摘要： 數(shù)據(jù)之痛，已讓所有人感同身受。然而，這個(gè)問題，卻不是做好平安工作就能管理的。除了手藝，還得防住人道的貪婪。

　　

 

　　比來，暗盤上泛起重磅“炸彈”，一個(gè)12G的數(shù)據(jù)包起頭流暢，此中包孕用戶名、暗碼、郵箱、QQ號(hào)、德律風(fēng)號(hào)碼、身份證等多個(gè)維度，數(shù)據(jù)多達(dá)數(shù)萬萬條。

　　而暗盤生意兩邊皆稱，“這些數(shù)據(jù)來自京東。”

　　01、數(shù)據(jù)之迷

　　比來，因?yàn)檫@12G的數(shù)據(jù)包，黑產(chǎn)再次被攪動(dòng)。

　　一些地下渠道，起頭對(duì)數(shù)據(jù)進(jìn)行明碼標(biāo)價(jià)買賣，價(jià)錢從“10萬到70萬”不等。

　　

 

　　

 

　　

 

　　▲ 外泄數(shù)據(jù)部門截圖

　　

 

　　▲ 數(shù)據(jù)分為幾個(gè)維度：姓名、暗碼、郵箱、QQ、身份證、德律風(fēng)等

　　據(jù)業(yè)內(nèi)助士稱，數(shù)據(jù)已被發(fā)賣多次，“至少有上百個(gè)黑產(chǎn)者手里把握了數(shù)據(jù)”。

　　“數(shù)據(jù)外泄的時(shí)候已比力長了，至于為何而今又流暢，原因未明，”業(yè)內(nèi)助士透露，暫且很難確認(rèn)是“內(nèi)鬼”照舊“黑客竊取”。

　　業(yè)內(nèi)助士稱，大部門數(shù)據(jù)外泄后，黑客會(huì)進(jìn)步行刷洗庫，登錄賬戶將有價(jià)值的內(nèi)容清刷洗一遍，好比登錄游戲賬戶，將虛擬幣轉(zhuǎn)走。普通這個(gè)清刷洗過程，需要幾個(gè)月甚至更長時(shí)候。

　　第二次“刷洗庫”，才會(huì)將數(shù)據(jù)出售，“數(shù)據(jù)價(jià)值榨取殆盡了，再給市情上的人來分渣”。

　　值得留意的是，這些數(shù)據(jù)的用戶暗碼都進(jìn)行過MD5加密，要過程專業(yè)破解軟件，才能獲得原暗碼。

　　業(yè)內(nèi)助士稱，普通MD5破解需要必然時(shí)候，但有些暗碼在數(shù)據(jù)庫中已被其他人解密過，能剎時(shí)破解，好比123456;假如是一個(gè)新暗碼，破解時(shí)候就較長。

　　可剎時(shí)破解的賬號(hào)，普通只占3-5%。

　　記者(注：一本財(cái)經(jīng)記者)考試按照部門用戶名和破解的暗碼登岸，的確大部門可登岸京東賬戶。

　　

 

　　▲ 姚鑫的暗碼就可剎時(shí)破解(設(shè)計(jì)一個(gè)復(fù)雜暗碼是何等主要)

　　登岸之后，用戶在京東上的訂單、地址、買賣等信息都一覽無遺。甚至一本財(cái)經(jīng)記者從數(shù)據(jù)庫中搜刮本身名字，發(fā)現(xiàn)信息也早已外泄。

　　“黑客拿到這些數(shù)據(jù)，還可進(jìn)行撞庫操作”，業(yè)內(nèi)助士稱。所謂“撞庫”，是一個(gè)黑產(chǎn)的專業(yè)術(shù)語，即黑客會(huì)過程已泄露的用戶名和暗碼，考試批量登錄其他網(wǎng)站，獲取數(shù)據(jù)。

　　這就是人類設(shè)計(jì)暗碼的缺陷，大部門工錢了記得住，城市用統(tǒng)一個(gè)用戶名和暗碼，導(dǎo)致撞庫成功率極高。

　　危險(xiǎn)值最高最直接的，就是撞進(jìn)一些金融賬戶，直接將資金轉(zhuǎn)走。

　　今日，京東就此事發(fā)作聲明稱(文末附聲明全文)，這些數(shù)據(jù)源于2013年Struts 2的平安縫隙問題，導(dǎo)致大量數(shù)據(jù)泄露。

　　京東稱，在Struts 2的平安問題發(fā)生后，就完成了系統(tǒng)修復(fù)，同時(shí)針對(duì)可能存在信息平安風(fēng)險(xiǎn)的用戶進(jìn)行了平安進(jìn)級(jí)提醒，那時(shí)受此影響的絕大部門用戶都對(duì)本身的賬號(hào)進(jìn)行了平安進(jìn)級(jí)。但的確仍有少少部門用戶并未實(shí)時(shí)進(jìn)級(jí)賬號(hào)平安，依然存在必然風(fēng)險(xiǎn)。

　　02、絕非孤案

　　現(xiàn)實(shí)上，京東已不是第一次被曝?cái)?shù)據(jù)外泄。

　　2015年，京東就被曝出大量用戶隱私信息泄露，多名用戶上圈套走金錢，總共損失數(shù)百萬。直到一年后，京東才發(fā)布查詢拜訪成績，稱是因?yàn)榉浩?ldquo;內(nèi)鬼”。

　　所謂的“內(nèi)鬼”，是3位物流人員，過程物流流程，把握了用戶姓名、德律風(fēng)、地址、何時(shí)下單、所購貨色等信息，總數(shù)據(jù)達(dá)到9313條。

　　而電商平臺(tái)，一向是數(shù)據(jù)泄露的重災(zāi)區(qū)之一。

　　2014年年頭，付出寶被爆20G用戶資料泄露。后經(jīng)查詢拜訪，此次泄露是“內(nèi)部作案”：付出寶前手藝員工李明，哄騙職務(wù)之便，多次在公司后臺(tái)下載用戶資料。這20G資料，包孕用戶小我的實(shí)名、手機(jī)、電子郵箱、家庭住址、消費(fèi)記錄等，相當(dāng)精準(zhǔn)。

　　李明和兩位同伙，將用戶資料按條數(shù)出售，價(jià)錢不等，價(jià)值較高的，一條可賣數(shù)十元;也有人以500元的價(jià)格，采辦了3萬條用戶信息。

　　這個(gè)故事中更有意思的部門是，采辦這些數(shù)據(jù)的買家，都是“友商”，好比其他電商平臺(tái)。

　　除了付出寶，早在2012年，1號(hào)店被曝網(wǎng)上商城員工與去職、外部人員表里勾搭，90萬用戶資料泄露，價(jià)錢只需500元。

　　可見“內(nèi)鬼”是電商信息泄露的主要原因。除此之外，電商平臺(tái)因?yàn)樽陨硎炙嚳p隙，被黑客戳中軟肋，盜走數(shù)據(jù)，也是常見現(xiàn)象。

　　2014年，是電商平臺(tái)平安風(fēng)險(xiǎn)集中爆發(fā)的一年。

　　3月，當(dāng)當(dāng)網(wǎng)113位用戶賬戶余額被盜用。

　　黑客先是竊取用戶登錄信息，然后點(diǎn)竄用戶綁定手機(jī)、郵箱地址等信息，最后采辦電子產(chǎn)物等珍貴商品。

　　當(dāng)當(dāng)網(wǎng)在輿論重壓下，頒布賜與用戶抵償。

　　同月，烏云縫隙平臺(tái)曝光攜程系統(tǒng)存手藝縫隙，可導(dǎo)致用戶小我姓名、身份證號(hào)碼、銀行卡類別、銀行卡卡號(hào)和銀行卡用于付出的6位Bin碼等主要信息泄露。

　　而攜程隨后發(fā)布聲明默示，確認(rèn)共93人賬戶存平安風(fēng)險(xiǎn)，已通知相關(guān)用戶改換信用卡。

　　年末，中國鐵路購票網(wǎng)站12306的6個(gè)子網(wǎng)站存在高�？p隙，致數(shù)十萬條用戶數(shù)據(jù)外泄，包孕用戶賬號(hào)、明文暗碼、身份證、郵箱等敏感信息在內(nèi)的數(shù)據(jù)被販?zhǔn)邸?2306頒布賞格、號(hào)召網(wǎng)友查找縫隙。

　　非論是內(nèi)鬼作祟照舊黑客進(jìn)犯，無非都是好處驅(qū)動(dòng)。

　　03、數(shù)據(jù)之痛

　　地下的重大數(shù)據(jù)工業(yè)鏈，已然形成。

　　網(wǎng)民被泄露的信息首要分為兩類：小我信息包孕姓名、身份證號(hào)、手機(jī)號(hào)碼、家庭住址、工作單元、郵箱賬號(hào)和暗碼、網(wǎng)購信息、購車、購房狀況、醫(yī)療信息等各類信息;

　　網(wǎng)上舉動(dòng)信息包孕通話記錄、網(wǎng)購記錄、網(wǎng)站瀏覽陳跡、IP地址、軟件利用陳跡及地輿位置等，涵蓋規(guī)模非常普遍。

　　而地下的數(shù)據(jù)庫，已或許從200多個(gè)維度領(lǐng)會(huì)一小我——甚至能比你本身更領(lǐng)會(huì)你本身。這些泄露的數(shù)據(jù)，最終以各類格局，成為犯科分子獲利的東西。

　　本年，人民日?qǐng)?bào)發(fā)文稱，有78.2%的網(wǎng)民小我身份信息被泄露過，63.4%的網(wǎng)民小我網(wǎng)上舉動(dòng)信息被泄露過;而有82.3%的網(wǎng)民切身感觸感染到了小我信息泄露給日常糊口造成的影響。

　　黑產(chǎn)之手，已延伸到通俗庶民糊口，到了觸手可及的境界。

　　僅在2015年一年，中國網(wǎng)民因信息泄露問題，導(dǎo)致的損失是805億人民幣——這只是對(duì)外公開的可查數(shù)據(jù)。

　　現(xiàn)實(shí)上，因?yàn)榇髷?shù)據(jù)的崛起，各家對(duì)數(shù)據(jù)的渴求度極高，加快了黑產(chǎn)數(shù)據(jù)的流暢。

　　一本財(cái)經(jīng)(ID：yibencaijing)在《征信之亂》中曾經(jīng)查詢拜訪黑產(chǎn)鏈條(點(diǎn)擊閱讀)，從事數(shù)據(jù)生意中心商，多達(dá)幾萬人，數(shù)據(jù)的每一次流轉(zhuǎn)，價(jià)值上萬到百萬不等——地下暗盤，生怕早已形成萬億級(jí)別市場。

　　用戶的隱私和信息，就如斯公開成為銷售品，在暗盤上毫無所懼地流動(dòng)。數(shù)據(jù)之痛，已讓所有人感同身受。

　　然而，這個(gè)問題，卻不是做好平安工作就能管理的。除了手藝，還得防住人道的貪婪。

　　以下為京東就數(shù)據(jù)泄露事務(wù)所作出的聲明：

　　關(guān)于有媒體報(bào)道京東數(shù)據(jù)平安問題的聲明

　　昨日，有媒體報(bào)道《京東數(shù)據(jù)疑似外泄》，經(jīng)京東信息平安部門依據(jù)報(bào)道內(nèi)容初步判斷，該數(shù)據(jù)源于2013年Struts 2的平安縫隙問題，那時(shí)國內(nèi)幾乎所有互聯(lián)網(wǎng)公司及大量銀行、當(dāng)局機(jī)構(gòu)都受到了影響，導(dǎo)致大量數(shù)據(jù)泄露。

　　京東在Struts 2的平安問題發(fā)生后，就敏捷完成了系統(tǒng)修復(fù)，同時(shí)針對(duì)可能存在信息平安風(fēng)險(xiǎn)的用戶進(jìn)行了平安進(jìn)級(jí)提醒，那時(shí)受此影響的絕大部門用戶都對(duì)本身的賬號(hào)進(jìn)行了平安進(jìn)級(jí)。但的確仍有少少部門用戶并未實(shí)時(shí)進(jìn)級(jí)賬號(hào)平安，依然存在必然風(fēng)險(xiǎn)。

　　京東在此也強(qiáng)烈建議用戶高度正視信息平安和隱私護(hù)衛(wèi)，在涉及到財(cái)富的電商、付出類系統(tǒng)中利用怪異的用戶名和登錄暗碼，開啟手機(jī)驗(yàn)證和付出暗碼，并將登錄暗碼和付出暗碼設(shè)為高強(qiáng)度的復(fù)雜暗碼，提高賬戶平安品級(jí)。

　　同時(shí)，針對(duì)泛起在地下黑色工業(yè)鏈中采用黑客進(jìn)犯用戶賬戶、竊取用戶賬號(hào)資產(chǎn)和銷售用戶信息等犯科行為，京東已與警方創(chuàng)設(shè)了長效的合作機(jī)制，并將結(jié)合警方進(jìn)行果斷的攻擊。

　　Ps: Struts是Apache基金會(huì)的一個(gè)開源項(xiàng)目，普遍應(yīng)用于大型互聯(lián)網(wǎng)企業(yè)、當(dāng)局、金融機(jī)構(gòu)等網(wǎng)站扶植，并作為網(wǎng)站開發(fā)的底層模板利用。2013年，據(jù)烏云平臺(tái)縫隙呈報(bào)，Struts 2平安縫隙或許讓黑客可直接過程瀏覽器對(duì)辦事器進(jìn)行隨便操作并獲取敏感內(nèi)容，國內(nèi)幾乎所有的互聯(lián)網(wǎng)企業(yè)，以及大量國表里銀行和當(dāng)局機(jī)構(gòu)都泛起了分歧水平的信息泄露。

　　【作者“一本財(cái)經(jīng)”微信公家號(hào)：一本財(cái)經(jīng)】