前段時間，北京警方接到轄區(qū)內(nèi)一互聯(lián)網(wǎng)公司報案，稱該公司的求職招聘類App的短信驗證碼接口遭受攻擊達(dá)1300多萬次，攻擊還成功匹配注冊賬號30多萬個。為此，北京市公安局網(wǎng)安總隊會同朝陽分局立即成立專案組開展偵查。隨著偵查步步推進(jìn)，一個集編寫惡意程序、實施撞庫攻擊、泄露數(shù)據(jù)資料為一體的“撞庫黑客”團(tuán)伙逐漸浮出水面。目前，犯罪嫌疑人喻某、焦某因破壞計算機(jī)信息系統(tǒng)被依法刑事拘留，案件正在進(jìn)一步辦理中。
什么是撞庫攻擊
所謂撞庫攻擊，是指黑客通過收集互聯(lián)網(wǎng)已泄露的用戶賬號及密碼信息，生成對應(yīng)的字典表，嘗試批量登錄其他網(wǎng)站，以盜取賬號的一種黑客攻擊行為。簡單來說，就是黑客拿著用戶在A網(wǎng)站的賬號密碼，到B、C、D、E等平臺嘗試登錄的過程。
那么，撞庫攻擊中用于嘗試登錄的賬號和密碼從何而來？撞庫攻擊需要的這些源數(shù)據(jù)主要通過3種方式獲?。阂皇呛谑匈徺I，二是同行交換，三是自行入侵網(wǎng)站竊取。隨著網(wǎng)站數(shù)據(jù)庫泄露事件頻繁發(fā)生，加上地下黑色產(chǎn)業(yè)日漸成熟，撞庫攻擊逐漸成為主流的盜號方式。
黑客盜取到大量賬號后，通常會對這些賬號進(jìn)行分類，最后以不同方式變現(xiàn)。例如，游戲類的賬號用于轉(zhuǎn)移虛擬貨幣、出售游戲賬號、盜取裝備；金融類的賬號用來進(jìn)行金融犯罪和詐騙；其他類型的賬號直接出售給專門的廣告投放公司，用于發(fā)送廣告、垃圾短信、電商營銷等。
對個人用戶來說，撞庫攻擊會導(dǎo)致個人密碼泄露、賬號被盜，進(jìn)而造成財產(chǎn)或名譽(yù)損失；對企業(yè)來說，不僅會造成用戶信息等商業(yè)秘密的泄露，還會對企業(yè)的聲譽(yù)和形象造成嚴(yán)重?fù)p害。
防范撞庫攻擊這樣做
防范撞庫攻擊，是企業(yè)與用戶必須面對的一場持久戰(zhàn)。
從企業(yè)防護(hù)角度看，應(yīng)強(qiáng)制提高用戶密碼的強(qiáng)度，并要求用戶定期更換密碼；在賬號相關(guān)接口加強(qiáng)人機(jī)防控策略，識別并攔截攻擊者的“機(jī)器流量”；重要業(yè)務(wù)流程采用二次驗證，如轉(zhuǎn)賬前通過人臉識別、指紋聲紋、驗證碼、身份證末位數(shù)字驗證等機(jī)制來確認(rèn)當(dāng)前操作來自賬號擁有者；和專業(yè)安全廠商合作，借助安全工具防范攻擊。
從個人用戶自我保護(hù)角度看，設(shè)置密碼時，應(yīng)避免過于簡單、易猜，最好使用大小寫英文字母加數(shù)字混合的組合密碼，發(fā)現(xiàn)賬號存在異常要及時聯(lián)系平臺客服；養(yǎng)成定期更改密碼的習(xí)慣，并根據(jù)賬號重要性、是否涉及財產(chǎn)等情況進(jìn)行分級管理，杜絕一碼多用；在公共設(shè)備上登錄個人賬號時，留意不要勾選“記住密碼”“默認(rèn)登錄”等選項，盡可能選擇匿名登錄。
