300余万条用户数据泄露，警方提醒！

“撞库”（Credential Stuffing Attack）按字面意思解读，就是“碰撞数据库”的意思。

简单说就是一种黑客攻击方式：黑客拿到大家在A平台注册的账号密码后，形成“密码库”，然后去B平台、C平台“试”着登录。

当你在不同平台使用相同的用户名和密码时，就相当于给黑客配了一把“万能钥匙”，只要登录成功，黑客就能随心所欲地获取你的个人信息，甚至进行数据的盗卖，这对个人和企业来说，都是巨大的安全隐患。

前段时间，北京警方接到辖区内一互联网公司报案，称该公司的求职招聘类App的短信验证码接口遭受攻击达1300余万次。

这次攻击还成功匹配注册账号30余万个，造成经济损失不说，还危及群众信息安全。

北京警方迅速研判，确定这是一起黑客利用网站漏洞非法获取账号信息并用于违法活动的案件。

针对此案件，北京市公安局网安总队会同朝阳分局立即成立专案组开展侦查，最终确定了喻某有重大作案嫌疑，迅速在四川省自贡市将其抓获。

据喻某交待，其于2022年10月18日注册该招聘网站账号，数次尝试验证接口。

他发现该网站的签名算法相对单一，于是利用此弱点编写指令，制作黑客软件，对该网站进行撞库攻击。

同时喻某还长期使用类似的方式对其它各大网站进行渗透并伺机查找网站漏洞，并以此为诱饵向他人兜售自己编写的恶意程序和黑客工具，从中牟取利益。

通过对喻某的审查，一个集编写恶意程序、实施撞库攻击、泄露数据资料为一体的“撞库黑客”团伙逐渐浮出水面。

在办案民警的不懈努力下，专案组成功在四川成都将另一名嫌疑人焦某抓获，现场起获各类公司、人员数据330余万条。

据交待，焦某以3000元的价格从喻某手中购来其编写的恶意程序，长期在境外网站盗卖由撞库非法获取的大量公民个人信息及公司账号数据，并使用虚拟币进行交易。

目前，犯罪嫌疑人喻某、焦某因破坏计算机信息系统被依法刑事拘留，案件正在进一步办理中。

警方提醒

1 设置密码时，避免过于简单、易猜。

2 在公共设备上登录个人账号时，不要勾选“记住密码”、“默认登录”等选项，尽可能选择匿名登录。

3 使用需填写重要账号密码的第三方App或不知名应用时，要持谨慎态度，尽量减少透露个人的详实信息。

本公众号发布的文章均转载自互联网或经作者投稿授权的原创，文末已注明出处，其内容和图片版权归原网站或作者本人所有，并不代表安世加的观点，若有无意侵权或转载不当之处请联系我们处理！

文章来源：中国警察网，转自澎湃新闻

重磅发布 |《零信任建设调研报告》 点击图片即可查阅详细信息