 |
制圖 關(guān)印 H252 |
幾天前外媒報(bào)道，F(xiàn)acebook掌門人扎克伯格的社交媒體密碼、數(shù)據(jù)都被盜、被泄露了，黑客甚至用扎克伯格自己的Twitter賬號(hào)通知了扎克伯格這件事，引起網(wǎng)民一片嘩然。
“互聯(lián)網(wǎng)名人”扎克伯格尚且如此，廣大公眾的網(wǎng)絡(luò)安全又如何呢？記者近日探訪獲悉，“網(wǎng)上金融”特別是保險(xiǎn)業(yè)的網(wǎng)站漏洞百出。眾多保險(xiǎn)公司、協(xié)會(huì)的網(wǎng)站由于出現(xiàn)大量漏洞，數(shù)億條保險(xiǎn)信息或已泄露。記者采訪“補(bǔ)天漏洞響應(yīng)平臺(tái)”專家，并查看“白帽子”黑客提交的漏洞詳情發(fā)現(xiàn)，漏洞可能泄露的信息包含很多個(gè)人隱私，比如身份證、家庭住址、電話號(hào)碼、車輛信息等。而在和數(shù)據(jù)販子對(duì)話后記者發(fā)現(xiàn)，疑似因網(wǎng)絡(luò)漏洞而流出的個(gè)人信息已在被公開標(biāo)價(jià)倒賣。
發(fā)現(xiàn)
上億條保單信息或泄露
今年4到5月，“補(bǔ)天漏洞響應(yīng)平臺(tái)”首頁被保險(xiǎn)漏洞霸屏：比如都邦保險(xiǎn)爆出了16個(gè)高危漏洞，數(shù)千萬保單信息里，上千萬用戶信息、上千萬車輛事故詳情存在泄露隱患；天安人壽高危漏洞下有著上千萬交易記錄和數(shù)百萬用戶信息；農(nóng)銀人壽保險(xiǎn)則有數(shù)百萬保單記錄和支付信息……而涵蓋了大部分保險(xiǎn)公司信息的北京保險(xiǎn)協(xié)會(huì)，更是不甘落后，8億保單信息里大約有上億用戶信息存在被泄露隱患。
在另外一家著名的漏洞響應(yīng)平臺(tái)“烏云平臺(tái)”，近期的漏洞保險(xiǎn)也不在少數(shù)，眾安保險(xiǎn)某站源碼泄露，可直接訪問數(shù)據(jù)庫，大量敏感信息有泄露風(fēng)險(xiǎn)；長(zhǎng)城人壽保險(xiǎn)某系統(tǒng)存在命令執(zhí)行漏洞，可能泄露數(shù)百萬客戶信息；華海保險(xiǎn)某后臺(tái)弱口令涉及大量用戶信息。
存在泄露隱患涉及的信息之巨、公司之多，令人咋舌。雖然當(dāng)下看似“風(fēng)平浪靜”，但萬一數(shù)據(jù)流入黑市，會(huì)發(fā)生什么呢？輕則垃圾短信源源不斷、騷擾電話接二連三、垃圾郵件鋪天蓋地；重則遭遇不法公司詐騙、冒名辦卡透支欠款、案件事故從天而降、賬戶錢款不翼而飛。
探訪
個(gè)人信息被數(shù)據(jù)販子倒賣
通過探訪記者獲悉，在QQ群中，存在各種數(shù)據(jù)交易的個(gè)人和群，從淘寶信息、金融信息、醫(yī)療信息、社保信息到各種保險(xiǎn)信息，可謂一應(yīng)俱全。數(shù)據(jù)販子以每條0.3至1元錢的價(jià)格倒賣，5000條或一萬條起步售賣，根據(jù)數(shù)據(jù)新舊，購買數(shù)量，價(jià)格也會(huì)有相應(yīng)優(yōu)惠。
保險(xiǎn)信息在“黑產(chǎn)領(lǐng)域”屬于比較優(yōu)質(zhì)的信息，上周，補(bǔ)天平臺(tái)技術(shù)人員在記者面前演示，QQ上查找“數(shù)據(jù)”等關(guān)鍵詞，大批“出售數(shù)據(jù)”的QQ號(hào)就彈了出來，金融信息、淘寶信息、醫(yī)療信息、保險(xiǎn)信息一應(yīng)俱全，記者和技術(shù)人員一起，隨機(jī)挑選了幾個(gè)并與之取得了聯(lián)系，詢問其是否有保險(xiǎn)信息可以出售，結(jié)果對(duì)方都保證“量大優(yōu)惠”。
對(duì)于買家的要求，一個(gè)QQ名下文字顯示“常年出售各種數(shù)據(jù)”的黑產(chǎn)數(shù)據(jù)販子表示，可全部滿足，包括姓名、手機(jī)號(hào)、車輛信息、保單詳情、事故地點(diǎn)、銀行卡號(hào)、家庭住址、甚至連孩子的學(xué)校班級(jí)也可以搞到，為了讓買家付費(fèi)前相信，他隨機(jī)發(fā)來一些截圖，除了隱藏了手機(jī)號(hào)，其他信息果然都有。按照記者和技術(shù)人員的咨詢，黑產(chǎn)數(shù)據(jù)販子先給出了天津、上海等一些車主的信息列表，還特意分門別類標(biāo)出了豪車的車主信息，并介紹說這些豪車車主的信息比一般車主的信息貴一些。
在記者一再追問下，他對(duì)數(shù)據(jù)來源諱莫如深，只是保證信息絕對(duì)真實(shí)，表示自己“已經(jīng)搞這個(gè)七八年了，不但出售保險(xiǎn)信息，還有金融信息”等。他一賣就是上萬條，一萬條是起步數(shù)，2800元一萬條，生意一直很好。付費(fèi)可以通過微信紅包、支付寶轉(zhuǎn)賬、銀行卡轉(zhuǎn)賬、ATM機(jī)轉(zhuǎn)賬等各種途徑，先收費(fèi)，隨后會(huì)把信息發(fā)到買家郵箱。
最終，在與黑產(chǎn)數(shù)據(jù)販子的聊天中，黑產(chǎn)“不情愿”的承認(rèn)就是黑客從服務(wù)器拖庫來的。技術(shù)人員和記者追問：“現(xiàn)在互聯(lián)網(wǎng)這東西好是好，但忒不嚴(yán)實(shí)……你們這信息也是鉆進(jìn)保險(xiǎn)公司里弄出來的吧？”對(duì)方回答：“嗯?！边€有一位數(shù)據(jù)販子回答詢問時(shí)透露，都邦保險(xiǎn)、泰康保險(xiǎn)、天安財(cái)險(xiǎn)的保單詳情他手上都有，100元2000條，300元?jiǎng)t可以買到一萬條。
數(shù)據(jù)
網(wǎng)站漏洞修復(fù)率最高僅32%
補(bǔ)天平臺(tái)的工程師透露，保險(xiǎn)公司即使發(fā)現(xiàn)數(shù)據(jù)被盜，也不敢聲張。補(bǔ)天平臺(tái)安全專家葛珅介紹，從今年3月1日到5月24日，補(bǔ)天平臺(tái)上72家免費(fèi)注冊(cè)加入的全國范圍內(nèi)保險(xiǎn)公司，已發(fā)現(xiàn)172個(gè)有效漏洞。“我們會(huì)隨時(shí)通知這些公司，希望他們能盡快修復(fù)漏洞。”
360首席反詐騙專家裴智勇博士接受記者采訪時(shí)坦言，網(wǎng)絡(luò)漏洞是不可避免的，安全編程的方法只能大大降低漏洞發(fā)生概率，但漏洞一直都會(huì)在，及時(shí)修復(fù)是唯一出路?！暗牵瑩?jù)我們統(tǒng)計(jì)，95%以上的網(wǎng)站一年以上都不進(jìn)行修復(fù)，剩下的那些只有不到5%會(huì)‘盡快’在7天內(nèi)修復(fù)漏洞。金融保險(xiǎn)類網(wǎng)站算各種網(wǎng)站里修復(fù)率最高的了，但修復(fù)率也就32%?！?/p>
還有業(yè)內(nèi)專家告訴記者，這與企業(yè)對(duì)網(wǎng)絡(luò)安全運(yùn)營(yíng)的淡漠有關(guān)，目前用戶信息就算因?yàn)槁┒幢恍孤?，之后萬一被不法分子用這些信息詐騙，并非是自己去直接損害用戶，用戶也無法取證狀告網(wǎng)站或進(jìn)行理賠。
專家提醒
小心“保險(xiǎn)精準(zhǔn)詐騙”
“購買這些信息，主要被用于精準(zhǔn)詐騙、冒名辦卡透支等。”裴智勇博士告訴記者，近年來，通過電信實(shí)施的保險(xiǎn)詐騙犯罪活動(dòng)呈多發(fā)、高發(fā)態(tài)勢(shì)。不法分子作案手段日益翻新，涉及面廣。犯罪分子可冒用保險(xiǎn)公司名義，利用投保人發(fā)生事故急于獲得賠償?shù)男睦恚瑢?shí)施電信詐騙犯罪。
為此，裴智勇博士提醒大家，一定要謹(jǐn)防以下常見詐騙手段。第一步：詐騙分子通過非法渠道獲取事主個(gè)人信息，包括姓名、身份證號(hào)、手機(jī)號(hào)、住址等。第二步：詐騙分子在境外通過網(wǎng)絡(luò)電話和改號(hào)軟件將主叫號(hào)碼改為保險(xiǎn)公司電話，并冒充保險(xiǎn)公司客服人員致電事主，謊稱事主在其公司購買了保險(xiǎn)，并在某地申請(qǐng)了理賠，隨后又說出事主具體身份信息。第三步：當(dāng)事主聲稱并未購買過保險(xiǎn)時(shí)，詐騙分子又稱可能是事主身份信息被泄露了，隨后幫其轉(zhuǎn)接到某市“公安局”接聽。第四步：接聽電話的“公安局人員”以事主“身份信息被盜用”、“涉嫌犯罪”為借口，要求事主進(jìn)行銀行資產(chǎn)核查。第五步：事主在對(duì)方誘騙下前往銀行柜員機(jī)操作轉(zhuǎn)賬，將個(gè)人賬戶內(nèi)的資金轉(zhuǎn)入“國家安全賬戶”。
中國國家信息技術(shù)安全研究中心專家曹岳接受記者采訪時(shí)表示：“金融系統(tǒng)的數(shù)據(jù)大規(guī)模集中，但確實(shí)有些網(wǎng)站對(duì)漏洞可能產(chǎn)生的風(fēng)險(xiǎn)無所謂，但就目前的法律而言，如何制定法規(guī)，比如修復(fù)周期的規(guī)定等等，本身就是個(gè)難題?！?/p>
曹岳提醒，個(gè)人在網(wǎng)上能少填個(gè)人信息就少填，涉及密碼時(shí)分級(jí)別，不要什么都統(tǒng)一成一個(gè)密碼，不要上亂七八糟的網(wǎng)站。
本報(bào)記者 孟環(huán) J147
名詞解釋鏈接
補(bǔ)天漏洞響應(yīng)平臺(tái)
全球最大的漏洞響應(yīng)平臺(tái)，是360推出的專門征集開源建站程序漏洞，用以幫助軟件公司和開發(fā)者及時(shí)推出補(bǔ)丁，加強(qiáng)網(wǎng)站對(duì)黑客攻擊“拖庫”的防范能力的漏洞響應(yīng)平臺(tái)。補(bǔ)天平臺(tái)用現(xiàn)金懸賞的方式號(hào)召白帽子們幫助廠商發(fā)現(xiàn)并修復(fù)網(wǎng)站漏洞，推動(dòng)國內(nèi)互聯(lián)網(wǎng)安全建設(shè)。
“白帽子”黑客
黑客并非都是黑的，那些用自己的黑客技術(shù)來做好事的黑客們叫“白帽子黑客”，大多數(shù)的普通黑客都是掛靠在安全公司，通過檢測(cè)計(jì)算機(jī)系統(tǒng)安全性來謀生。他們測(cè)試網(wǎng)絡(luò)和系統(tǒng)的性能來判定它們能夠承受入侵的強(qiáng)弱程度。通常，白帽子黑客攻擊他們自己的系統(tǒng)，或被聘請(qǐng)來攻擊客戶的系統(tǒng)以便進(jìn)行安全審查。學(xué)術(shù)研究人員和專職安全顧問就屬于白帽子黑客。 孟環(huán) J147
聯(lián)系客服
