大膽網(wǎng)站社工庫公然叫賣咱的密碼
專家：多個(gè)地方使用同一個(gè)密碼導(dǎo)致被盜 網(wǎng)友應(yīng)經(jīng)常更改密碼
一個(gè)自稱是國內(nèi)最全、每日更新300兆的社工庫網(wǎng)站，公開出售自己所擁有的互聯(lián)網(wǎng)用戶的賬號(hào)和密碼，這一幕赫然出現(xiàn)在了互聯(lián)網(wǎng)世界之中。這個(gè)網(wǎng)站稱自己擁有“300億彩虹庫”，“所有的密文都可以瞬時(shí)被破解”。在其主頁上，記者看到網(wǎng)站的標(biāo)語是“親這兒找不到，您只能入侵腦細(xì)胞了。”
隨后，記者在實(shí)際測試時(shí)發(fā)現(xiàn)，如今這個(gè)網(wǎng)站已經(jīng)停止了注冊(cè)服務(wù)。
文/記者李鋼、何濤
關(guān)注
聚焦熱點(diǎn) 理性透視
神秘的“社工庫”網(wǎng)站：個(gè)人賬號(hào)密碼可隨時(shí)查詢
買賣用戶賬號(hào)和密碼，一直以來都在地下秘密流通，不過，社工庫網(wǎng)站卻公開在互聯(lián)網(wǎng)上做起了生意。為證明自己是國內(nèi)掌握用戶賬號(hào)密碼最多最全的網(wǎng)站，招攬生意，這個(gè)網(wǎng)站專門提供一種測試自己的賬號(hào)和密碼是否被盜的服務(wù)。
在網(wǎng)站的查詢欄里輸入自己的郵箱地址，然后按“查詢”，就可以測試密碼是否被盜。本報(bào)記者也使用了的郵箱賬號(hào)進(jìn)行查詢，赫然發(fā)現(xiàn)不僅自己的郵箱密碼被盜，連很久之前使用過的論壇賬號(hào)也未能幸免。
有網(wǎng)友表示，自己在輸入“126”郵箱賬號(hào)進(jìn)行查詢之后，然后用網(wǎng)站反饋的檢索碼進(jìn)行檢索，發(fā)現(xiàn)郵箱賬號(hào)已經(jīng)在頁面上顯現(xiàn)出來——說明已經(jīng)被盜了！通過多次測試，證明了這家網(wǎng)站的廣告所言非虛。
有網(wǎng)絡(luò)安全工作人員擔(dān)心，因?yàn)檫@個(gè)網(wǎng)站是開放的，誰都可以進(jìn)行查詢，所以個(gè)人信息，很容易通過這個(gè)網(wǎng)站泄露。
社工庫網(wǎng)站的主要業(yè)務(wù)，就是銷售自己掌握的他人的賬號(hào)和密碼信息，而且公開兜售，只要給錢就賣。記者通過QQ與社工庫的負(fù)責(zé)人取得了聯(lián)系，對(duì)方開價(jià)500元就可以買到100萬條密碼，包月是100元，包年則是1000元，包月和包年都能享受的服務(wù)是單次查詢賬號(hào)和密碼。當(dāng)記者對(duì)賬號(hào)和密碼的真實(shí)性提出質(zhì)疑時(shí)，對(duì)方卻回答，愛信不信，很多人都在買。
有網(wǎng)絡(luò)界人士稱，以往這種交易都是隱蔽進(jìn)行，直接公開叫賣的這還是第一起。
密碼為何被盜：
一個(gè)密碼走遍網(wǎng)絡(luò)
那些人盜取他人賬號(hào)和密碼，究竟意欲何為？有業(yè)內(nèi)人士分析，他們盜取他人微博賬號(hào)后發(fā)言，一是可以逃避自己發(fā)表非法言論的法律責(zé)任，二是利用微博名人的影響力，發(fā)放廣告謀利。
記者從網(wǎng)絡(luò)安全公司了解到，目前所有的微博賬號(hào)都是用郵箱注冊(cè)，而且絕大多數(shù)網(wǎng)民為了記憶方便，不論是在郵箱、微博、論壇還是其他一些賬號(hào)中，都習(xí)慣性地使用了相同的密碼，網(wǎng)絡(luò)安全工程師表示，微博賬號(hào)被他人竊取，并非都是黑客直接去破解微博賬號(hào)，而是通過第三方途徑獲得的。
網(wǎng)絡(luò)工程師萬仁國告訴記者，有很多包括一些論壇在內(nèi)的網(wǎng)站，用戶們基本上都會(huì)習(xí)慣性地用一個(gè)賬號(hào)和密碼去注冊(cè)所有的網(wǎng)站，但是這些論壇和網(wǎng)站的安全性不一樣，有些小網(wǎng)站和小論壇的安全性得不到保障，黑客很容易通過各種漏洞進(jìn)而獲取這個(gè)網(wǎng)站的權(quán)限，再將用戶名和密碼偷回來，偷回來之后，他就可以嘗試用這個(gè)賬號(hào)和密碼去登錄一些比較重要的賬號(hào)，比如像微博、支付寶[微博]和淘寶之類的，然后再從事一些違法犯罪的事情。
網(wǎng)友支招密碼保護(hù)：勤換密碼
有網(wǎng)友支招如何保護(hù)網(wǎng)絡(luò)密碼，列舉了以下方法：
措施一：使用復(fù)雜的密碼。密碼長度應(yīng)該至少大于8位，密碼中最好包含字母數(shù)字和符號(hào)。
措施二：在輸入密碼時(shí)，用鼠標(biāo)選擇相應(yīng)的字母輸入，這樣就可以避免木馬記錄擊鍵。
措施三：將密碼保存在本地是個(gè)不好的習(xí)慣。如果本地沒有一個(gè)很好的加密策略，那將讓黑客破解密碼大開方便之門。
措施四：實(shí)施定期更換密碼，可每月或每季更換一次。永遠(yuǎn)不要將密碼寫在紙上。
措施五：于不同的網(wǎng)絡(luò)系統(tǒng)使用不同的密碼，對(duì)于重要的系統(tǒng)使用更為安全的密碼。絕對(duì)不要所有系統(tǒng)使用同一個(gè)密碼。
措施六：防范釣魚網(wǎng)站的方法是，用戶要提高警惕，不登錄不熟悉的網(wǎng)站，不要打開陌生人的電子郵件。
措施七：使用USB Key。由于用戶私鑰保存在密碼鎖中，理論上使用任何方式都無法讀取。
社工庫如何得手：
可收購小網(wǎng)站套取的網(wǎng)友密碼
對(duì)于社工庫掌握了大量郵箱密碼的情況，泡椒網(wǎng)創(chuàng)始人、網(wǎng)絡(luò)專家洪志剛分析稱，這一點(diǎn)在技術(shù)上完全可以做到。很多網(wǎng)友都有一個(gè)習(xí)慣，就是在很多地方都使用同一個(gè)密碼。有很多網(wǎng)站在注冊(cè)時(shí)，都需要用戶提供郵箱地址和密碼。一些不負(fù)責(zé)任的小網(wǎng)站可能會(huì)把這些密碼信息記錄下來后，賣出去牟利。
網(wǎng)友在網(wǎng)站輸入密碼時(shí)，看到輸入的字母或是數(shù)字變成了小黑點(diǎn)，洪志剛稱，這并不是密碼加密，而是頁面上的一種處理手段，以防旁人偷看。密碼信息輸入后會(huì)傳輸?shù)胶笈_(tái)的服務(wù)器上，如果這時(shí)的密碼信息沒有經(jīng)過加密處理，后臺(tái)的管理人員就可以看到密碼。
人們使用網(wǎng)絡(luò)銀行時(shí)，輸入的密碼信息都是經(jīng)過加密處理，后臺(tái)人員無法查看，所以安全性較好。但一些仿冒銀行網(wǎng)站的釣魚網(wǎng)站，就是想通過這種手法獲取用戶賬號(hào)和密碼信息。
洪志剛稱，還有一些不法人員會(huì)采用一些技術(shù)手段去破解網(wǎng)友的密碼，如果密碼設(shè)置太簡單也很容易被破譯出來。
信息安全形勢嚴(yán)峻
近兩年，國內(nèi)頻頻出現(xiàn)黑客入侵大型網(wǎng)站和數(shù)據(jù)庫，盜取用戶資料的情況。網(wǎng)絡(luò)安全工程師告訴記者，如果被盜用戶沒有更改密碼，而且在郵箱和微博上使用同一個(gè)密碼，那么用戶的微博就等于向他人開放了。
廣州市信息網(wǎng)絡(luò)安全協(xié)會(huì)10月份發(fā)布的通報(bào)稱，甲骨文Java軟件中發(fā)現(xiàn)了最新的漏洞，黑客可借此侵入超過10億臺(tái)裝有Java的電腦。
盡管10月份廣州市沒有出現(xiàn)造成嚴(yán)重后果的網(wǎng)絡(luò)安全事件，但潛在威脅和攻擊力繼續(xù)增長，網(wǎng)絡(luò)安全形勢依舊嚴(yán)峻。
