1
不知道玩微博的童鞋有沒有遇到過這樣的事情：你的微博賬號總是會出現(xiàn)很多新的關(guān)注列表，而這些并不是你操作的，是不是覺得很恐懼？
一位搞安全的童鞋曾經(jīng)告訴雷鋒網(wǎng)編輯，這很可能是因為有人知道我的身份信息，嚇得我趕緊去改了密碼。
最近幾天，微博被爆超 5 億用戶信息在暗網(wǎng)上被出售的消息也是鬧的沸沸揚揚，究竟怎么回事呢？
事情還要從幾個安全大佬的微博說起。
據(jù)南方日報報道，近日，多個安全監(jiān)測平臺監(jiān)控到，有暗網(wǎng)用戶于 3 月 4 日發(fā)布了一則名為“5.38 億微博用戶綁定手機號數(shù)據(jù)，其中 1.72 億有賬號基本信息”的交易信息，售價 1388 美元。其中綁定手機數(shù)據(jù)包括用戶 ID 和手機號，賬號基本信息包括昵稱、頭像、粉絲數(shù)、所在地等。
【 圖片來源：南方都市報 所有者：南方都市報 】
該用戶在商品描述中稱，上述信息“均為 2019 年中左右抓取”，并給出 400 條綁定手機號的測試數(shù)據(jù)，以及1500 條賬號基本信息的測試數(shù)據(jù)。
18 日晚，默安科技創(chuàng)始人兼 CTO 魏興國（安全-云舒）發(fā)博提及此事。
很快，微博 CEO 王高飛（來去之間）回復稱“是 2014 年以前網(wǎng)易那次撞庫的”。
3 月 19 日上午，默安科技 CTO 魏興國（安全-云舒）發(fā)布了一條微博（目前已刪除）稱，通過技術(shù)查詢發(fā)現(xiàn)不少人手機號已經(jīng)泄露。網(wǎng)友也不斷留言稱自己疑似遭遇了數(shù)據(jù)泄露，且泄露信息多為手機號。
“我的微博是 2019 年 7 月份注冊的，也可以查到綁定的手機號。應該確實是被脫庫而非接口枚舉，因為絕大多數(shù)綁定號碼都可以查到，泄露的數(shù)據(jù)量很龐大有幾億條?！?/p>
甚至有人發(fā)出了疑似微博個人數(shù)據(jù)的打包售賣截圖，標價為 1799 元。
很快，微博針對微博數(shù)據(jù)泄露一事回應承認屬實，目前已及時強化安全策略，并表示這起數(shù)據(jù)泄露不涉及身份證、密碼，對微博服務沒有影響。
微博還稱，“此次數(shù)據(jù)泄露應該追溯到 2018 年底，當時，有用戶通過微博相關(guān)接口通過批量手機批量上傳通訊錄，匹配出幾百萬個賬號昵稱，再加上通過其他渠道獲取的信息一起對外出售。其一直有提供根據(jù)通訊錄手機號查詢微博好友昵稱的服務，用戶授權(quán)后可以使用該服務。但微博不提供用戶性別和身份證號等信息，也沒有‘根據(jù)用戶昵稱查手機號’的服務。因此這起數(shù)據(jù)泄露不涉及身份證、密碼，對微博服務沒有影響。此次非法調(diào)用微博接口匹配出的信息即為微博賬號昵稱，不涉及其余隱私數(shù)據(jù)。”（這條微博 也已經(jīng)刪除）
隨后，微博安全總監(jiān)羅詩堯也回應表示：“泄漏的手機號是 19 年通過通訊錄上傳接口被暴力匹配的，其余公開信息都是網(wǎng)上抓來的?！?/p>
同時，羅詩堯還表示：“19 年被刷的部分數(shù)據(jù)，內(nèi)部突發(fā)現(xiàn)異常后馬上堵住了口子。我們第一時間報了警，取證后把相關(guān)信息遞到了警方，同時一直也在追查網(wǎng)上售賣信息的黑灰產(chǎn)。用戶的隱私至關(guān)重要，尤其還是涉及到手機號。”
盡管，微博已經(jīng)就此事給出了回應，但網(wǎng)友們認為微博泄露用戶數(shù)據(jù)這件事可能是長期事實，并非舊聞，微博也不能僅在官方微博上如此“不咸不淡”的給出回應，應該就此事給出合理的解決辦法。
值得注意的是，提出問題的魏興國刪除了多條相關(guān)微博(或被限流已不可見)，出來與網(wǎng)友 battle 的微博安全總監(jiān)羅詩堯刪除了相關(guān)留言。
當然，搞安全的童鞋也沒閑著，他們親身去試驗了。
“微博的數(shù)據(jù)泄露，很大概率可能是黑灰產(chǎn)的攻擊者利用接口的業(yè)務功能考慮不周全或有缺陷的情況，在本地通過腳本或自動化工具去大量生成?！?/p>
據(jù) Phala 可信網(wǎng)絡稱，他們購買了隱私數(shù)據(jù)其中一個根據(jù)地：電報（Telegram，一款匿名聊天軟件），通過電報按圖索驥、購買服務，摸清了灰產(chǎn)的整個服務架構(gòu)。
他們首先在 Telegram 找到社工群，即“社工庫”，然后與電報機器人聊天獲取數(shù)據(jù)信息的方式途徑，最后輸入手機/貼吧 ID /微博 ID / QQ / LOL 互相查詢對應綁定信息就可以查到你想查的信息，只要有錢。
【 圖片來源：Phala可信網(wǎng)絡 所有者：Phala可信網(wǎng)絡 】
重要的是，這個軟件出售的不僅僅是微博相關(guān)數(shù)據(jù)，還支持 QQ 查手機/手機查 QQ ，微博 uid 查手機/手機反查微博，貼吧賬號查手機/手機查貼吧賬號。
此外，還可以提供密碼、快遞、開房、戶籍、地址、身份證 、郵箱、賬戶、個人征信報告等全方位的數(shù)據(jù)隱私查詢服務。
根據(jù)教程，社工庫以積分機制的形式販賣服務。用戶可以通過 BTC 或者以太坊為服務充值以獲取積分，然后使用積分可以查詢各種服務。充值積分越多，獲得單個積分也就越便宜，例如 0.01 個比特幣能夠獲得 499 積分，0.03 比特幣能夠獲得 2303 積分，0.05 個比特幣能夠獲得 5756 積分。
10 積分可以做一次普通查詢，約等于 10 元一次；50 積分（ 50 元）可以查一個貼吧/ QQ 微博套餐服務；個人征信報告則賣到了 1200 元。
所以，其實在暗網(wǎng)上，數(shù)據(jù)買賣很正常，我們的個人信息很可能隨時在被買賣。誠然，出現(xiàn)數(shù)據(jù)泄露是必然事件且一直在發(fā)生。但防范此類事件發(fā)生，首先是各平臺不可推卸的責任。
其實，大數(shù)據(jù)時代，數(shù)據(jù)泄露也不是什么新鮮事，難的是我們?nèi)绾伪M可能減少這種情況的發(fā)生，那么，各大平臺應該怎么做呢？
啟明星數(shù)據(jù)安全專家曾給出三條建議：對于平臺而言，首先要完善數(shù)據(jù)安全防護手段，敏感數(shù)據(jù)是什么、存放在什么位置、流轉(zhuǎn)經(jīng)過哪些節(jié)點、數(shù)據(jù)泄露后如何溯源追責，企業(yè)都應該采取相應的數(shù)據(jù)安全產(chǎn)品和技術(shù)手段來解決這些問題。
其次，要建立可落地的行業(yè)性數(shù)據(jù)安全規(guī)范和企業(yè)數(shù)據(jù)安全管理制度；
最后，要提高安全意識，增加對內(nèi)部數(shù)據(jù)泄露風險的防護。
而對于普通用戶，雷鋒網(wǎng)建議大家：
在不同平臺設置不同密碼，并在某個固定時間去修改所有密碼。
重要信息分類使用。當獲取服務時，手機要綁定個人信息，要注意被綁定的信息。
雷鋒網(wǎng)雷鋒網(wǎng)雷鋒網(wǎng)
參考來源：https://mp.weixin.qq.com/s/3pvdWMuDmMrQJT1AEFcPWA
https://mp.weixin.qq.com/s/B_RqPoO8cM9Ye3asjqeHrw
https://www.toutiao.com/a6805795717215420935/
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
