腾讯安全发布信息泄露报告：暗网成信息贩卖主要渠道？

2018年，既是数据泄露的灰色年份，也是数据保护的元年。3月，Facebook暴露了8700万以上的用户数据，曾经被视为Facebook历史上最大的数据泄露事件的6月，AcFun宣布服务器受到黑客攻击，近千万用户数据在暗网上销售。

8月，据暗网中文网络投稿报道，某平价连锁酒店旗下的所有酒店约100g，5亿条顾客隐私数据公开买卖的12月，美国着名问答社区Quora发表了1亿用户数据被非法黑客攻击泄露……2018年度频繁发生的重大企业信息泄露事件，曾经成为信息安全领域的话题，受到社会各界的关注和重视。

作为国内网络安全新生态的首要提倡者，腾讯安全最近正式发布了《信息泄露:2018企业信息安全第一威胁报告》(以下简称《报告》)，详细分析了企业网络资产威胁，公开了网络信息销售、正确欺诈、冲突攻击、网络欺诈四大黑市交易侵蚀数据安全渠道，为许多企业和个人用户提供了防止信息泄露风险的实用建议。

暗网:个人信息销售的主要渠道主张复盖国内各大网络平台

2018年12月30日，暗网中文论坛发表投稿，主张销售包括30万酒店消费者的身份证、地址、电话等用户的敏感信息数据再往前，暗网爆出公开兜售某平价连锁酒店旗下所有酒店开房数据，包含1.3亿人的个人信息和开房记录，数据标价8个比特币，约等于35万人民币。近年来频繁爆发的数据泄漏事件，让暗网这个“地下黑市”逐渐被社会所认知。

(图:2018年网络数据交易状况)

从2018年网络数据交易状况(抽样数据)来看，账号/邮箱类数据、个人信息、网络邮购/物流数据排在前3位，分别为19.78%、12.19%、9.69%其中，在网络数据-信息类板块中，交易投稿主张销售包括16亿邮箱的密码数据，主张复盖国内各大网络平台。此外，银行数据和网络贷款数据等金融数据今年下半年开始增加。腾讯安全技术专家推断与今年P2P等金融平台的暴雷有一定的关联。

(图:2018年网络贷款用户数据交易趋势分析)

《报告》显示，黑产业者除了利用技术攻击、钓鱼攻击、勾结内鬼等手段获得信息数据外，冲击库和冲击库攻击也是常用的非法手段之一。以某平价连锁酒店信息泄露事件为例，该酒店程序员由于将连接方式及密码上传到开源平台GitHub上，不法黑客第一时间利用该信息实施攻击，并获得包括消费者官网个人注册资料、酒店入住身份登记信息、酒店开房记录等共计141.5G、近5亿条用户数据。《报告》认为，信息化时代的今天，面对层出不穷的数据泄露事件，无论是企事业单位，还是个人用户都应该提高对数据安全的重视，加强对自身数据的保护措施是目前应对该类事件的最为直接有效方式。

信息泄露催生三大变现途径：精准诈骗、撞库攻击以及撒网式诈骗

目前，“暗流涌动”的黑市交易正侵蚀着用户隐私安全。除了在黑暗网络等黑色生产平台上销售隐私数据直接变化外，黑色生产商还利用购买的数据进行正确的欺诈、敲诈等犯罪行为，进一步从事网络犯罪行为。

网络邮购消费者向腾讯寻求安全帮助，在网络邮购平台上购物完成后，接到热心的呼叫电话，呼叫由于质量问题、物流问题等原因，发送退款网页的链接和二维码，按照提示操作可以退还比购物费高的退款和退款保证金

(图:购物退款欺诈犯罪流程的示意)

这本来是双赢的好事，恶作剧团体是如何实现欺诈的？腾讯安全技术专家表示，这是典型的正确欺诈事件，欺诈者通过网络等黑产平台获得用户个人详细信息后，通过终端设备对受害者实施目标电信欺诈。一般受害人收到的钱其实是一些正规的贷款平台快贷，骗子利用网银或第三方支付平台快贷等服务，误导受害人从贷款平台贷款，然后把多余的钱打回骗子的网账。

《报告》指出，包括购物退款、公检法、补助金发行、航班取消、二胎生育退款、违反交通规则的注意、积分兑换现金等正确的欺诈行为，是欺诈者根据个人信息特征精心设计的有目的的欺诈剧本。

同样值得关注的是，冲击库攻击催化信息泄露呈裂变式增长。据国外某安全研究团队撰写的《2018年互联网安全状况报告：撞库攻击》显示，仅在2016年11月到2017年6月末期间，全球恶意登录尝试就超过300亿次。从近三个月的蜜罐流量可以看到，恶意攻击的流量稳中有长，而这些恶意攻击优艾设计网_PS百科流量当中更多是撞库和扫号的攻击。

（图：恶意流量攻击趋势）

除了用来撞库和精准诈骗之外，用户隐私数据还被用来撒网式诈骗。不久前，不少网友纷纷发帖，称自己从“黑客”手里收到了恐吓邮件，邮件里称在其访问成人植入了恶意程序，能盗取用户帐号密码，并控制摄像头录制用户观看成人的隐私过程，以此要求支付指定赎金，否则向邮箱里的所有联系人发送视频文件。

腾讯安全:持续发展数据安全建设呼吁社会共同保护隐私安全

现在，世界各地陆续发生信息泄露事件，大规模信息泄露的影响一般持续很长时间，影响范围也扩展到各行各业。遇到信息泄露事件后，企业和个人往往难以应对次要风险。

为此，《报告》提醒广大普通用户，一方面避免在多个平台使用同一个账号密码，保持定期更换复杂密码的习惯；另一方面，建议个人开通已提供双重验证功能的互联网服务双重验证，以便及时保障个人信息安全。企业应履行保护用户数据的责任，加强信息安全领域的投入，建立系统化的安全保障体系，定期调查风险危险，加强保护技术手段等措施，全面提高企业业务运营过程的风险感知和发现能力，降低安全风险。

通过长期的探索和实践，腾讯安全不仅推出针对终端恶意攻击的有效解决方案，而且还面向企业推出了腾讯安脉外部风险防控体系，为企业提供有效的业务风险监测和预警SaaS服务，为企业提供行业安全动态，协助企业做出正确的业务风险判断和处置建议。

从《报告》整体来看，当前互联网资产存在的安全漏洞、安全弱点等安全问题，已经逐渐成为网络安全威胁的重要因素。为此，以腾讯安全为代表的杀软厂商积极联合政府部门、网民行动，形成“警企民”合力，全力打击侵犯用户隐私信息等网络违法犯罪行为，为广大用户营造一个绿色健康的网络环境。