Struts 2漏洞事件

2013年Struts 2漏洞事件，是互聯(lián)網(wǎng)領域最大的網(wǎng)絡安全事故之一。Struts是Apache基金會的一個開源項目，廣泛應用于大型互聯(lián)網(wǎng)企業(yè)、政府、金融機構等網(wǎng)站建設，并作為網(wǎng)站開發(fā)的底層模板使用。

但在2013年，Struts官方做了一個錯誤的決定：在自己的官網(wǎng)上公布其發(fā)現(xiàn)的高危漏洞，并且在公告中直接把漏洞代碼貼了出來，這使得大批原本沒有那么高技術能力的外行，也可以借助傻瓜化的工具對專業(yè)網(wǎng)站進行數(shù)據(jù)盜取，這極大地放大了漏洞造成的不良后果。

撞庫 拖庫 洗庫

“撞庫”“拖庫”“洗庫”都是黑客術語?！白矌臁笔侵负诳蛯⒌玫降囊粋€網(wǎng)站的賬戶密碼在其他網(wǎng)站上進行嘗試登錄?！巴蠋臁笔侵负诳腿肭钟袃r值的網(wǎng)絡站點，把注冊用戶的資料數(shù)據(jù)庫全部盜走的行為。“洗庫”是指對數(shù)據(jù)庫中的資源進行層層利用，把里面的資源進行全方面的剝奪利用。

最近有幾條新聞可能會讓很多人感到焦慮，因為它們都與數(shù)據(jù)泄露和個人信息安全有關。先是京東被爆出有12G的用戶數(shù)據(jù)在黑市被叫賣；接著，有記者親身實踐，僅僅花了700元就購買到了同事的個人行蹤等11項記錄；很快，又有消息稱國家電網(wǎng)官方APP已出現(xiàn)數(shù)據(jù)泄露，涉及用戶規(guī)模超過千萬級……

看來，就在我們調侃希拉里是因為沒有做好數(shù)據(jù)安全工作而丟掉了美國總統(tǒng)的時候，數(shù)據(jù)泄露也正在成為我們每一個人頭上的陰云。大數(shù)據(jù)很美，但數(shù)據(jù)安全怎么保障？我們在享受互聯(lián)網(wǎng)帶來的種種便利的同時，個人信息在裸奔嗎？

雖是虛驚，但“裸奔”風險不小

12月10日，有自媒體爆料稱，有一個12G的數(shù)據(jù)包正在黑市進行叫賣，該數(shù)據(jù)包來自京東，其中包括用戶名、密碼、郵箱、QQ號、電話號碼、身份證等多個維度，數(shù)據(jù)多達數(shù)千萬條……由于這個數(shù)據(jù)包被打上了“京東”的標簽，叫賣價格高達數(shù)十萬元。

消息一出，引發(fā)了極大的關注，畢竟電商數(shù)據(jù)與金錢聯(lián)系緊密?！案鶕?jù)之前報道截圖只能判斷出是2013年之前注冊的用戶，該數(shù)據(jù)源于2013年Struts 2的安全漏洞問題，當時國內幾乎所有互聯(lián)網(wǎng)公司及大量銀行、政府機構都受到了影響，導致大量數(shù)據(jù)泄露。至于這個流傳的數(shù)據(jù)包是否全部是京東的數(shù)據(jù)，以及是否只是黑色產業(yè)鏈打著京東旗號做交易的噱頭，我們還在調查，需要取得完整的數(shù)據(jù)包之后才能做結論?！本〇|集團相關負責人告訴《中國經(jīng)濟周刊》記者。

該負責人表示，從2013年至今，都沒有接到任何用戶因賬戶信息泄露而遭受損失的報告?！耙驗槲覀兤鋵嵲赟truts 2的安全問題發(fā)生后，就迅速完成了系統(tǒng)修復，同時針對可能存在信息安全風險的用戶進行了安全升級提示，當時受此影響的絕大部分用戶都對自己的賬號進行了安全升級?！彼f。

不過，這個事件雖然影響面很大，但目前來看造成的傷害并不大。同樣因為Struts的公開性，各大網(wǎng)站和機構及時進行了補救。3年來，其實并未真正因此產生過惡性攻擊事件。

12月13日，有知情人士爆料稱，國家電網(wǎng)推出的掌上電力、電e寶APP正在出現(xiàn)數(shù)據(jù)泄露，涉及用戶規(guī)模已經(jīng)超過千萬級，而且部分數(shù)據(jù)可能已經(jīng)流入黑色產業(yè)鏈，危害持續(xù)擴大。對此，國家電網(wǎng)當日在官方微博回應稱：經(jīng)再次查證，在推廣掌上電力、電e寶APP過程中不存在泄露大量客戶信息的情況，并已經(jīng)下架關閉了涉嫌違規(guī)開展相關代辦業(yè)務的商家。

雖然兩起“泄密”事件似乎都是虛驚一場，但是記者親測700元就買到同事行蹤等11項記錄的新聞，還是再次證實了一件事：販賣數(shù)據(jù)的黑色產業(yè)鏈確實存在，你會不會“被賣”？沒人敢打包票說不會。沒有被保障安全的數(shù)據(jù)，無異于互聯(lián)網(wǎng)時代的“裸奔”。

一年經(jīng)濟損失高達915億元

你是否接到這樣的陌生電話？他知道你準確的姓名，也能“精準”地向你推銷產品和服務，比如你剛到中介看了房子，電話的內容就是你是否需要貸款？你剛買了汽車，就會問你是否要買保險？你剛剛咨詢了一個培訓課程，就有更多的培訓機構給你打電話……

當然，這些僅僅是信息泄露帶來的一些“騷擾”而已，煩心但不至于有傷害。但是，信息泄露往往也是遭遇詐騙的第一步。個人信息無疑是精準詐騙的有力“武器”，所以詐騙分子往往不惜高價從黑市購買數(shù)據(jù)，以提高詐騙的成功率。

之所以有人費力冒險地竊取信息，當然是有人會花高價去購買。據(jù)記者了解，黑產的上游是有不法分子利用制作病毒木馬、各種釣魚手段、黑客攻擊方式獲取用戶信息；中游是交易中間商，他們會把獲取的數(shù)據(jù)進行“撞庫”“拖庫”“洗庫”，提煉篩選整合數(shù)據(jù)使其更有價值；下游有不法分子則利用這些數(shù)據(jù)從事非法活動達到變現(xiàn)的目的，比如實施電信詐騙，盜取游戲裝備等虛擬貨幣，盜刷銀行卡、支付寶等進行金融犯罪。

根據(jù)今年11月發(fā)布的《網(wǎng)絡空間安全藍皮書：中國網(wǎng)絡空間安全發(fā)展報告(2016)》顯示，從2015年下半年到2016年上半年，網(wǎng)民因個人信息泄露、照片信息、垃圾信息等造成的經(jīng)濟損失高達915億元。

根據(jù)360互聯(lián)網(wǎng)安全中心發(fā)布的報告顯示，2016年1—9月，360手機衛(wèi)士共為全國用戶識別和攔截詐騙電話29.4億次，平均每天識別和攔截詐騙電話1089萬次。今年1—9月平臺共接到全國網(wǎng)民舉報網(wǎng)絡詐騙案件14708起，涉案金額高達1.2億元，人均損失8105元。

保障安全靠“共治”

黑產方和安全保障方永遠都是魔高一尺、道高一丈的斗爭。12月14日，由公安部刑偵局、騰訊安全主辦的“守護者反電信網(wǎng)絡詐騙聯(lián)合大會”在京舉行。騰訊公司董事會主席兼首席執(zhí)行官馬化騰在會上表示，在互聯(lián)網(wǎng)環(huán)境下，騙子們分工明確，已形成跨平臺、跨行業(yè)、集團式的黑色產業(yè)鏈。傳統(tǒng)的打擊手段已經(jīng)不能很好地解決網(wǎng)絡犯罪，必須聯(lián)合政府、銀行、運營商、互聯(lián)網(wǎng)企業(yè)和社會力量，構建打擊電信網(wǎng)絡詐騙共治體系。

“為什么要共治？”馬化騰說，“今天我們面對的黑產已經(jīng)充分的分工細化，而且是非常成熟的產業(yè)鏈，如果我們不用產業(yè)鏈合作來對抗這些黑色產業(yè)鏈，我們是沒有辦法的。這些黑產的違法犯罪人員掌握先進技術非常快，會很快用‘互聯(lián)網(wǎng)+’、云計算、大數(shù)據(jù)的方式來實施詐騙。而我們正義的一方如果還是繼續(xù)分散、各自為政的話，那是遠遠抵擋不了這樣的黑產勢力的。”

在馬化騰看來，當前整個網(wǎng)絡已經(jīng)發(fā)展到了一片“深水區(qū)”，已經(jīng)沒有什么參照物了。中國應該拿出更多的勇氣和創(chuàng)新的精神，為全球網(wǎng)絡安全治理貢獻一個具有借鑒意義的中國樣本。他和騰訊呼吁運營商、銀行、網(wǎng)絡服務商等有大量數(shù)據(jù)的企業(yè)，可以通過大數(shù)據(jù)的方式，與這些黑產分子對抗，并建議由國家牽頭搭建具有公信力的第三方平臺，大家把各自的數(shù)據(jù)放心地放在里面進行處理。

其實，騰訊在今年年初推出了“守護者計劃”，平臺先后與公安、銀行、運營商及其他互聯(lián)網(wǎng)企業(yè)建立了合作關系，摸索出“以數(shù)據(jù)為驅動、通過全行業(yè)聯(lián)合、職能聯(lián)動形成反詐騙閉環(huán)”，嘗試用大數(shù)據(jù)和生態(tài)的力量探索對抗網(wǎng)絡黑產的“騰訊模式”。

“騰訊守護者計劃安全團隊一年來，共協(xié)助警方偵破電信網(wǎng)絡詐騙案件110余起，累計為民眾挽回損失超過5億元?！彬v訊守護者計劃總負責人朱勁松告訴《中國經(jīng)濟周刊》記者。

安全小貼士

不要使用公共場所或他人的免費網(wǎng)絡進行購物和使用網(wǎng)銀

涉及到財產的電商、支付類系統(tǒng)中使用獨特的、安全等級高的用戶名和密碼，避免被“撞庫”

不要把敏感信息如銀行卡、身份證等信息隨意暴露在網(wǎng)上，尤其是現(xiàn)在的社交網(wǎng)站

注意保護個人電腦、手機等信息終端的信息安全，不要讓病毒入侵、植入木馬等

家中Wi-Fi密碼、路由器管理后臺密碼，要使用字母加數(shù)字的高強度密碼

短信、郵件、微信中不明來路的鏈接千萬不要點擊，避免遭遇“釣魚”