大麦网再遭信息泄露，致用户被骗147.42万元

上月，中国最大票务平台大麦网，再次遭到黑客撞库攻击，导致大麦网用户个人信息泄露。黑客利用窃取到的用户信息，伪装成大麦网客服成功骗取了147.42万元。据了解，全国各地共有39名用户受骗，单人受骗金额最高达10万元。

受骗者表示，有人自称是“大麦网工作人员”，因为误操作给用户升级了VIP权限，如若不取消则会从银行卡中自动扣款，当“工作人员”准确地爆出其所购演出票等信息时，也已经打消了他的疑虑，最终按照对方的提示进入操作，完成了“受骗”。

事件发生后，大麦网很快对事件发生原因做了回应。并在后续声明中表示，为了尽快缓解此次事件对用户造成的经济压力，大麦网董事会决定对所有造成实际经济损失的用户实行“先行承担用户损失”的措施，由大麦网向用户垫付被骗资金。

大麦网声明详情如下：

“乌云漏洞平台”曾多次提醒“大麦网”有“撞库”问题，而大麦网的不作为也是导致诈骗事件发生的重要原因。

什么是撞库？

“撞库”是一种在互联网中常见的黑客攻击方式。发生在上个月的扎克伯格社交账号被黑事件与“京东假客服”事件的起因都是撞库攻击。所谓的撞库是指黑客通过收集网上已经泄露的用户和密码信息，集合成为“社工库”，针对目标网站用户登录页面不停的尝试登录，只要有一次匹配成功，就成功窃取到用户信息。对于习惯于在不同网站使用相同用户名和密码的用户来说，其个人资料很容易被黑客“撞库”获得。而黑客“撞库”所获得的信息，通常与“拖库”与“洗库”有关。

撞库攻击流程图

什么是拖库？

“拖库”是指黑客入侵有价值的网络站点，把注册用户的资料数据库全部盗走的行为，因为谐音，也经常被称作“脱裤”，在取得大量的用户数据之后，黑客会通过一系列的技术手段和黑色产业链将有价值的用户数据变现，这通常也被称作“洗库”。

安全专家说，获取一个网站数据库内的数据并不一定需要非常高深的技术以及成本，一个掌握一些基础黑客技术的人再加上一个功能强大效率较高的黑客工具，即可完成“脱裤”任务。上述攻击手法，几乎可以应用在任何一家网站登录系统。用户在不同网站登录时使用相同的用户名和密码，就相当于给自己配了一把“万能钥匙”，一旦丢失，后果可想而知。所以，防止撞库攻击，是一场企业与用户必须要面对的持久战。

安全专家建议：

1、对于企业来说，可以通过增强登录入口识别能力的方法来提高登录入口的安全性，如增加图片验证码与验证码生成的强度等。这样可以有效避免黑客通过代理登录获取用户个人信息。从而效规避撞库攻击;

2、通过自动识别异常IP方式，扫描到单位时间内频繁登录的异常IP。对于异常的IP，整理一个非常严格的库，甚至直接禁止这些IP访问网站;

3、企业应该有意识地避免与“安全级别低”的网站建立联系，针对“安全级别中等”的网站，则可以采用OAUTH协议授权登录的方式，与以往的授权方式不同， OAUTH的授权不会让第三方触及到用户的帐号信息(如用户名与密码)，我们常见的微信授权登录、微博授权登录就是这种形式的典型代表。

4、企业应该改对涉及用户隐私信息的网站进行HTTPS加密，防止用户个人隐私信息在传输过程中被窃取和篡改，同时防止用户进入假冒钓鱼网站，避免用户个人信息泄露。延伸:为什么WEB服务要尽快升级到HTTPS

温馨提醒用户：

1、不要在多个网站设置同一个登录密码，并要形成设置高强度的密码的习惯，如形式上使用大写字母、小写字母、数字、非数字符号的组合，涉及重要个人信息的账户，应经常修改密码，每月或每一季更换一次;

2、在不同的网络系统使用不同的密码，对于重要的账户使用更为安全的密码，不将密码保存在公共设备上，常规浏览器保存密码没有一个很好的加密策略，这往往为黑客破解密码大开方便之门;

3、使用更安全的认证方式，若觉得密码太复杂记不住，可以采用扫描二维码登录、刷脸登录、指纹识别登录;

4、不要轻易点击陌生的网址，不要随便链接免费公共WIFI，网上购物、支付等涉及个人隐私信息的操作，请认准HTTPS加密链接，防止进入假冒钓鱼网站和信息被窃。

文章来源：互联网,文章链接：http://www.wosign.com/News/damai.htm

相关资讯：

大麦网600多万用户账号密码泄露 数据已被售卖

年度网站安全报告:26%电商网站存高危漏洞

大量12306用户数据遭泄露 含身份证号及密码