黑色產(chǎn)業(yè)鏈條通過(guò)“拖庫(kù)”、“洗庫(kù)”和“撞庫(kù)”多個(gè)環(huán)節(jié)進(jìn)行分工合作。“拖庫(kù)”是盜取產(chǎn)業(yè)鏈的上游，“拖庫(kù)”黑客專(zhuān)門(mén)入侵網(wǎng)站取得大量用戶(hù)數(shù)據(jù)，隨后由中游的“洗庫(kù)”黑客，通過(guò)技術(shù)手段將有價(jià)值的用戶(hù)數(shù)據(jù)歸納分析，售賣(mài)給下游的“撞庫(kù)”黑客，“撞庫(kù)”黑客將買(mǎi)來(lái)的信息用于攻破安全性差的A網(wǎng)站，然后用A網(wǎng)站賬號(hào)來(lái)推測(cè)獲取B網(wǎng)站賬號(hào)密碼，并最終售賣(mài)賬號(hào)非法獲利。
安全專(zhuān)家介紹說(shuō)，“撞庫(kù)”的成功率取決于有多少人在不同網(wǎng)站使用了相同的賬號(hào)和密碼。不幸的是，很多用戶(hù)都如此。比如在淘寶、微博、QQ、微信、騰訊視頻等各種社交工具或者電商網(wǎng)站中，用戶(hù)很可能使用的是相同的賬號(hào)密碼登錄。像淘寶和微信分屬兩個(gè)互聯(lián)網(wǎng)公司，不同的數(shù)據(jù)庫(kù)，但黑客通過(guò)盜取到其中一個(gè)網(wǎng)站數(shù)據(jù)庫(kù)的用戶(hù)數(shù)據(jù)后，就能夠匹配出其他網(wǎng)站的用戶(hù)數(shù)據(jù)。
其實(shí)，這種犯罪成本較低，而能夠?qū)掖蔚檬值淖钪饕蜻�是用戶(hù)在設(shè)置個(gè)人賬號(hào)信息時(shí)并沒(méi)有提高密碼復(fù)雜性，最終導(dǎo)致“撞庫(kù)”的高成功率。
網(wǎng)絡(luò)黑色產(chǎn)業(yè)的詐騙方式更為隱秘，普通用戶(hù)要提高自我防護(hù)意識(shí)
此次國(guó)內(nèi)首個(gè)利用“撞庫(kù)”獲利的團(tuán)伙案件破獲，警示我們網(wǎng)絡(luò)黑色產(chǎn)業(yè)的犯罪手段正在走向多元化和復(fù)雜化。
安全專(zhuān)家認(rèn)為，當(dāng)前，網(wǎng)絡(luò)黑色產(chǎn)業(yè)的詐騙方式更為隱秘，“撞庫(kù)”讓用戶(hù)面臨更大的詐騙陷阱。通過(guò)“撞庫(kù)”攻擊獲取用戶(hù)信息后，犯罪嫌疑人可能實(shí)施多種犯罪，包括出售賬號(hào)獲得非法收益，根據(jù)用戶(hù)個(gè)人信息實(shí)現(xiàn)電信詐騙，鎖定用戶(hù)賬號(hào)、以此要挾、敲詐用戶(hù)付費(fèi)解鎖。此外，由于國(guó)內(nèi)的高壓打擊態(tài)勢(shì)，更多犯罪團(tuán)伙將服務(wù)器設(shè)置在海外，通過(guò)跨境操作，讓IP地址等定位更加變化多端，增加了執(zhí)法機(jī)構(gòu)偵破案件的難度。
隨著網(wǎng)絡(luò)黑色產(chǎn)業(yè)犯罪日益猖獗，包括百度、阿里巴巴、騰訊等在內(nèi)的多家安全廠商加入到聯(lián)合打擊的行列中，并建立了一系列跨行業(yè)的聯(lián)動(dòng)機(jī)制。據(jù)百度安全相關(guān)負(fù)責(zé)人介紹，百度一方面加大與政府部門(mén)的聯(lián)動(dòng)，一方面就隱私竊取黑色產(chǎn)業(yè)的技術(shù)原理、涉及范圍、與運(yùn)營(yíng)商合作的方法等進(jìn)行多輪溝通，逐步明確了系統(tǒng)的解決方案。目前已成功打掉數(shù)萬(wàn)個(gè)違規(guī)站點(diǎn)，并已促成黑色產(chǎn)業(yè)最上游部分泄密接口關(guān)停，同時(shí)與運(yùn)營(yíng)商建立了聯(lián)動(dòng)關(guān)停泄密站點(diǎn)的機(jī)制，靠技術(shù)識(shí)別能力和行業(yè)協(xié)同能力對(duì)網(wǎng)絡(luò)犯罪分子形成震懾。
針對(duì)“撞庫(kù)”等黑色產(chǎn)業(yè)，互聯(lián)網(wǎng)安全廠商也在不斷提升技術(shù)，并與公安部門(mén)協(xié)同作戰(zhàn)，打擊罪犯，在大數(shù)據(jù)監(jiān)測(cè)方面，推出針對(duì)黑色產(chǎn)業(yè)的威脅情報(bào)大數(shù)據(jù)平臺(tái)等。人工智能技術(shù)將助力打擊網(wǎng)絡(luò)黑色產(chǎn)業(yè)，貫穿打擊網(wǎng)絡(luò)黑色產(chǎn)業(yè)全程：從風(fēng)險(xiǎn)實(shí)時(shí)檢測(cè)、溯源反制，到最后的協(xié)同抓捕。
不過(guò)，安全專(zhuān)家也提醒，雖然有了高科技的幫助，但廣大用戶(hù)仍要重視“撞庫(kù)”帶來(lái)的危害，提高自己的防護(hù)意識(shí)。比如多設(shè)置幾個(gè)賬號(hào)和密碼，對(duì)應(yīng)使用不同級(jí)別的網(wǎng)站，選擇安全的登錄方式。一些支付類(lèi)、財(cái)務(wù)類(lèi)的網(wǎng)站，應(yīng)盡可能使用手機(jī)驗(yàn)證等安全驗(yàn)證方式，避免為圖省事而直接登錄。要定期進(jìn)行密碼修改，以確保賬號(hào)安全等。
具體來(lái)說(shuō)，面對(duì)個(gè)人隱私安全隱患，普通用戶(hù)可以通過(guò)這樣一些方式實(shí)現(xiàn)自我保護(hù)：首先，發(fā)現(xiàn)個(gè)人隱私泄露后，可以通過(guò)一些公開(kāi)平臺(tái)進(jìn)行舉報(bào)，在最短時(shí)間內(nèi)實(shí)現(xiàn)個(gè)人賬號(hào)信息保護(hù)。其次，在注冊(cè)多個(gè)社交賬號(hào)時(shí)，盡量設(shè)置不同的賬號(hào)密碼并提高密碼復(fù)雜度，提高個(gè)人隱私安全等級(jí)。在日常使用網(wǎng)站服務(wù)時(shí)，也要習(xí)慣使用安全軟件來(lái)保護(hù)個(gè)人信息安全。