前段時(shí)間，北京警方接到轄區(qū)內(nèi)一互聯(lián)網(wǎng)公司報(bào)案，稱該公司的求職招聘類App的短信驗(yàn)證碼接口遭受攻擊達(dá)1300多萬次，攻擊還成功匹配注冊賬號30多萬個(gè)。為此，北京市公安局網(wǎng)安總隊(duì)會(huì)同朝陽分局立即成立專案組開展偵查。隨著偵查步步推進(jìn)，一個(gè)集編寫惡意程序、實(shí)施撞庫攻擊、泄露數(shù)據(jù)資料為一體的“撞庫黑客”團(tuán)伙逐漸浮出水面。目前，犯罪嫌疑人喻某、焦某因破壞計(jì)算機(jī)信息系統(tǒng)被依法刑事拘留，案件正在進(jìn)一步辦理中。

什么是撞庫攻擊

　　所謂撞庫攻擊，是指黑客通過收集互聯(lián)網(wǎng)已泄露的用戶賬號及密碼信息，生成對應(yīng)的字典表，嘗試批量登錄其他網(wǎng)站，以盜取賬號的一種黑客攻擊行為。簡單來說，就是黑客拿著用戶在A網(wǎng)站的賬號密碼，到B、C、D、E等平臺(tái)嘗試登錄的過程。

　　那么，撞庫攻擊中用于嘗試登錄的賬號和密碼從何而來？撞庫攻擊需要的這些源數(shù)據(jù)主要通過3種方式獲取：一是黑市購買，二是同行交換，三是自行入侵網(wǎng)站竊取。隨著網(wǎng)站數(shù)據(jù)庫泄露事件頻繁發(fā)生，加上地下黑色產(chǎn)業(yè)日漸成熟，撞庫攻擊逐漸成為主流的盜號方式。

　　黑客盜取到大量賬號后，通常會(huì)對這些賬號進(jìn)行分類，最后以不同方式變現(xiàn)。例如，游戲類的賬號用于轉(zhuǎn)移虛擬貨幣、出售游戲賬號、盜取裝備；金融類的賬號用來進(jìn)行金融犯罪和詐騙；其他類型的賬號直接出售給專門的廣告投放公司，用于發(fā)送廣告、垃圾短信、電商營銷等。

　　對個(gè)人用戶來說，撞庫攻擊會(huì)導(dǎo)致個(gè)人密碼泄露、賬號被盜，進(jìn)而造成財(cái)產(chǎn)或名譽(yù)損失；對企業(yè)來說，不僅會(huì)造成用戶信息等商業(yè)秘密的泄露，還會(huì)對企業(yè)的聲譽(yù)和形象造成嚴(yán)重?fù)p害。

防范撞庫攻擊這樣做

　　防范撞庫攻擊，是企業(yè)與用戶必須面對的一場持久戰(zhàn)。

　　從企業(yè)防護(hù)角度看，應(yīng)強(qiáng)制提高用戶密碼的強(qiáng)度，并要求用戶定期更換密碼；在賬號相關(guān)接口加強(qiáng)人機(jī)防控策略，識(shí)別并攔截攻擊者的“機(jī)器流量”；重要業(yè)務(wù)流程采用二次驗(yàn)證，如轉(zhuǎn)賬前通過人臉識(shí)別、指紋聲紋、驗(yàn)證碼、身份證末位數(shù)字驗(yàn)證等機(jī)制來確認(rèn)當(dāng)前操作來自賬號擁有者；和專業(yè)安全廠商合作，借助安全工具防范攻擊。

　　從個(gè)人用戶自我保護(hù)角度看，設(shè)置密碼時(shí)，應(yīng)避免過于簡單、易猜，最好使用大小寫英文字母加數(shù)字混合的組合密碼，發(fā)現(xiàn)賬號存在異常要及時(shí)聯(lián)系平臺(tái)客服；養(yǎng)成定期更改密碼的習(xí)慣，并根據(jù)賬號重要性、是否涉及財(cái)產(chǎn)等情況進(jìn)行分級管理，杜絕一碼多用；在公共設(shè)備上登錄個(gè)人賬號時(shí)，留意不要勾選“記住密碼”“默認(rèn)登錄”等選項(xiàng)，盡可能選擇匿名登錄。

國家安全教育專欄