位置:科技资讯 > 互联网 > “撞库”挖开信息堰塞湖 除了“自救”还该做什么?

“撞库”挖开信息堰塞湖 除了“自救”还该做什么?

科技资讯  2018年8月31日 14:05  来源:新浪科技
摘要:“华住数据疑似泄露”事件引发广泛关注。8月28日,有科技机构在网上爆料,并传出一张黑客出售疑为华住酒店集团客户数据的截图,其中涉及姓名、身份证号、家庭住址、开房记录等众多敏感信息。

  澎湃首席评论员 沈彬

  “华住数据疑似泄露”事件引发广泛关注。8月28日,有科技机构在网上爆料,并传出一张黑客出售疑为华住酒店集团客户数据的截图,其中涉及姓名、身份证号、家庭住址、开房记录等众多敏感信息。

  有媒体记者对已流传出的信息做了随机测试,在16人中,有1人电话为空号,3人表示数据与本人不符,5人表示信息基本一致,7人电话未打通。这份天量级别的个人信息包是从哪里泄露的?目前,上海长宁警方已介入调查,希望能够全面查清此案。

  其实,发生类似的事件并非偶见,相反,近年各大网站、应用乃至医疗等机构的信息泄露不断,用户的信息一再“被裸奔”:

  ——2014年12月,12306上的超13万条用户数据,在网上被传播售卖,包括账号密码、身份证、邮箱等。

  ——2015年,线上票务营销平台大麦网被发现存在安全漏洞,600余万用户账户密码遭到泄露。

  ——2015年,网易163/126邮箱数亿账号信息泄漏。

  ——今年6月,著名二次元网站AcFun承认,受黑客攻击致用户数据外泄。

  这并不是中国所独有的问题,而是大数据时代全球的尴尬:

  ——2016年,3200多万个Twitter用户登录信息被放到“暗网”上叫卖。

  ——2017年3月至7月期间,美国凯悦集团旗下11个国家的41家凯悦酒店支付系统被黑客入侵,大量客户信息泄露。

  ——今年7月,新加坡政府公开承认,黑客入侵了新加坡保健服务集团(SingHealth)的系统,盗取了150万名患者的个人信息,其中甚至包括总理李显龙的个人信息。

  “撞库”挖开了“信息堰塞湖”

  泄露信息数量从万级到千万级,再到亿级,受害者从平民百姓到一国总理,谁都不能免疫于无妄之灾。为什么泄露频率越来越高,数量越来越大,犯罪越来越猖狂呢?

  大数据时代,信息即资产,商业巨头们用户群体广泛,汇集大量用户信息,进行客户特征画像、精准营销。互联网寡头高度集中,他们手中掌握着亿级的用户信息,形成了一个个“信息堰塞湖”,也成为不法分子的首选。

  另外,当下以“撞库”为主要手段的盗号方式,使信息泄露像原子链式反应,瞬间呈指数型增长。

  在早些年,盗取他人账号主要靠植入木马,密码字典则靠软件生成,能够盗取的个人信息数量相当有限,针对木马的防范也相对比较简单。但是,近几年频繁出现网站数据库泄漏事件,使“撞库攻击”成为主流。

  何谓“撞库”?黑客入侵A网站后拿到的用户名、密码等数据,再去B网站尝试登录,这是因为很多人在不同网站、信箱会使用相同用户名、密码。而且黑客还会把盗取的数据进行“拖库”,把数据存到自己的所谓“社工库”里,在暗网上出售、交流,这样黑客们掌握的公民个人信息越来越多,“撞库”也就越来越方便。

  事实上,每天都有数以万计被盗QQ号流入黑灰产业链,这些QQ号关联着海量应用账号;2011年,专业IT网站CSDN600万用户数据泄漏,成为网站数据库泄漏的第一声“芝麻开门”;2015年,网易邮箱数亿账号泄漏……这些都给黑客提供了充分的“子弹”去“撞库”。

  因为“撞库”用的是真实的用户名和密码,厂商应对难度被迫提升:真假唐僧都会念紧箍咒,怎么来识别?厂商往往通过手机验证、验证码(字母扭曲、汉字识别、移动滑块),识别是网络攻击,还是用户“自然人”在使用,其实是一个简单的图灵试验。

  结果道高一尺,魔高一丈,网络黑灰产业链又繁衍出一个亚行当——“码工”专门人工通过验证码来“撞库”。今年6月,全国首例“撞库打码案”在杭州宣判,此案中犯罪分子盗取大量用户名和密码之后,又雇佣了上百名“码工”对图片验证码进行打码,从而盗入他人的淘宝账号。

  “撞库”的黑灰产业庞大到什么程度呢?有报告称,2016年机器人流量占全网流量的51.8%,而恶意机器人流量占据了全网流量的28.9%!甚至全球有近百万人充当“码工”,以人肉“撞库”为生。而且从全球攻击流量去向来看,截至2017年3月,中国占了67.62%,美国占据了27.12%,可以说,中国是“撞库攻击”的重灾区。

  一次海量的“撞库”成功,可能引爆另一次天量的撞库;大规模的个人信息泄露,预示着下一次的规模更大。信息泄露,像生物繁殖的逻辑斯蒂曲线一样,一路飙升。反复迭代衍生的“撞库”,像是打开了潘多拉魔盒,对责任的溯源却越来越模糊。

  信息安全常识应成为“生存技巧”

  空泛地喊一两声网络安全意义不大,针对天量的网络灰产,需有足够强力手段和精准的保护。

  首先,应该认识到“撞库”问题的严重性,公民要关注自己的信息安全。就像进入汽车时代要关注交通安全一样,大数据时代里,信息安全常识应成为必要的“生存技巧”,网民首先要学会“自救”。

  占到全网流量的28.9%的恶意机器人,很多干的就是“撞库”勾当。但是,破解“撞库”说简单也很简单,只需要用户在不同网站、APP、电子邮箱,特别是电子银行之间使用不同的密码。那种一套密码走天下的小白思维,会成为撞库的“神助攻”。

  在近年各家网站、应用屡屡发生千万级信息泄露的情况下,你的个人信息已被出卖,其实是一个大概率事件,所以说网民要学会止损,在网络应用上打“密码隔水舱”。

  其次,保护个人信息安全,不但是企业的社会责任,更是法律义务。网络安全,不但关乎财产权,还直接关乎公民的生命安全,“徐玉玉案”就直接缘于当地的高招信息被泄露。《网络安全法》规定,“网络运营者在发生或者可能发生个人信息泄露、毁损、丢失的情况时,应当立即采取补救措施”;《消费者权益保护法》也规定:经营者要“确保信息安全,防止消费者个人信息泄露、丢失”。今后强制性的信息保护规范,必须成为企业的硬性标配,全面构建信息安全社会。

  第三,对于网络盗取公民信息、“撞库”的社会危害性,法律应有充分认识。当个人信息数据达到亿级时,它就不是商业安全问题,而是社会安全问题。但是,目前《刑法》规定的“非法获取计算机信息系统数据罪”等罪名都量刑较轻,甚至有时比醉驾还要轻。

  结果,不少技术宅只为了逞强好奇,就强行攻破数据库,结果打开了潘多拉魔盒,自己还不知道。例如,前述的全国首例“撞库打码案”中,三名被告人最终都只被判处了缓刑。

  大数据时代,赛博空间已然降临,它不是存在于科幻小说当中,而是深深地嵌入了我们的生活。原子链式反应式的“撞库攻击”,短期内会愈演愈烈,治本之道是在全球范围内彻底铲除网络黑灰产业,强化对盗取网络信息犯罪的严惩,强化企业的网络安全责任;但对公民个人来说,还得赶快“自救”改密码!