作者/吕倩
昔日，“QQ回应大批账号被盗”登上微博热搜，针对局部QQ用户账号被盗一事，腾讯QQ官方回应称，次要缘由系用户扫描过不法分子伪造的游戏登录二维码并受权登录，该登录行为被黑产团伙劫持并记载，随后被不法分子应用发送不良图片广告。受此事情影响的用户账号陆续恢复正常运用。
QQ提示广阔用户，不要扫描来源不明的二维码。在十分用环境下登录时要进步平安警觉，防备账号被盗风险。
据第一财经记者独家理解，此次大批QQ用户遭遇账号被盗，次要是因在多家网吧登录Tecent WeGame时，被提示需用QQ账号扫描二维码登录，初次扫描不成功后，再次扫描被黑产团队截取用户信息，在不获取用户账号与密码的状况下，进入QQ账号内，传达渣滓信息，为这些黑产产品引流。
一位微博ID为阿木木的用户分享了在网吧登录装有盗号木马插件的Tecent WeGame时，扫码霎时即登录，“登录游戏需求等十秒验证，这个盗号狗说登录就登录了？希望更多人晓得网吧这种盗号插件。”一位ID为blackorbird的用户表示，“我看法被盗QQ号的都是去网吧扫过WeGame登录码，经过Wegoogle voiceGame接口是可以发信息给好友的。”
多年未用账号忽然“诈尸”
一位QQ用户对记者表示，本人曾经很多年没用QQ了，近日忽然被冤家提示，称其账号在QQ上向冤家发送色情网妻子的秘密评价址链接，该用户紧急上线重置密码找回账号。另一位QQ用户提供应记者的QQ聊天截图显示，其冤家在2021年被屡次盗号，阅历盗号、找回、再被盗的进程。每次被盗号后都会给该用户发来抽奖游戏与博彩方面的截图。
往年5月，QQ账号个人被盗的状况也曾发作，网友反应盗号者会向其好友和QQ群发送低俗广告，虽然广告图片各不相反，但指向的网址都是同一个。操作手法与最终目的与此次QQ账号被盗事情相同。
顶象业务平安专家对第一财经记者表示，QQ方面表示后续会发布调查报告，从目前材料来看，大规模用户被盗号次要缘由在于QQ有开放生态，其账号可以作为其他平台/网站的受权账号，或许直接注册为其他平台/网站账号。
在此背景下，诈骗分子制造了一个虚伪的QQ受权登录二维码——即窜改的该游戏二维码，放在某游戏的登录注册界面。用户扫码后，将用户登录后token（身份登录凭证；计算机身份认证中是暂时令牌）保管上去。诈骗分子将保管的用户token停止账号登录，然后黑产分子就可以发布各类诈骗信息、钓鱼信息等。
奇安信集团要挟情报中心担任人汪列军对第一财经记者表示，依据腾讯官方的公告描绘，黑产团伙很能够应用了平安缺陷，在不平安的机器上植入了事前结构好的虚伪登录二维码诱骗用户扫描，从而搜集账号密码。这种攻击方式与若干年前盛行的盗号木马如出一辙，只需歹意工具可以大范围传达，便可以批量偷盗少量用户的账号。
黑产经济链条根治难度极大
针对黑灰产方面的攻击，QQ方面实践不断停止管理与防护。2022年一季度QQ平台管理公告显示，一季度QQ平安团队打击欺诈、赌博、色情等违规账号500余万，同时重点展开网络水军处置、“荐股”欺诈专项管理，继续清算“饭圈”乱象。
但此次仍发作大规模用户账号被盗事情，在顶象业务平安专家看来，缘由能够是由于某游戏网站或平台的账号密码被黑灰产窃取，也就是俗话说的“脱库”，外面包括QQ用户受权登录的token，黑灰产拿着获取到的账户信息，直接登录用户账号，发布各类欺诈信息。
继续投入网络平安与黑灰产打击，为什么还是发作用户账号被盗事情？在平安从业者田际云看来，绝对来说，QQ平安做得还不错，毕竟是拥有几十亿用户的平台，假如平安性没有良好保证，不只将形成严重成google voice封禁绩，用户也不会买账。
但在数字时代，田际云称，团体账号的登录与运用场景冗杂，或许QQ外部和已知接口方面做得很好，但数以百万、千万级的使用调用和复杂变化的场景，这其中存在少量平安隐患，毕竟对其无法像外部或常用接口防护要求那么正轨。
举个例子，田际云称，阿里平安做得也很好，但照旧不时有人接到诈骗电话，比方某消费者在电商平台买完东西，第二天就收到商家诈骗电话，对方称商品被扣海关或需求退货等，但这些信息并不是从阿里外部泄露的，能够是三方平台——比方快递、CRM同等步了用户订单与账户信息的平台或接口泄显露去的。“阿里、腾讯这类超大型数字平台的网络平安措施比中小公司做得好很多，但平安是绝对的，没有相对的。”田际云对记者表示。
在攻击者层面，汪列军表示，有关团体账号的偷盗、贩卖、滥用曾经构成了完成的黑产经济链条，彻底根治的难度极大。同时，随着黑灰产团伙的迅速开展，黑客工具变得越来越廉价和易用，即使小白用户也可经过购置完好的黑客工具和效劳，发起高质量的网络攻击，让人防不胜防。
在团体用户层面，汪列军提示：由于团体平安认识的缺失，招致黑灰产团伙拥有少量无隙可乘——例如密码设置过于复杂、关于潜在的要挟（如虚伪二维码、钓鱼网站、钓鱼邮件等）认知缺乏，招致团体账户极易被窃取。同时为便于记忆，用户常常在多个平台设置同一套密码，一旦一个平台账户被窃，很容易招致多个账户出事。尤其是触及电商、游戏等平台账户，由于旗下往往拥有少量虚拟财富或许绑定领取账户，容易成为黑灰产窃取的次要对象。
在平台运营者层面，虽然随着《网络平安法》、《数据平安法》等法律法规的出台，网络平安维护力度大大加强，但由于历史缘由，很多平台仍然存在着平安盲区或缺陷，容易遭到黑灰产团伙的应用，招致用户账户失窃。另外值得留意的是，某些平台还能够存在“内鬼”，即外部员工应用特殊权限，窃取公司用户账户，用于牟取利益。
汪列军表示，企业屡次发作用户账号被盗事情，首当其冲的当属弱口令缺陷，如某些办公零碎（如OA）和数据库的管理员账户或许员工域账号运用弱口令遭到黑客应用，招致数据库被拖库的事情已屡见不鲜；其次是缺乏相应的平安防护手腕。网络平安建立是一集体系化工程，存在木桶效应，任何一块短板都能够招致整个零碎的沦陷；第三是员工平安认识良莠不齐。
因而站在企业层面，汪列军建议，该当用体系化、工程化的思想，完成网络平安与信息化的深度交融与片面掩盖，部署相应的平安设备，同时制定账户平安规则，活期修正登录密码。同时企业该当活期展开网络平安教育与实战攻防演习，提升员工全体平安认识基线。一旦发现弱口令、破绽等平安隐患应及时处理，根绝其成为历史遗留。
作为团体用户该当擦亮眼睛，不要随便在去路不明的渠道输出账号、密码等敏感团体信息，如有必要该当在团体电脑或许手机上装置平安软件。
发表评论