一套密碼打天下？小心“撞庫”盜號

　　前段時間，北京警方接到轄區內(nei) 一互聯網公司報案，稱該公司的求職招聘類App的短信驗證碼接口遭受攻擊達1300多萬(wan) 次，攻擊還成功匹配注冊(ce) 賬號30多萬(wan) 個(ge) 。為(wei) 此，北京市公安局網安總隊會(hui) 同朝陽分局立即成立專(zhuan) 案組開展偵(zhen) 查。隨著偵(zhen) 查步步推進，一個(ge) 集編寫(xie) 惡意程序、實施撞庫攻擊、泄露數據資料為(wei) 一體(ti) 的“撞庫黑客”團夥(huo) 逐漸浮出水麵。目前，犯罪嫌疑人喻某、焦某因破壞計算機信息係統被依法刑事拘留，案件正在進一步辦理中。

什麽(me) 是撞庫攻擊

　　所謂撞庫攻擊，是指黑客通過收集互聯網已泄露的用戶賬號及密碼信息，生成對應的字典表，嚐試批量登錄其他網站，以盜取賬號的一種黑客攻擊行為(wei) 。簡單來說，就是黑客拿著用戶在A網站的賬號密碼，到B、C、D、E等平台嚐試登錄的過程。

　　那麽(me) ，撞庫攻擊中用於(yu) 嚐試登錄的賬號和密碼從(cong) 何而來？撞庫攻擊需要的這些源數據主要通過3種方式獲取：一是黑市購買(mai) ，二是同行交換，三是自行入侵網站竊取。隨著網站數據庫泄露事件頻繁發生，加上地下黑色產(chan) 業(ye) 日漸成熟，撞庫攻擊逐漸成為(wei) 主流的盜號方式。

　　黑客盜取到大量賬號後，通常會(hui) 對這些賬號進行分類，最後以不同方式變現。例如，遊戲類的賬號用於(yu) 轉移虛擬貨幣、出售遊戲賬號、盜取裝備；金融類的賬號用來進行金融犯罪和詐騙；其他類型的賬號直接出售給專(zhuan) 門的廣告投放公司，用於(yu) 發送廣告、垃圾短信、電商營銷等。

　　對個(ge) 人用戶來說，撞庫攻擊會(hui) 導致個(ge) 人密碼泄露、賬號被盜，進而造成財產(chan) 或名譽損失；對企業(ye) 來說，不僅(jin) 會(hui) 造成用戶信息等商業(ye) 秘密的泄露，還會(hui) 對企業(ye) 的聲譽和形象造成嚴(yan) 重損害。

防範撞庫攻擊這樣做

　　防範撞庫攻擊，是企業(ye) 與(yu) 用戶必須麵對的一場持久戰。

　　從(cong) 企業(ye) 防護角度看，應強製提高用戶密碼的強度，並要求用戶定期更換密碼；在賬號相關(guan) 接口加強人機防控策略，識別並攔截攻擊者的“機器流量”；重要業(ye) 務流程采用二次驗證，如轉賬前通過人臉識別、指紋聲紋、驗證碼、身份證末位數字驗證等機製來確認當前操作來自賬號擁有者；和專(zhuan) 業(ye) 安全廠商合作，借助安全工具防範攻擊。

　　從(cong) 個(ge) 人用戶自我保護角度看，設置密碼時，應避免過於(yu) 簡單、易猜，最好使用大小寫(xie) 英文字母加數字混合的組合密碼，發現賬號存在異常要及時聯係平台客服；養(yang) 成定期更改密碼的習(xi) 慣，並根據賬號重要性、是否涉及財產(chan) 等情況進行分級管理，杜絕一碼多用；在公共設備上登錄個(ge) 人賬號時，留意不要勾選“記住密碼”“默認登錄”等選項，盡可能選擇匿名登錄。

國家安全教育專(zhuan) 欄