早上起來，老馮的 iPhone 突然提示我的賬號(hào)被鎖定了，要求我修改密碼。然后就看到了這篇新聞。于是重新把主流平臺(tái)的密碼都修改了一遍。在這個(gè)泄漏已經(jīng)不算新聞的時(shí)代，還是要注意基本的網(wǎng)絡(luò)衛(wèi)生，不要被扒光了再追悔莫及。

Vilius Petkauskas, Cybernews https://cybernews.com/security/billions-credentials-exposed-infostealers-data-leak

超過160億條登錄憑據(jù)被曝光，可能源自各類信息竊取木馬

（infostealer）。 有時(shí)，無意間收集并匯總敏感信息的危害，并不亞于黑客主動(dòng)盜取。Cybernews 研究團(tuán)隊(duì)近期在網(wǎng)上發(fā)現(xiàn)了多份超巨型數(shù)據(jù)集，涵蓋從社交平臺(tái)、企業(yè)系統(tǒng)，到 VPN、開發(fā)者門戶等幾乎所有常見在線服務(wù)的登錄信息，可謂“無孔不入”。

自今年年初開始，研究團(tuán)隊(duì)持續(xù)監(jiān)控網(wǎng)絡(luò)安全態(tài)勢(shì)，迄今已發(fā)現(xiàn) 30 份外泄數(shù)據(jù)集，單份容量從數(shù)千萬到 35 億條不等，總量高達(dá) 160 億條賬號(hào)記錄——規(guī)模之大，令人難以想象。

除了 5 月底 Wired 報(bào)道的一份包含 1.84 億記錄的“神秘?cái)?shù)據(jù)庫”外，這些數(shù)據(jù)集此前均無人披露；然而它在本次發(fā)現(xiàn)的榜單中甚至排不進(jìn)前二十。更令人擔(dān)憂的是，研究人員指出，“幾乎每隔數(shù)周就會(huì)冒出一份新的超大數(shù)據(jù)集”， 足見信息竊取木馬的普遍與猖獗。

“這不僅是一次泄露，更像是大規(guī)模利用的‘作戰(zhàn)藍(lán)圖’。 160 億條登錄記錄，讓不法分子獲得前所未有的入侵籌碼，可用于賬號(hào)接管、身份盜用，或極具針對(duì)性的釣魚攻擊。更可怕的是，這些數(shù)據(jù)集的結(jié)構(gòu)完整且更新極快——并非舊漏的回鍋，而是可直接武器化的新鮮情報(bào)?！?——研究團(tuán)隊(duì)

唯一的“好消息”是：這些數(shù)據(jù)集在公網(wǎng)暴露的時(shí)間都很短——足夠讓研究員發(fā)現(xiàn)，卻不足以追溯幕后操縱者。多數(shù)數(shù)據(jù)集通過未加固的 Elasticsearch 或?qū)ο蟠鎯?chǔ)短暫公開。

這些“百億級(jí)”數(shù)據(jù)里有什么？

研究團(tuán)隊(duì)表示，外泄數(shù)據(jù)主要由信息竊取木馬日志、撞庫字典及舊泄露數(shù)據(jù)再包裝混合而成。 雖然難以逐一比對(duì)，顯然數(shù)據(jù)間存在大量重疊，因此無法準(zhǔn)確估算究竟多少獨(dú)立賬號(hào)受影響。

從結(jié)構(gòu)看，絕大多數(shù)記錄遵循固定格式：URL → 賬號(hào) → 密碼——這正是現(xiàn)代信息竊取木馬常用的抓取方式。

16 億條記錄意味著，幾乎所有主流在線服務(wù)都難逃其“魔爪”： Apple、Facebook、Google、GitHub、Telegram 乃至各國(guó)政府服務(wù)，應(yīng)有盡有。

如此規(guī)模的憑據(jù)泄露，可為釣魚、電郵欺詐（BEC）、勒索軟件入侵提供豐厚燃料。 若企業(yè)缺乏 MFA 或賬號(hào)衛(wèi)生意識(shí)，這些帶有 Token / Cookie / 元數(shù)據(jù) 的新舊日志組合將構(gòu)成極大威脅。

數(shù)據(jù)集都有哪些？為何而泄？

團(tuán)隊(duì)發(fā)現(xiàn)的數(shù)據(jù)集差異巨大：

?最小的命名與某木馬相同，包含 1600 萬條記錄；?最大的疑似面向葡語用戶，達(dá) 35 億條；?平均每份超 5.5 億條。

有的命名籠統(tǒng)，如 “l(fā)ogins”“credentials”，難以推斷來源；有的則暗示所屬服務(wù)。 例如：

?一份 4.55 億條的數(shù)據(jù)庫名指向俄羅斯；?另一份 6000 萬條的數(shù)據(jù)庫直接叫 “Telegram”。

命名并非絕對(duì)，但可見部分?jǐn)?shù)據(jù)指向云服務(wù)、企業(yè)內(nèi)部數(shù)據(jù)甚至加密文件；某些名稱或許直接對(duì)應(yīng)收集木馬的代號(hào)。

目前無法確定數(shù)據(jù)擁有者身份?？赡苡邪踩芯繂T用于監(jiān)測(cè)泄露，但基本可以斷定，其中不少屬于網(wǎng)絡(luò)犯罪團(tuán)伙。對(duì)黑客而言，“大而全”的聚合數(shù)據(jù)庫能夠快速放大身份盜用、釣魚、未授權(quán)訪問等攻擊效果——即便命中率不足 1%，也足以威脅數(shù)百萬用戶的資產(chǎn)安全。

用戶該怎么辦？

由于無法溯源，個(gè)人很難對(duì)這些外泄數(shù)據(jù)采取補(bǔ)救措施。但基本的網(wǎng)絡(luò)安全衛(wèi)生仍是自保關(guān)鍵：

1.使用強(qiáng)、獨(dú)一無二且定期更換的密碼；2.開啟多因素認(rèn)證（MFA），即便憑據(jù)泄露也能降低風(fēng)險(xiǎn)；3.檢查系統(tǒng)是否感染信息竊取木馬，避免繼續(xù)“輸血”給黑客。

大規(guī)模數(shù)據(jù)泄露早已司空見慣

?上周，Cybernews 報(bào)道了可能是xXXXXX
?去年夏天，包含 近 100 億 唯一密碼的 RockYou2024 在黑客論壇公開；而 2021 年也曾出現(xiàn) 80 億 級(jí)別的 RockYou2021。?2024 年初，Cybernews 發(fā)現(xiàn)了迄今最大的數(shù)據(jù)泄露之一——被稱為 “Mother of All Breaches (MOAB)”，包含驚人的 260 億 條記錄。

如今的現(xiàn)實(shí)是：“百億級(jí)”泄露不再是新聞。對(duì)個(gè)人與企業(yè)而言，唯一可行的策略，就是把安全意識(shí)與防護(hù)手段前置，別等憑據(jù)漂浮到暗網(wǎng)黑市才后知后覺。

References

[1]: https://cybernews.com/security/billions-credentials-exposed-infostealers-data-leak
[2]: https://www.wired.com/story/mysterious-database-logins-governments-social-media/
[3]: https://www.yahoo.com/news/16-billion-passwords-apple-facebook-203204594.html