Struts 2漏洞事件

2013年Struts 2漏洞事件，是互聯(lián)網(wǎng)領(lǐng)域最大的網(wǎng)絡(luò)安全事故之一。Struts是Apache基金會(huì)的一個(gè)開(kāi)源項(xiàng)目，廣泛應(yīng)用于大型互聯(lián)網(wǎng)企業(yè)、政府、金融機(jī)構(gòu)等網(wǎng)站建設(shè)，并作為網(wǎng)站開(kāi)發(fā)的底層模板使用。

但在2013年，Struts官方做了一個(gè)錯(cuò)誤的決定：在自己的官網(wǎng)上公布其發(fā)現(xiàn)的高危漏洞，并且在公告中直接把漏洞代碼貼了出來(lái)，這使得大批原本沒(méi)有那么高技術(shù)能力的外行，也可以借助傻瓜化的工具對(duì)專(zhuān)業(yè)網(wǎng)站進(jìn)行數(shù)據(jù)盜取，這極大地放大了漏洞造成的不良后果。

撞庫(kù) 拖庫(kù) 洗庫(kù)

“撞庫(kù)”“拖庫(kù)”“洗庫(kù)”都是黑客術(shù)語(yǔ)。“撞庫(kù)”是指黑客將得到的一個(gè)網(wǎng)站的賬戶(hù)密碼在其他網(wǎng)站上進(jìn)行嘗試登錄。“拖庫(kù)”是指黑客入侵有價(jià)值的網(wǎng)絡(luò)站點(diǎn)，把注冊(cè)用戶(hù)的資料數(shù)據(jù)庫(kù)全部盜走的行為。“洗庫(kù)”是指對(duì)數(shù)據(jù)庫(kù)中的資源進(jìn)行層層利用，把里面的資源進(jìn)行全方面的剝奪利用。

最近有幾條新聞可能會(huì)讓很多人感到焦慮，因?yàn)樗鼈兌寂c數(shù)據(jù)泄露和個(gè)人信息安全有關(guān)。先是京東被爆出有12G的用戶(hù)數(shù)據(jù)在黑市被叫賣(mài)；接著，有記者親身實(shí)踐，僅僅花了700元就購(gòu)買(mǎi)到了同事的個(gè)人行蹤等11項(xiàng)記錄；很快，又有消息稱(chēng)國(guó)家電網(wǎng)官方APP已出現(xiàn)數(shù)據(jù)泄露，涉及用戶(hù)規(guī)模超過(guò)千萬(wàn)級(jí)……

看來(lái)，就在我們調(diào)侃希拉里是因?yàn)闆](méi)有做好數(shù)據(jù)安全工作而丟掉了美國(guó)總統(tǒng)的時(shí)候，數(shù)據(jù)泄露也正在成為我們每一個(gè)人頭上的陰云。大數(shù)據(jù)很美，但數(shù)據(jù)安全怎么保障？我們?cè)谙硎芑ヂ?lián)網(wǎng)帶來(lái)的種種便利的同時(shí)，個(gè)人信息在裸奔嗎？

雖是虛驚，但“裸奔”風(fēng)險(xiǎn)不小

12月10日，有自媒體爆料稱(chēng)，有一個(gè)12G的數(shù)據(jù)包正在黑市進(jìn)行叫賣(mài)，該數(shù)據(jù)包來(lái)自京東，其中包括用戶(hù)名、密碼、郵箱、QQ號(hào)、電話(huà)號(hào)碼、身份證等多個(gè)維度，數(shù)據(jù)多達(dá)數(shù)千萬(wàn)條……由于這個(gè)數(shù)據(jù)包被打上了“京東”的標(biāo)簽，叫賣(mài)價(jià)格高達(dá)數(shù)十萬(wàn)元。

消息一出，引發(fā)了極大的關(guān)注，畢竟電商數(shù)據(jù)與金錢(qián)聯(lián)系緊密。“根據(jù)之前報(bào)道截圖只能判斷出是2013年之前注冊(cè)的用戶(hù)，該數(shù)據(jù)源于2013年Struts 2的安全漏洞問(wèn)題，當(dāng)時(shí)國(guó)內(nèi)幾乎所有互聯(lián)網(wǎng)公司及大量銀行、政府機(jī)構(gòu)都受到了影響，導(dǎo)致大量數(shù)據(jù)泄露。至于這個(gè)流傳的數(shù)據(jù)包是否全部是京東的數(shù)據(jù)，以及是否只是黑色產(chǎn)業(yè)鏈打著京東旗號(hào)做交易的噱頭，我們還在調(diào)查，需要取得完整的數(shù)據(jù)包之后才能做結(jié)論。”京東集團(tuán)相關(guān)負(fù)責(zé)人告訴《中國(guó)經(jīng)濟(jì)周刊》記者。

該負(fù)責(zé)人表示，從2013年至今，都沒(méi)有接到任何用戶(hù)因賬戶(hù)信息泄露而遭受損失的報(bào)告。“因?yàn)槲覀兤鋵?shí)在Struts 2的安全問(wèn)題發(fā)生后，就迅速完成了系統(tǒng)修復(fù)，同時(shí)針對(duì)可能存在信息安全風(fēng)險(xiǎn)的用戶(hù)進(jìn)行了安全升級(jí)提示，當(dāng)時(shí)受此影響的絕大部分用戶(hù)都對(duì)自己的賬號(hào)進(jìn)行了安全升級(jí)。”他說(shuō)。

不過(guò)，這個(gè)事件雖然影響面很大，但目前來(lái)看造成的傷害并不大。同樣因?yàn)镾truts的公開(kāi)性，各大網(wǎng)站和機(jī)構(gòu)及時(shí)進(jìn)行了補(bǔ)救。3年來(lái)，其實(shí)并未真正因此產(chǎn)生過(guò)惡性攻擊事件。

12月13日，有知情人士爆料稱(chēng)，國(guó)家電網(wǎng)推出的掌上電力、電e寶APP正在出現(xiàn)數(shù)據(jù)泄露，涉及用戶(hù)規(guī)模已經(jīng)超過(guò)千萬(wàn)級(jí)，而且部分?jǐn)?shù)據(jù)可能已經(jīng)流入黑色產(chǎn)業(yè)鏈，危害持續(xù)擴(kuò)大。對(duì)此，國(guó)家電網(wǎng)當(dāng)日在官方微博回應(yīng)稱(chēng)：經(jīng)再次查證，在推廣掌上電力、電e寶APP過(guò)程中不存在泄露大量客戶(hù)信息的情況，并已經(jīng)下架關(guān)閉了涉嫌違規(guī)開(kāi)展相關(guān)代辦業(yè)務(wù)的商家。

雖然兩起“泄密”事件似乎都是虛驚一場(chǎng)，但是記者親測(cè)700元就買(mǎi)到同事行蹤等11項(xiàng)記錄的新聞，還是再次證實(shí)了一件事：販賣(mài)數(shù)據(jù)的黑色產(chǎn)業(yè)鏈確實(shí)存在，你會(huì)不會(huì)“被賣(mài)”？沒(méi)人敢打包票說(shuō)不會(huì)。沒(méi)有被保障安全的數(shù)據(jù)，無(wú)異于互聯(lián)網(wǎng)時(shí)代的“裸奔”。

一年經(jīng)濟(jì)損失高達(dá)915億元

你是否接到這樣的陌生電話(huà)？他知道你準(zhǔn)確的姓名，也能“精準(zhǔn)”地向你推銷(xiāo)產(chǎn)品和服務(wù)，比如你剛到中介看了房子，電話(huà)的內(nèi)容就是你是否需要貸款？你剛買(mǎi)了汽車(chē)，就會(huì)問(wèn)你是否要買(mǎi)保險(xiǎn)？你剛剛咨詢(xún)了一個(gè)培訓(xùn)課程，就有更多的培訓(xùn)機(jī)構(gòu)給你打電話(huà)……

當(dāng)然，這些僅僅是信息泄露帶來(lái)的一些“騷擾”而已，煩心但不至于有傷害。但是，信息泄露往往也是遭遇詐騙的第一步。個(gè)人信息無(wú)疑是精準(zhǔn)詐騙的有力“武器”，所以詐騙分子往往不惜高價(jià)從黑市購(gòu)買(mǎi)數(shù)據(jù)，以提高詐騙的成功率。

之所以有人費(fèi)力冒險(xiǎn)地竊取信息，當(dāng)然是有人會(huì)花高價(jià)去購(gòu)買(mǎi)。據(jù)記者了解，黑產(chǎn)的上游是有不法分子利用制作病毒木馬、各種釣魚(yú)手段、黑客攻擊方式獲取用戶(hù)信息；中游是交易中間商，他們會(huì)把獲取的數(shù)據(jù)進(jìn)行“撞庫(kù)”“拖庫(kù)”“洗庫(kù)”，提煉篩選整合數(shù)據(jù)使其更有價(jià)值；下游有不法分子則利用這些數(shù)據(jù)從事非法活動(dòng)達(dá)到變現(xiàn)的目的，比如實(shí)施電信詐騙，盜取游戲裝備等虛擬貨幣，盜刷銀行卡、支付寶等進(jìn)行金融犯罪。

根據(jù)今年11月發(fā)布的《網(wǎng)絡(luò)空間安全藍(lán)皮書(shū)：中國(guó)網(wǎng)絡(luò)空間安全發(fā)展報(bào)告（2016）》顯示，從2015年下半年到2016年上半年，網(wǎng)民因個(gè)人信息泄露、照片信息、垃圾信息等造成的經(jīng)濟(jì)損失高達(dá)915億元。

根據(jù)360互聯(lián)網(wǎng)安全中心發(fā)布的報(bào)告顯示，2016年1—9月，360手機(jī)衛(wèi)士共為全國(guó)用戶(hù)識(shí)別和攔截詐騙電話(huà)29.4億次，平均每天識(shí)別和攔截詐騙電話(huà)1089萬(wàn)次。今年1—9月平臺(tái)共接到全國(guó)網(wǎng)民舉報(bào)網(wǎng)絡(luò)詐騙案件14708起，涉案金額高達(dá)1.2億元，人均損失8105元。

保障安全靠“共治”

黑產(chǎn)方和安全保障方永遠(yuǎn)都是魔高一尺、道高一丈的斗爭(zhēng)。12月14日，由公安部刑偵局、騰訊安全主辦的“守護(hù)者反電信網(wǎng)絡(luò)詐騙聯(lián)合大會(huì)”在京舉行。騰訊公司董事會(huì)主席兼首席執(zhí)行官馬化騰在會(huì)上表示，在互聯(lián)網(wǎng)環(huán)境下，騙子們分工明確，已形成跨平臺(tái)、跨行業(yè)、集團(tuán)式的黑色產(chǎn)業(yè)鏈。傳統(tǒng)的打擊手段已經(jīng)不能很好地解決網(wǎng)絡(luò)犯罪，必須聯(lián)合政府、銀行、運(yùn)營(yíng)商、互聯(lián)網(wǎng)企業(yè)和社會(huì)力量，構(gòu)建打擊電信網(wǎng)絡(luò)詐騙共治體系。

“為什么要共治？”馬化騰說(shuō)，“今天我們面對(duì)的黑產(chǎn)已經(jīng)充分的分工細(xì)化，而且是非常成熟的產(chǎn)業(yè)鏈，如果我們不用產(chǎn)業(yè)鏈合作來(lái)對(duì)抗這些黑色產(chǎn)業(yè)鏈，我們是沒(méi)有辦法的。這些黑產(chǎn)的違法犯罪人員掌握先進(jìn)技術(shù)非常快，會(huì)很快用‘互聯(lián)網(wǎng)+’、云計(jì)算、大數(shù)據(jù)的方式來(lái)實(shí)施詐騙。而我們正義的一方如果還是繼續(xù)分散、各自為政的話(huà)，那是遠(yuǎn)遠(yuǎn)抵擋不了這樣的黑產(chǎn)勢(shì)力的。”

在馬化騰看來(lái)，當(dāng)前整個(gè)網(wǎng)絡(luò)已經(jīng)發(fā)展到了一片“深水區(qū)”，已經(jīng)沒(méi)有什么參照物了。中國(guó)應(yīng)該拿出更多的勇氣和創(chuàng)新的精神，為全球網(wǎng)絡(luò)安全治理貢獻(xiàn)一個(gè)具有借鑒意義的中國(guó)樣本。他和騰訊呼吁運(yùn)營(yíng)商、銀行、網(wǎng)絡(luò)服務(wù)商等有大量數(shù)據(jù)的企業(yè)，可以通過(guò)大數(shù)據(jù)的方式，與這些黑產(chǎn)分子對(duì)抗，并建議由國(guó)家牽頭搭建具有公信力的第三方平臺(tái)，大家把各自的數(shù)據(jù)放心地放在里面進(jìn)行處理。

其實(shí)，騰訊在今年年初推出了“守護(hù)者計(jì)劃”，平臺(tái)先后與公安、銀行、運(yùn)營(yíng)商及其他互聯(lián)網(wǎng)企業(yè)建立了合作關(guān)系，摸索出“以數(shù)據(jù)為驅(qū)動(dòng)、通過(guò)全行業(yè)聯(lián)合、職能聯(lián)動(dòng)形成反詐騙閉環(huán)”，嘗試用大數(shù)據(jù)和生態(tài)的力量探索對(duì)抗網(wǎng)絡(luò)黑產(chǎn)的“騰訊模式”。

“騰訊守護(hù)者計(jì)劃安全團(tuán)隊(duì)一年來(lái)，共協(xié)助警方偵破電信網(wǎng)絡(luò)詐騙案件110余起，累計(jì)為民眾挽回?fù)p失超過(guò)5億元。”騰訊守護(hù)者計(jì)劃總負(fù)責(zé)人朱勁松告訴《中國(guó)經(jīng)濟(jì)周刊》記者。

安全小貼士

不要使用公共場(chǎng)所或他人的免費(fèi)網(wǎng)絡(luò)進(jìn)行購(gòu)物和使用網(wǎng)銀

涉及到財(cái)產(chǎn)的電商、支付類(lèi)系統(tǒng)中使用獨(dú)特的、安全等級(jí)高的用戶(hù)名和密碼，避免被“撞庫(kù)”

不要把敏感信息如銀行卡、身份證等信息隨意暴露在網(wǎng)上，尤其是現(xiàn)在的社交網(wǎng)站

注意保護(hù)個(gè)人電腦、手機(jī)等信息終端的信息安全，不要讓病毒入侵、植入木馬等

家中Wi-Fi密碼、路由器管理后臺(tái)密碼，要使用字母加數(shù)字的高強(qiáng)度密碼

短信、郵件、微信中不明來(lái)路的鏈接千萬(wàn)不要點(diǎn)擊，避免遭遇“釣魚(yú)”