Struts 2漏洞事件

2013年Struts 2漏洞事件，是互聯(lián)網(wǎng)領(lǐng)域最大的網(wǎng)絡(luò)安全事故之一。Struts是Apache基金會的一個開源項目，廣泛應(yīng)用于大型互聯(lián)網(wǎng)企業(yè)、政府、金融機構(gòu)等網(wǎng)站建設(shè)，并作為網(wǎng)站開發(fā)的底層模板使用。

但在2013年，Struts官方做了一個錯誤的決定：在自己的官網(wǎng)上公布其發(fā)現(xiàn)的高危漏洞，并且在公告中直接把漏洞代碼貼了出來，這使得大批原本沒有那么高技術(shù)能力的外行，也可以借助傻瓜化的工具對專業(yè)網(wǎng)站進(jìn)行數(shù)據(jù)盜取，這極大地放大了漏洞造成的不良后果。

撞庫 拖庫 洗庫

“撞庫”“拖庫”“洗庫”都是黑客術(shù)語。“撞庫”是指黑客將得到的一個網(wǎng)站的賬戶密碼在其他網(wǎng)站上進(jìn)行嘗試登錄。“拖庫”是指黑客入侵有價值的網(wǎng)絡(luò)站點，把注冊用戶的資料數(shù)據(jù)庫全部盜走的行為。“洗庫”是指對數(shù)據(jù)庫中的資源進(jìn)行層層利用，把里面的資源進(jìn)行全方面的剝奪利用。

最近有幾條新聞可能會讓很多人感到焦慮，因為它們都與數(shù)據(jù)泄露和個人信息安全有關(guān)。先是京東被爆出有12G的用戶數(shù)據(jù)在黑市被叫賣；接著，有記者親身實踐，僅僅花了700元就購買到了同事的個人行蹤等11項記錄；很快，又有消息稱國家電網(wǎng)官方APP已出現(xiàn)數(shù)據(jù)泄露，涉及用戶規(guī)模超過千萬級……

看來，就在我們調(diào)侃希拉里是因為沒有做好數(shù)據(jù)安全工作而丟掉了美國總統(tǒng)的時候，數(shù)據(jù)泄露也正在成為我們每一個人頭上的陰云。大數(shù)據(jù)很美，但數(shù)據(jù)安全怎么保障？我們在享受互聯(lián)網(wǎng)帶來的種種便利的同時，個人信息在裸奔嗎？

雖是虛驚，但“裸奔”風(fēng)險不小

12月10日，有自媒體爆料稱，有一個12G的數(shù)據(jù)包正在黑市進(jìn)行叫賣，該數(shù)據(jù)包來自京東，其中包括用戶名、密碼、郵箱、QQ號、電話號碼、身份證等多個維度，數(shù)據(jù)多達(dá)數(shù)千萬條……由于這個數(shù)據(jù)包被打上了“京東”的標(biāo)簽，叫賣價格高達(dá)數(shù)十萬元。

消息一出，引發(fā)了極大的關(guān)注，畢竟電商數(shù)據(jù)與金錢聯(lián)系緊密。“根據(jù)之前報道截圖只能判斷出是2013年之前注冊的用戶，該數(shù)據(jù)源于2013年Struts 2的安全漏洞問題，當(dāng)時國內(nèi)幾乎所有互聯(lián)網(wǎng)公司及大量銀行、政府機構(gòu)都受到了影響，導(dǎo)致大量數(shù)據(jù)泄露。至于這個流傳的數(shù)據(jù)包是否全部是京東的數(shù)據(jù)，以及是否只是黑色產(chǎn)業(yè)鏈打著京東旗號做交易的噱頭，我們還在調(diào)查，需要取得完整的數(shù)據(jù)包之后才能做結(jié)論。”京東集團相關(guān)負(fù)責(zé)人告訴《中國經(jīng)濟周刊》記者。

該負(fù)責(zé)人表示，從2013年至今，都沒有接到任何用戶因賬戶信息泄露而遭受損失的報告。“因為我們其實在Struts 2的安全問題發(fā)生后，就迅速完成了系統(tǒng)修復(fù)，同時針對可能存在信息安全風(fēng)險的用戶進(jìn)行了安全升級提示，當(dāng)時受此影響的絕大部分用戶都對自己的賬號進(jìn)行了安全升級。”他說。

不過，這個事件雖然影響面很大，但目前來看造成的傷害并不大。同樣因為Struts的公開性，各大網(wǎng)站和機構(gòu)及時進(jìn)行了補救。3年來，其實并未真正因此產(chǎn)生過惡性攻擊事件。

12月13日，有知情人士爆料稱，國家電網(wǎng)推出的掌上電力、電e寶APP正在出現(xiàn)數(shù)據(jù)泄露，涉及用戶規(guī)模已經(jīng)超過千萬級，而且部分?jǐn)?shù)據(jù)可能已經(jīng)流入黑色產(chǎn)業(yè)鏈，危害持續(xù)擴大。對此，國家電網(wǎng)當(dāng)日在官方微博回應(yīng)稱：經(jīng)再次查證，在推廣掌上電力、電e寶APP過程中不存在泄露大量客戶信息的情況，并已經(jīng)下架關(guān)閉了涉嫌違規(guī)開展相關(guān)代辦業(yè)務(wù)的商家。

雖然兩起“泄密”事件似乎都是虛驚一場，但是記者親測700元就買到同事行蹤等11項記錄的新聞，還是再次證實了一件事：販賣數(shù)據(jù)的黑色產(chǎn)業(yè)鏈確實存在，你會不會“被賣”？沒人敢打包票說不會。沒有被保障安全的數(shù)據(jù)，無異于互聯(lián)網(wǎng)時代的“裸奔”。

一年經(jīng)濟損失高達(dá)915億元

你是否接到這樣的陌生電話？他知道你準(zhǔn)確的姓名，也能“精準(zhǔn)”地向你推銷產(chǎn)品和服務(wù)，比如你剛到中介看了房子，電話的內(nèi)容就是你是否需要貸款？你剛買了汽車，就會問你是否要買保險？你剛剛咨詢了一個培訓(xùn)課程，就有更多的培訓(xùn)機構(gòu)給你打電話……

當(dāng)然，這些僅僅是信息泄露帶來的一些“騷擾”而已，煩心但不至于有傷害。但是，信息泄露往往也是遭遇詐騙的第一步。個人信息無疑是精準(zhǔn)詐騙的有力“武器”，所以詐騙分子往往不惜高價從黑市購買數(shù)據(jù)，以提高詐騙的成功率。

之所以有人費力冒險地竊取信息，當(dāng)然是有人會花高價去購買。據(jù)記者了解，黑產(chǎn)的上游是有不法分子利用制作病毒木馬、各種釣魚手段、黑客攻擊方式獲取用戶信息；中游是交易中間商，他們會把獲取的數(shù)據(jù)進(jìn)行“撞庫”“拖庫”“洗庫”，提煉篩選整合數(shù)據(jù)使其更有價值；下游有不法分子則利用這些數(shù)據(jù)從事非法活動達(dá)到變現(xiàn)的目的，比如實施電信詐騙，盜取游戲裝備等虛擬貨幣，盜刷銀行卡、支付寶等進(jìn)行金融犯罪。

根據(jù)今年11月發(fā)布的《網(wǎng)絡(luò)空間安全藍(lán)皮書：中國網(wǎng)絡(luò)空間安全發(fā)展報告（2016）》顯示，從2015年下半年到2016年上半年，網(wǎng)民因個人信息泄露、照片信息、垃圾信息等造成的經(jīng)濟損失高達(dá)915億元。

根據(jù)360互聯(lián)網(wǎng)安全中心發(fā)布的報告顯示，2016年1—9月，360手機衛(wèi)士共為全國用戶識別和攔截詐騙電話29.4億次，平均每天識別和攔截詐騙電話1089萬次。今年1—9月平臺共接到全國網(wǎng)民舉報網(wǎng)絡(luò)詐騙案件14708起，涉案金額高達(dá)1.2億元，人均損失8105元。

保障安全靠“共治”

黑產(chǎn)方和安全保障方永遠(yuǎn)都是魔高一尺、道高一丈的斗爭。12月14日，由公安部刑偵局、騰訊安全主辦的“守護(hù)者反電信網(wǎng)絡(luò)詐騙聯(lián)合大會”在京舉行。騰訊公司董事會主席兼首席執(zhí)行官馬化騰在會上表示，在互聯(lián)網(wǎng)環(huán)境下，騙子們分工明確，已形成跨平臺、跨行業(yè)、集團式的黑色產(chǎn)業(yè)鏈。傳統(tǒng)的打擊手段已經(jīng)不能很好地解決網(wǎng)絡(luò)犯罪，必須聯(lián)合政府、銀行、運營商、互聯(lián)網(wǎng)企業(yè)和社會力量，構(gòu)建打擊電信網(wǎng)絡(luò)詐騙共治體系。

“為什么要共治？”馬化騰說，“今天我們面對的黑產(chǎn)已經(jīng)充分的分工細(xì)化，而且是非常成熟的產(chǎn)業(yè)鏈，如果我們不用產(chǎn)業(yè)鏈合作來對抗這些黑色產(chǎn)業(yè)鏈，我們是沒有辦法的。這些黑產(chǎn)的違法犯罪人員掌握先進(jìn)技術(shù)非?？欤瑫芸煊?lsquo;互聯(lián)網(wǎng)+’、云計算、大數(shù)據(jù)的方式來實施詐騙。而我們正義的一方如果還是繼續(xù)分散、各自為政的話，那是遠(yuǎn)遠(yuǎn)抵擋不了這樣的黑產(chǎn)勢力的。”

在馬化騰看來，當(dāng)前整個網(wǎng)絡(luò)已經(jīng)發(fā)展到了一片“深水區(qū)”，已經(jīng)沒有什么參照物了。中國應(yīng)該拿出更多的勇氣和創(chuàng)新的精神，為全球網(wǎng)絡(luò)安全治理貢獻(xiàn)一個具有借鑒意義的中國樣本。他和騰訊呼吁運營商、銀行、網(wǎng)絡(luò)服務(wù)商等有大量數(shù)據(jù)的企業(yè)，可以通過大數(shù)據(jù)的方式，與這些黑產(chǎn)分子對抗，并建議由國家牽頭搭建具有公信力的第三方平臺，大家把各自的數(shù)據(jù)放心地放在里面進(jìn)行處理。

其實，騰訊在今年年初推出了“守護(hù)者計劃”，平臺先后與公安、銀行、運營商及其他互聯(lián)網(wǎng)企業(yè)建立了合作關(guān)系，摸索出“以數(shù)據(jù)為驅(qū)動、通過全行業(yè)聯(lián)合、職能聯(lián)動形成反詐騙閉環(huán)”，嘗試用大數(shù)據(jù)和生態(tài)的力量探索對抗網(wǎng)絡(luò)黑產(chǎn)的“騰訊模式”。

“騰訊守護(hù)者計劃安全團隊一年來，共協(xié)助警方偵破電信網(wǎng)絡(luò)詐騙案件110余起，累計為民眾挽回?fù)p失超過5億元。”騰訊守護(hù)者計劃總負(fù)責(zé)人朱勁松告訴《中國經(jīng)濟周刊》記者。

安全小貼士

不要使用公共場所或他人的免費網(wǎng)絡(luò)進(jìn)行購物和使用網(wǎng)銀

涉及到財產(chǎn)的電商、支付類系統(tǒng)中使用獨特的、安全等級高的用戶名和密碼，避免被“撞庫”

不要把敏感信息如銀行卡、身份證等信息隨意暴露在網(wǎng)上，尤其是現(xiàn)在的社交網(wǎng)站

注意保護(hù)個人電腦、手機等信息終端的信息安全，不要讓病毒入侵、植入木馬等

家中Wi-Fi密碼、路由器管理后臺密碼，要使用字母加數(shù)字的高強度密碼

短信、郵件、微信中不明來路的鏈接千萬不要點擊，避免遭遇“釣魚”