新年結束，2019火拼的日子即將到來。無論思緒是否還停留在年三十，正坐在電腦面前碼字的你已用現實行動告訴自己——假期余額不足！為安撫大家“回籠”后凌亂的心，上班第一天BOSS領頭為大家“充值”一波。手攥紅包，心中默念：祝自己開工大吉~

 

▲開工大吉~吧！

相比發(fā)紅包，顯然Dream Market暗網市場這位賣家慶祝新年開工的方式要隆重許多——他決定對來自16個曾被攻擊網站的共6.2億用戶信息進行兜售，交易通過比特幣轉賬進行，打包售價不高于2萬美元。

16個“倒霉蛋兒”

那么，這16個倒霉蛋是誰呢？為了讓大家直觀看到兜售信息，編輯整理出如下表格： 

從表中我們不難看出，被兜售的網站信息量最大的是Dubsmash，為1.62億，售價也達到了最高的1976美元。而相比之下，信息量達到1.51億僅次第一名的MyFitnessPal售價卻遠不如信息量為9200萬的MyHeritage。

雷鋒網得知，這三款應用的用途分布在社交、內容和健康這三大領域，除了用戶的登錄賬戶及密碼，可以想象其中很可能包括大量的用戶使用習慣數據。從Dream Market暗網市場放出的部分樣本來看，這些被泄露的隱私信息主要包括用戶姓名、電子郵件地址和密碼等。此外，價格偏高的信息包還包括用戶的位置信息、個人詳細信息以及社交媒體詳細身份驗證信息等，而這其中似乎并不包含用戶的支付及銀行信息。

被售賣的這6.2億用戶信息全部因為在2018年乃至2017年的不同時間點受到黑客組織攻擊導致了泄露。其中，MyHeritage、MyFitnessPa和Animoto均在2018年首次曝出數據泄露，由此推斷此次售賣的該部分數據應該是一手的。

黑客會買這些數據嗎？

顯然，這些數據在常人看來用途并非很大，但是它們對于黑客而言卻具有十分大的利用價值。

目前，該賣家確認至少已經有一人購買了Dubsmash的數據。當然，并非所有黑客都對這些數據有很強的購買欲。雷鋒網得知，此次兜售的數據大多來自垃圾郵件/消息的用戶群體，賣家直接發(fā)送電子郵件地址或者發(fā)送垃圾信息進行撞庫。因此，該賣家對于此次兜售的價格定位相對便宜。

對于資深黑客而言，可以通過類似方式自行數據的獲取，而此過程他們不需要花一分錢。但值得注意的是，賣家自稱是在通過網絡漏洞遠程代碼執(zhí)行權限提取了數據庫，并在2018年清洗了該數據庫。也就是說，其中的數據已經被進行過分類和整理，以便買家能夠清楚地選購自己想要的信息。

對此，推特上有不少網友認為在暗網上的交易往往是風險重重，也對于此次信息交易的真實性提出了懷疑。但實際上，包含MyHeritage在內的廠商證實了其真實性，它們認為從信息泄露之后的追蹤情況來看，這批信息被放在暗網上兜售的可能性很大。另外，從暗網交易平臺來看，賣家也更加注重交易的信用成本。簡單來說，此類交易平臺更像是暗網中的電商平臺，其不光有完善的信用體系，商家本身也會為了留住回頭客而確保自己的信用。

廠商：尚未發(fā)現不當行為

上面說到，此次兜售的信息中有不少都是2018年泄露的一手數據。但對于廠商來說，其泄漏時間已經過去很長時間，對于這樣被公開的信息被放到暗網兜售，網友和廠商的看法也是各不相同。

實際上，對于這次兜售事件，外媒第一時間聯系了上表中涉及的廠商進行情況核實。其中，MyHeritage發(fā)言人稱：“此次兜售的該公司用戶信息全部來自2017年的數據泄漏事件，目前尚未發(fā)現有不當行為出現。公司將對該賣家進行實時追蹤，以防這些數據被用于惡意行為。”

對于該廠商的回復，推特網友認為這種行為應該盡早遏制而不是在一旁靜待安全事件發(fā)生。對此，雷鋒網和相關人士請教后得知，暗網平臺兜售信息的情況時常出現，對于已經泄露的信息而言，其失去保密性之后對于廠商來說也就失去了其保護的意義。但是即便如此，廠商依然有義務承擔由于此類信息后續(xù)發(fā)酵導致的泄漏事件發(fā)生的責任。

“如果信息被賣家首次竊取進行售賣，那無疑是侵犯了用戶的安全權益，但目前的信息基本上都是在2018、2017年已經被披露的信息，在兜售行為尚未出現明顯涉及用戶利益的情況下，很難對此次行為的對錯做出衡量?！?/p>

除了上述廠商，Dubsmash、8fit、Animoto、Artsy均做出答復稱已經將情況告知用戶并在安全防護方面進行了加強管理。

參考來源：theregister；FreeBuf

雷峰網原創(chuàng)文章，未經授權禁止轉載。詳情見轉載須知。