Q：一個(gè)8億日活的平臺(tái)，為啥露骨直播能播到40萬(wàn)人在線？

A：因?yàn)楹诋a(chǎn)用1.7萬(wàn)個(gè)僵尸號(hào)沖垮了防線，而235個(gè)安全專(zhuān)家熬了半小時(shí)，也沒(méi)攔住——更糟的是，這波攻擊里還藏著盜號(hào)詐騙的陷阱。

12月22日晚上10點(diǎn)，北京程序員小張剛點(diǎn)開(kāi)快手，屏幕里的畫(huà)面就讓他猛地把手機(jī)扣在桌上——露骨的表演占滿(mǎn)整個(gè)屏幕，評(píng)論區(qū)里有人刷“舉報(bào)沒(méi)用”，還有人在發(fā)“下一個(gè)直播間的鏈接”。

同一秒，一個(gè)叫“快手白帽俱樂(lè)部”的群里，鍵盤(pán)聲已經(jīng)響成一片：安全研究員們?cè)诤笈_(tái)盯著告警系統(tǒng)，紅色的“違規(guī)內(nèi)容激增”提示跳個(gè)不停，有人一邊敲代碼堵漏洞，一邊在群里說(shuō)“流量太大，防火墻頂不住”。

但黑產(chǎn)的速度比他們更快。

有人在群里發(fā)了張后臺(tái)截圖：10點(diǎn)03分，平臺(tái)檢測(cè)到“異常開(kāi)播請(qǐng)求”，數(shù)量是平時(shí)的200倍；10點(diǎn)07分，違規(guī)直播間突破500個(gè)，舉報(bào)量超過(guò)12萬(wàn)次；10點(diǎn)15分，有個(gè)直播間的在線人數(shù)沖到40萬(wàn)，系統(tǒng)顯示“舉報(bào)提交失敗”——安全研究員們?cè)嚵伺R時(shí)封禁IP、關(guān)閉推流接口、緊急擴(kuò)容審核隊(duì)列，可黑產(chǎn)的腳本是“秒級(jí)發(fā)布”，封掉一個(gè)賬號(hào)，立刻有三個(gè)新號(hào)補(bǔ)上，連設(shè)備信息都是偽造的，根本抓不到源頭。

更讓安全團(tuán)隊(duì)頭皮發(fā)麻的是，黑產(chǎn)不止在播違規(guī)內(nèi)容：有用戶(hù)發(fā)現(xiàn)，直播間的評(píng)論區(qū)里藏著“網(wǎng)站鏈接”，標(biāo)注著“看完整內(nèi)容點(diǎn)這里”——這正是黑產(chǎn)埋的第二個(gè)陷阱。

直到晚上10點(diǎn)28分，群里突然安靜下來(lái)，有人敲了一行字：“今晚，我感覺(jué)到很遺憾，在座235位頂級(jí)安全研究員都沒(méi)辦法守護(hù)快手安全?！?/p>

這句話(huà)發(fā)出來(lái)的時(shí)候，他的電腦屏幕上還停著“違規(guī)內(nèi)容攔截率0.7%”的提示——半小時(shí)里，235個(gè)人熬紅了眼，試了所有應(yīng)急方案，還是沒(méi)攔住黑產(chǎn)把涉黃內(nèi)容、盜號(hào)鏈接一起推給數(shù)百萬(wàn)用戶(hù)。

黑產(chǎn)是怎么“碾過(guò)”防線，還順便挖了盜號(hào)的坑？

這不是“黑客偷偷摸進(jìn)來(lái)”，是黑產(chǎn)開(kāi)著“推土機(jī)”撞破了門(mén)，還在門(mén)口埋了雷。

第一波：用“飽和攻擊”沖垮審核

根據(jù)安全圈的復(fù)盤(pán)，黑產(chǎn)的操作是“流水線作業(yè)”：

• 第一步：搞賬號(hào)。從境外接碼平臺(tái)買(mǎi)70多萬(wàn)個(gè)手機(jī)號(hào)，用“子母機(jī)”工具批量注冊(cè)——母設(shè)備完成實(shí)名認(rèn)證，子設(shè)備復(fù)制Cookie和設(shè)備信息，AI生成的人臉視頻直接繞開(kāi)活體檢測(cè)，單臺(tái)設(shè)備一天能注冊(cè)上百個(gè)號(hào)；
• 第二步：踩點(diǎn)攻擊。選在晚上10點(diǎn)動(dòng)手，正好是平臺(tái)夜間審核的“真空期”——算法審核被流量信號(hào)帶偏，把違規(guī)內(nèi)容當(dāng)成“熱門(mén)”推給更多用戶(hù)，人工審核員就算全員上線，也追不上“封一個(gè)、補(bǔ)三個(gè)”的速度；
• 第三步：飽和轟炸。1.7萬(wàn)個(gè)僵尸號(hào)同時(shí)開(kāi)播，播的都是預(yù)制好的涉黃內(nèi)容，每個(gè)直播間的標(biāo)題都帶“性感”“福利”這類(lèi)關(guān)鍵詞，系統(tǒng)的關(guān)鍵詞攔截庫(kù)早被黑產(chǎn)用諧音字繞開(kāi)了。 ### 第二波：在直播里藏盜號(hào)鏈接 這波攻擊的“壞水”不止于傳播低俗內(nèi)容。

當(dāng)晚就有群聊記錄傳開(kāi)：用戶(hù)“念寓明”在群里說(shuō)，自己已經(jīng)遇到了“盜號(hào)借錢(qián)”的詐騙——騙子盜用他朋友的微信，冒充朋友找他借錢(qián)，他只能把這些賬號(hào)拉黑；同時(shí)他緊急預(yù)警：“快手放片的直播里的網(wǎng)站一定不要去搜！不然你的微信會(huì)被盜掉！一定不要去搜，否則后果自負(fù)！”

顯然，黑產(chǎn)把“傳播違規(guī)內(nèi)容”和“盜號(hào)詐騙”綁成了完整鏈條：先用露骨內(nèi)容吸引用戶(hù)點(diǎn)進(jìn)直播間，再引導(dǎo)用戶(hù)訪問(wèn)藏著木馬的釣魚(yú)網(wǎng)站，偷取微信賬號(hào)后，就冒充賬號(hào)主人向好友借錢(qián)——等于把用戶(hù)從“看了不該看的內(nèi)容”，直接拖進(jìn)“財(cái)產(chǎn)可能受損”的坑。

半小時(shí)后，平臺(tái)“把直播頻道關(guān)了”

晚上10點(diǎn)30分，快手的直播頻道突然全黑，屏幕上顯示“功能維護(hù)中”——這是“無(wú)差別關(guān)?！保彩菦](méi)辦法的辦法。

但這半小時(shí)的“失守”，已經(jīng)讓內(nèi)容和風(fēng)險(xiǎn)一起擴(kuò)散：有家長(zhǎng)說(shuō)，自己上小學(xué)的孩子刷快手時(shí)，“突然跳出個(gè)奇怪的直播間，我趕緊搶過(guò)手機(jī)，手都在抖”；有用戶(hù)截了圖，直播間的在線人數(shù)從幾千漲到40萬(wàn)，評(píng)論區(qū)里還有人在發(fā)“求資源鏈接”；更有人后怕：“我差點(diǎn)點(diǎn)了那個(gè)鏈接，要是微信被盜，朋友都得被我‘借’一遍錢(qián)?！?/p>

更讓人生氣的是，有黑產(chǎn)從業(yè)者在論壇里炫耀：“這次用的腳本是最新版，快手的防御就是紙糊的，3000塊買(mǎi)的腳本，一晚上就賺回來(lái)了——不僅能引流，還能盜號(hào)賣(mài)錢(qián)?！?/p>

更魔幻的：出事了，下載量反而漲了？

23日早上，有人在社交平臺(tái)發(fā)了張截圖：快手在App Store的下載量沖到了免費(fèi)榜第二，后臺(tái)顯示“404萬(wàn)用戶(hù)近期回歸”。

這不是“越罵越火”，是“吃瓜流量”——有人好奇“到底有多離譜”，有人想“看看平臺(tái)怎么收?qǐng)觥?，還有人是“幫朋友看一眼有沒(méi)有踩坑”。但對(duì)快手來(lái)說(shuō)，這更像個(gè)黑色幽默：安全防線被撕開(kāi)，用戶(hù)信任在掉，下載量的上漲更像“看熱鬧的人擠破了門(mén)”，完全不是什么好信號(hào)。

這事兒到底是“黑產(chǎn)的鍋”，還是平臺(tái)的問(wèn)題？

快手說(shuō)“是黑產(chǎn)攻擊”，但網(wǎng)友的吐槽直接戳破了遮羞布：

“235個(gè)安全專(zhuān)家都守不住，合著平時(shí)的‘安全防護(hù)’都是PPT？”

“夜間審核是擺設(shè)？晚上10點(diǎn)是小孩刷手機(jī)的高峰，平臺(tái)就不管？”

“實(shí)名認(rèn)證連AI生成的人臉都攔不住，這認(rèn)證有啥用？”

“不僅讓用戶(hù)看違規(guī)內(nèi)容，還讓用戶(hù)踩盜號(hào)的坑——平臺(tái)到底有沒(méi)有把用戶(hù)安全當(dāng)回事？”

其實(shí)平臺(tái)的短板早就擺在明面上：

1. 設(shè)備識(shí)別太弱：黑產(chǎn)用工具篡改IMEI碼、MAC地址，平臺(tái)根本分不清“這是同一伙人”；
2. 活體檢測(cè)是擺設(shè)：AI生成的人臉視頻能輕松繞開(kāi)，實(shí)名認(rèn)證等于沒(méi)做；
3. 內(nèi)容審核漏了“鏈接”：直播間里的釣魚(yú)鏈接沒(méi)被攔截，等于給黑產(chǎn)開(kāi)了“詐騙通道”；
4. 應(yīng)急方案太慢：從發(fā)現(xiàn)異常到關(guān)停直播，用了27分鐘——黑產(chǎn)的內(nèi)容和風(fēng)險(xiǎn)早就擴(kuò)散完了。

網(wǎng)友的吐槽，比事件本身更扎心

“235個(gè)安全專(zhuān)家=半小時(shí)沒(méi)攔住黑產(chǎn)+沒(méi)擋住盜號(hào)鏈接，我手機(jī)里的反詐APP都比這靠譜”

“下載量漲了？合著大家都是去看‘限制級(jí)內(nèi)容’的？這流量要了有啥用，全是看熱鬧的”

“建議平臺(tái)把‘記錄美好生活’改成‘記錄黑產(chǎn)作案現(xiàn)場(chǎng)’，順便附贈(zèng)盜號(hào)套餐是吧” “我媽問(wèn)我‘快手咋了’，我都不敢說(shuō)‘你別點(diǎn)開(kāi)直播’，怕她以為我在藏啥——更怕她點(diǎn)到那個(gè)鏈接”

“黑產(chǎn)都把‘盜號(hào)+詐騙’做成產(chǎn)業(yè)鏈了，平臺(tái)還在說(shuō)‘我們?cè)谛迯?fù)’，修復(fù)個(gè)寂寞啊”

這事兒，真的沒(méi)完

23日凌晨，快手報(bào)警了，海淀警方已經(jīng)啟動(dòng)調(diào)查。但用戶(hù)要的不是“抓幾個(gè)人”，是“以后別再讓我刷到這個(gè)，別再讓我踩盜號(hào)的坑”。

比如，能不能給未成年人賬號(hào)開(kāi)“夜間直播屏蔽”？能不能把設(shè)備指紋、區(qū)塊鏈認(rèn)證這些技術(shù)用上，攔住批量注冊(cè)的僵尸號(hào)？能不能先把“直播間鏈接檢測(cè)”加上，別讓釣魚(yú)網(wǎng)站直接蹦到用戶(hù)眼前？

畢竟對(duì)一個(gè)8億日活的平臺(tái)來(lái)說(shuō)，“安全”不是“出了事再補(bǔ)”，是“別讓用戶(hù)半夜刷到不該看的東西，別讓用戶(hù)點(diǎn)個(gè)鏈接就丟了賬號(hào)”——這事兒，235個(gè)安全專(zhuān)家熬半小時(shí)沒(méi)做到，靠“事后的下載量”更做不到。