<mark id="oztn4"></mark>
1
不知道玩微博的童鞋有沒有遇到過這樣的事情：你的微博賬號總是會出現很多新的關注列表，而這些并不是你操作的，是不是覺得很恐懼？
一位搞安全的童鞋曾經告訴雷鋒網編輯，這很可能是因為有人知道我的身份信息，嚇得我趕緊去改了密碼。
最近幾天，微博被爆超 5 億用戶信息在暗網上被出售的消息也是鬧的沸沸揚揚，究竟怎么回事呢？
事情還要從幾個安全大佬的微博說起。
據南方日報報道，近日，多個安全監測平臺監控到，有暗網用戶于 3 月 4 日發布了一則名為“5.38 億微博用戶綁定手機號數據，其中 1.72 億有賬號基本信息”的交易信息，售價 1388 美元。其中綁定手機數據包括用戶 ID 和手機號，賬號基本信息包括昵稱、頭像、粉絲數、所在地等。
【 圖片來源：南方都市報 所有者：南方都市報 】
該用戶在商品描述中稱，上述信息“均為 2019 年中左右抓取”，并給出 400 條綁定手機號的測試數據，以及1500 條賬號基本信息的測試數據。
18 日晚，默安科技創始人兼 CTO 魏興國（安全-云舒）發博提及此事。
很快，微博 CEO 王高飛（來去之間）回復稱“是 2014 年以前網易那次撞庫的”。
3 月 19 日上午，默安科技 CTO 魏興國（安全-云舒）發布了一條微博（目前已刪除）稱，通過技術查詢發現不少人手機號已經泄露。網友也不斷留言稱自己疑似遭遇了數據泄露，且泄露信息多為手機號。
“我的微博是 2019 年 7 月份注冊的，也可以查到綁定的手機號。應該確實是被脫庫而非接口枚舉，因為絕大多數綁定號碼都可以查到，泄露的數據量很龐大有幾億條。”
甚至有人發出了疑似微博個人數據的打包售賣截圖，標價為 1799 元。
很快，微博針對微博數據泄露一事回應承認屬實，目前已及時強化安全策略，并表示這起數據泄露不涉及身份證、密碼，對微博服務沒有影響。
微博還稱，“此次數據泄露應該追溯到 2018 年底，當時，有用戶通過微博相關接口通過批量手機批量上傳通訊錄，匹配出幾百萬個賬號昵稱，再加上通過其他渠道獲取的信息一起對外出售。其一直有提供根據通訊錄手機號查詢微博好友昵稱的服務，用戶授權后可以使用該服務。但微博不提供用戶性別和身份證號等信息，也沒有‘根據用戶昵稱查手機號’的服務。因此這起數據泄露不涉及身份證、密碼，對微博服務沒有影響。此次非法調用微博接口匹配出的信息即為微博賬號昵稱，不涉及其余隱私數據。”（這條微博 也已經刪除）
隨后，微博安全總監羅詩堯也回應表示：“泄漏的手機號是 19 年通過通訊錄上傳接口被暴力匹配的，其余公開信息都是網上抓來的。”
同時，羅詩堯還表示：“19 年被刷的部分數據，內部突發現異常后馬上堵住了口子。我們第一時間報了警，取證后把相關信息遞到了警方，同時一直也在追查網上售賣信息的黑灰產。用戶的隱私至關重要，尤其還是涉及到手機號。”
盡管，微博已經就此事給出了回應，但網友們認為微博泄露用戶數據這件事可能是長期事實，并非舊聞，微博也不能僅在官方微博上如此“不咸不淡”的給出回應，應該就此事給出合理的解決辦法。
值得注意的是，提出問題的魏興國刪除了多條相關微博(或被限流已不可見)，出來與網友 battle 的微博安全總監羅詩堯刪除了相關留言。
當然，搞安全的童鞋也沒閑著，他們親身去試驗了。
“微博的數據泄露，很大概率可能是黑灰產的攻擊者利用接口的業務功能考慮不周全或有缺陷的情況，在本地通過腳本或自動化工具去大量生成。”
據 Phala 可信網絡稱，他們購買了隱私數據其中一個根據地：電報（Telegram，一款匿名聊天軟件），通過電報按圖索驥、購買服務，摸清了灰產的整個服務架構。
他們首先在 Telegram 找到社工群，即“社工庫”，然后與電報機器人聊天獲取數據信息的方式途徑，最后輸入手機/貼吧 ID /微博 ID / QQ / LOL 互相查詢對應綁定信息就可以查到你想查的信息，只要有錢。
【 圖片來源：Phala可信網絡 所有者：Phala可信網絡 】
重要的是，這個軟件出售的不僅僅是微博相關數據，還支持 QQ 查手機/手機查 QQ ，微博 uid 查手機/手機反查微博，貼吧賬號查手機/手機查貼吧賬號。
此外，還可以提供密碼、快遞、開房、戶籍、地址、身份證 、郵箱、賬戶、個人征信報告等全方位的數據隱私查詢服務。
根據教程，社工庫以積分機制的形式販賣服務。用戶可以通過 BTC 或者以太坊為服務充值以獲取積分，然后使用積分可以查詢各種服務。充值積分越多，獲得單個積分也就越便宜，例如 0.01 個比特幣能夠獲得 499 積分，0.03 比特幣能夠獲得 2303 積分，0.05 個比特幣能夠獲得 5756 積分。
10 積分可以做一次普通查詢，約等于 10 元一次；50 積分（ 50 元）可以查一個貼吧/ QQ 微博套餐服務；個人征信報告則賣到了 1200 元。
所以，其實在暗網上，數據買賣很正常，我們的個人信息很可能隨時在被買賣。誠然，出現數據泄露是必然事件且一直在發生。但防范此類事件發生，首先是各平臺不可推卸的責任。
其實，大數據時代，數據泄露也不是什么新鮮事，難的是我們如何盡可能減少這種情況的發生，那么，各大平臺應該怎么做呢？
啟明星數據安全專家曾給出三條建議：對于平臺而言，首先要完善數據安全防護手段，敏感數據是什么、存放在什么位置、流轉經過哪些節點、數據泄露后如何溯源追責，企業都應該采取相應的數據安全產品和技術手段來解決這些問題。
其次，要建立可落地的行業性數據安全規范和企業數據安全管理制度；
最后，要提高安全意識，增加對內部數據泄露風險的防護。
而對于普通用戶，雷鋒網建議大家：
在不同平臺設置不同密碼，并在某個固定時間去修改所有密碼。
重要信息分類使用。當獲取服務時，手機要綁定個人信息，要注意被綁定的信息。
雷鋒網雷鋒網雷鋒網
參考來源：https://mp.weixin.qq.com/s/3pvdWMuDmMrQJT1AEFcPWA
https://mp.weixin.qq.com/s/B_RqPoO8cM9Ye3asjqeHrw
https://www.toutiao.com/a6805795717215420935/
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
