撞庫黑產(chǎn)無休止！京東、阿里、拼多多都曾著了道！

撞庫京東阿里拼多多數(shù)據(jù)泄漏

原創(chuàng) 華笙 | 2021-01-06 20:41

【數(shù)據(jù)猿導(dǎo)讀】數(shù)據(jù)泄漏就發(fā)生在我們身邊，它的出現(xiàn)或許是撥過來的陌生號碼，發(fā)過來的垃圾信息，如此這般司空見慣。當(dāng)它到來的時候或許我們在忙碌，無暇顧及，或許心生疑惑，卻無從了解。它的背后究竟是什么？它和黑客攻擊有什么關(guān)系？它究竟是什么面目？下面請大家跟隨數(shù)據(jù)猿填補(bǔ)我們記憶中未知的真相...

數(shù)據(jù)泄漏就發(fā)生在我們身邊，它的出現(xiàn)或許是撥過來的陌生號碼，發(fā)過來的垃圾信息，如此這般司空見慣。當(dāng)它到來的時候或許我們在忙碌，無暇顧及，或許心生疑惑，卻無從了解。它的背后究竟是什么？它和黑客攻擊有什么關(guān)系？它究竟是什么面目？下面請大家跟隨數(shù)據(jù)猿填補(bǔ)我們記憶中未知的真相和殘缺的拼圖。

數(shù)據(jù)撞庫攻擊層出不窮

李倩是某公司員工，常常接到陌生來電，這讓她百思不得其解。如果這種情況有一次兩次還好，但實(shí)際并不是。當(dāng)這種騷擾變得普通、常見起來，就會影響我們的生活。專業(yè)人士就李倩的詢問作了解答，這或許和數(shù)據(jù)撞庫有關(guān)。李倩把數(shù)據(jù)撞庫拋給周邊人，無人知道這個名詞的意思。專業(yè)人士講到，簡單理解，數(shù)據(jù)撞庫就是通過搜索已知數(shù)據(jù)庫的人員信息，來確認(rèn)陌生人的聯(lián)系方式。

百度詞條解釋，撞庫是黑客通過收集互聯(lián)網(wǎng)已泄露的用戶和密碼信息，生成對應(yīng)的字典表，嘗試批量登陸其他網(wǎng)站后，得到一系列可以登錄的用戶。很多用戶在不同網(wǎng)站使用的是相同的帳號密碼，因此黑客可以通過獲取用戶在A網(wǎng)站的賬戶從而嘗試登錄B網(wǎng)址，這就可以理解為撞庫攻擊。

撞庫_京東_阿里_拼多多_數(shù)據(jù)泄漏-1

黑客使用數(shù)據(jù)撞庫的手段，出賣公司信息，泄露個人隱私，已經(jīng)成為警察立案偵查、法院庭審追責(zé)的對象。

拼多多在2019年被羊毛黨撞庫，薅走“年貨節(jié)”最大閾值優(yōu)惠券。根據(jù)拼多多提供的信息顯示，黑灰產(chǎn)團(tuán)伙所利用的“優(yōu)惠券漏洞”盜取的相關(guān)優(yōu)惠券，系拼多多此前與一檔電視節(jié)目（江蘇衛(wèi)視《非誠勿擾》）開展合作時，因節(jié)目錄制需要特殊生成的優(yōu)惠券類型，僅供現(xiàn)場嘉賓使用。

拼多多強(qiáng)調(diào)稱該優(yōu)惠券系黑灰產(chǎn)團(tuán)伙通過非正常途徑生成的二維碼掃碼后獲得，該二維碼多流傳于社交平臺相關(guān)黑灰產(chǎn)群，拼多多從未針對該類型優(yōu)惠券生成任何二維碼，更從未在APP及小程序中展示過此類優(yōu)惠券相關(guān)信息及二維碼。

這部分優(yōu)惠券被通過即時充值的話費(fèi)、Q幣等模式迅速洗成現(xiàn)金，在發(fā)現(xiàn)拼多多并未及時（從出現(xiàn)到被修補(bǔ)接近10小時）對此優(yōu)惠券做出回應(yīng)后，羊毛黨開始通過社交渠道將此漏洞公布，大量普通用戶也開始加入到這個行列中。

撞庫_京東_阿里_拼多多_數(shù)據(jù)泄漏-2

同樣，阿里也不斷遭遇撞庫攻擊，嘗遍野火燒不盡，春風(fēng)吹又生之恨。根據(jù)阿里巴巴發(fā)布的《阿里聚安全2016年報》顯示，2016年在各種互聯(lián)網(wǎng)業(yè)務(wù)活動中，缺乏安全防控的紅包、優(yōu)惠券促銷活動，會被“羊毛黨”以機(jī)器、小號等各種手段搶到手，70%~80%的促銷優(yōu)惠會被“羊毛黨”薅走。一些羊毛黨在電商促銷期間抓住商家優(yōu)惠措施漏洞后瘋狂購買，然后和商家進(jìn)行商談后（因?yàn)樯碳覠o力支持發(fā)貨）進(jìn)行勒索，日收入甚至可以超過10萬元。

京東在2015年也發(fā)生過數(shù)據(jù)撞庫事件。當(dāng)時，一百多名受騙者自發(fā)組成了維權(quán)QQ群，講述了被“京東客服”詐騙金錢的真實(shí)經(jīng)歷。詐騙者不僅能準(zhǔn)確說出消費(fèi)者的下單信息，甚至連消費(fèi)者的個人信息都了如指掌。此外，詐騙者僅憑一條短信驗(yàn)證碼即可轉(zhuǎn)走用戶銀行中錢財(cái)，這和京東推出的一款名叫"網(wǎng)銀+"的快捷支付不無關(guān)系。

撞庫_京東_阿里_拼多多_數(shù)據(jù)泄漏-3

在該事件中，其實(shí)，京東的數(shù)據(jù)庫并沒有泄露，黑客通過“撞庫”的手法，“湊巧”獲取到了一些京東用戶的數(shù)據(jù)（用戶名、密碼），而這樣的手法，幾乎可以對付任何網(wǎng)站登錄系統(tǒng)。用戶在不同網(wǎng)站登錄時使用相同的用戶名和密碼，就相當(dāng)于給自己配了一把“萬能鑰匙”，一旦丟失，后果可想而知。

……

阿里、京東、拼多多等，所謂的高精尖電商平臺，無一幸免。面對黑客詐騙行徑，警察絕不姑息。2017年3月，紹興警方在沈陽破獲一個高智商犯罪團(tuán)伙，該團(tuán)伙建立的“快啊”打碼平臺專為網(wǎng)絡(luò)黑產(chǎn)和灰產(chǎn)識別破解字符型驗(yàn)證碼提供技術(shù)幫助。據(jù)同盾科技提供的數(shù)據(jù)顯示，2017年前三季度，企業(yè)平均每天要遭受241萬次薅羊毛攻擊，造成的損失在千萬級別。

無暴利，不黑客

基于數(shù)據(jù)撞庫手段，黑客們一頓猛如虎的操作，都是為了背后巨大的利益。

湖北籍男子汪某在2019年被警方以非法獲利逮捕。他畢業(yè)后一直無業(yè)，便利用其掌握的計(jì)算機(jī)能力，控制了多個熱門網(wǎng)絡(luò)平臺的大量賬號，隨后通過在網(wǎng)上承接點(diǎn)贊刷量、發(fā)布廣告等業(yè)務(wù)賺錢。同時汪某還編寫了大量撞庫代碼，對目前網(wǎng)絡(luò)上比較熱門的網(wǎng)絡(luò)平臺進(jìn)行撞庫，接著控制撞庫獲取的賬戶，累計(jì)獲利上百萬元。

北京字節(jié)跳動在汪某的算計(jì)下?lián)p失慘重。汪某攻擊了字節(jié)跳動旗下抖音App千萬級外部賬號，使用的正是數(shù)據(jù)撞庫技術(shù)手段。海淀警方接到字節(jié)跳動報案后，經(jīng)過一番徹查，對汪某實(shí)施逮捕，汪某對犯罪事實(shí)供認(rèn)不諱。

撞庫_京東_阿里_拼多多_數(shù)據(jù)泄漏-4

據(jù)了解，近年來大型網(wǎng)站被“撞庫”的事件頻發(fā)，黑客動機(jī)源于不勞而獲心理，坐收“撞庫”利益。知名自媒體人“三表龍門陣”稱，2019年3月，企鵝號被爆出“露露事件”，自己的企鵝號被盜號后改名為“娛樂與露露”，并發(fā)表了大量娛樂八卦文章。兩個月里，該賬號從騰訊獲取了7萬余元的收入。

騰訊對三表解釋，這是“做號集團(tuán)”購買了他的高級企鵝賬號信息。三表認(rèn)為“做號集團(tuán)”用更少的時間竟然賺取了自己耕耘數(shù)年未能達(dá)到的平臺收益量，對此，他深感“做號集團(tuán)”對流量的洞察、平臺的算法、編輯的喜好了解甚至比自媒體透徹得多，表示不可思議。他開始搜集證據(jù)，并了解到，在巨大的利益下，部分平臺存在內(nèi)部工作人員與外部“做號集團(tuán)”勾結(jié)的情況，他們共同“養(yǎng)號”，獲取利益抽成。還有一篇名為《自媒體做號江湖》揭露，做號者一人申請10個號，每篇5分鐘寫好，月入3萬進(jìn)賬，碾壓原創(chuàng)作者收入；更有甚者組建團(tuán)隊(duì)，抄襲者收益比原創(chuàng)高。

不禁推測，企鵝號宣布100億扶持的計(jì)劃，難道早已內(nèi)外勾結(jié)蠶食殆盡？

相同的撞庫手法，這次黑客選擇了另外的攻擊平臺。胡某和馬某一夜之間盜取多名百度云用戶賬號，他們網(wǎng)盤內(nèi)所存的大量文件消失，有的甚至被塞滿黃片。海淀警方先后遠(yuǎn)赴河北和深圳，將兩位嫌疑人抓獲歸案。以賣漁具為生的胡某兼職做“黑客”，一年間購買和免費(fèi)獲取賬戶密碼信息近3000萬條，網(wǎng)購撞庫軟件將這些信息批量登錄百度賬戶，篩出正確賬號密碼50余萬條，并將有現(xiàn)金的賬號在網(wǎng)上出售，獲利5萬余元。

撞庫_京東_阿里_拼多多_數(shù)據(jù)泄漏-5

黑客眼紅撞庫暴利，他們很容易獲得與使用與用戶有關(guān)的各類信息，如手機(jī)號碼、身份證號碼、家庭住址、支付寶或網(wǎng)銀信息等，此類信息支撐犯罪分子進(jìn)行各種詐騙、盜刷等，擴(kuò)大自身獲利空間。

摧垮黑客攻擊不走尋常路

黑客猖獗，肆意攻擊網(wǎng)絡(luò)數(shù)據(jù)。究其原因，是因?yàn)樵絹碓蕉嗟娜俗兊酶≡辏幌肽_踏實(shí)地獲取成功，總想要一步就位拿到錢。其實(shí)，命運(yùn)給你的饋贈，早已在暗中標(biāo)了加碼，等待黑客的將是嚴(yán)肅的處罰。

對企業(yè)來講，數(shù)據(jù)安全是一道門檻，里面就是用戶的信任或企業(yè)的核心機(jī)密。一旦門檻廢除，原因和后果大家都清楚明白，比如企業(yè)數(shù)據(jù)安全系統(tǒng)存在bug，才讓黑客有機(jī)可乘，比如企業(yè)自身做不好數(shù)據(jù)安全防護(hù)，如何成為讓用戶信賴的品牌等。

Akamai亞太區(qū)云安全區(qū)域副總裁Unmesh Deshmukh表示：針對撞庫攻擊，Akamai推出了爬蟲管理解決方案，據(jù)介紹，該方案利用人工智能和機(jī)器學(xué)習(xí)技術(shù)，能夠有效的識別出哪些是人工流量，哪些是爬蟲流量。

撞庫_京東_阿里_拼多多_數(shù)據(jù)泄漏-6

Unmesh Deshmukh表示，爬蟲管理方案的實(shí)施分為三個步驟：第一步，判斷流量是否來自爬蟲；第二步，判斷該爬蟲是好爬蟲還是惡意爬蟲，以航空公司為例，客戶會在其平臺上購買機(jī)票，這就要判斷爬蟲行為是不是來自于客戶的購票行為，如果屬于客戶的行為，就是好爬蟲；第三步，根據(jù)爬蟲類型采取相應(yīng)管理措施。

“一般的處理手段是對惡意爬蟲進(jìn)行阻擋，但這樣的效果并不明顯，因?yàn)閾踝×艘惶?，別處就會有越來越多的爬蟲。原因在于運(yùn)行爬蟲的人很聰明，如果感知到異常，他會修改爬蟲程序，使之更加智能、更難防范。所以可以給它一個極慢的速度或者將計(jì)就計(jì)給他提供虛假的信息。”

撞庫還可以通過數(shù)據(jù)庫安全防護(hù)技術(shù)解決，數(shù)據(jù)庫安全技術(shù)主要包括：數(shù)據(jù)庫漏掃、數(shù)據(jù)庫加密、數(shù)據(jù)庫防火墻、數(shù)據(jù)脫敏、數(shù)據(jù)庫安全審計(jì)系統(tǒng)。

企業(yè)和個人聯(lián)手，筑起抵御黑客攻擊的城墻。企業(yè)注重安全意識，落實(shí)數(shù)據(jù)安全防控指南，升級數(shù)據(jù)安全保護(hù)技術(shù)。個人謹(jǐn)記切勿在多個平臺留下相同的賬號密碼，自己做好平臺賬號密碼筆記，設(shè)置多個不同平臺密碼，并增加密碼難度，不給黑客留下任何打擊的機(jī)會。

來源：數(shù)據(jù)猿

收藏分享

聲明：數(shù)據(jù)猿尊重媒體行業(yè)規(guī)范，相關(guān)內(nèi)容都會注明來源與作者；轉(zhuǎn)載我們原創(chuàng)內(nèi)容時，也請務(wù)必注明“來源：數(shù)據(jù)猿”與作者名稱，否則將會受到數(shù)據(jù)猿追責(zé)。