继大麦网后，又一电商平台遭“撞库”，广州一女子被骗4.7万元
何为“撞库”，如何防骗？
&&&&南都讯&记者陈杰生&实习生王涛　日前，国内知名购票网站大麦网被曝出遭遇黑客“撞库”，骗子获取网站用户信息后，冒充客服实施诈骗，致全国多地39名用户受骗，损失金额近150万元。大麦网的案例并非孤例。广州市民刘小姐日前反映，自己在某购物平台上购买了一支爽肤水，申请退货后，一骗子冒充客服人员，她按照指示将卡里的4&.7万余元转账到另一银行账户，后方知被骗。&&&&刘小姐在广州黄村派出所报警，目前警方已介入。昨日，该平台相关负责人确认，此次诈骗事件是黑客通过撞库攻击获取客户用户数据，伪装成客服进行诈骗。&&&&退货79元爽肤水被骗4.7万元&&&&在天河区黄村一公司上班的刘小姐，于7月10日通过某购物平台手机客户端购买了一瓶价值79元的爽肤水，四天后到货。因对商品不满意，刘小姐申请退货，后显示申请状态为“通过”。&&&&次日傍晚6点58分，还未寄回商品的刘小姐接到一个归属地为广东广州的手机电话。刘小姐称，对方系女声，“报出了我的全名，问我是不是在购物平台上办理了一款爽肤水的退货申请”。&&&&按照对方的指示，刘小姐添加了一个昵称为“××&客服”的Q&Q号为好友。对方随后发来信息：“尊敬的××&用户，由于您的商品存在问题，请您点击打开退款网址核对退款”，下附一链接。&&&&刘小姐点开了链接，“页面有购物平台的标志，需要我填很多资料，包括姓名、身份证号、银行卡号和银行卡密码”。此时，她起了疑心“退个货，要填这么多资料吗？”&&&&刘小姐随后在电话中向“客服”说出自己的顾虑，对方却报出了刘小姐购买爽肤水的“订单号”。刘小姐于是深信不疑，当即填写资料。资料中有一栏验证码，刘小姐填完后一直显示页面超时。&&&&由于对方称没有成功办理退货，不能挂断电话，故刘小姐一直保持着与“客服”的通话，“我问对方，为什么总是显示超时，对方说系统显示更新，要我把手机收到的验证码报给她”。&&&&刘小姐称，自己当时一共收到四条信息，分别为由“××&集团”、“××掌柜”、“××富”、“××基金”发出的验证码信息。&&&&随后，刘小姐收到银行发来的扣款信息，被扣金额1000元。与此同时，她又收到了××基金发来的增加交易账号、申购了4&.6万余元的××货币基金份额的信息。&&&&“我当时就问，为什么会出现扣款信息，对方解释是在网页停留时间太长，可能是系统太敏感了，所以导致钱被转出，她一再告诉我不用担心，钱会返回到我的卡里。”刘小姐称，当时，对方让其到附近的银行A&T&M机查询余额，自己当时慌了，只能照做。&&&&到达A&T&M机后，刘小姐按照对方指示，转了4.62万元到一个个人银行账户里，“她说只有这样，款项才能退回来”。转账后，刘小姐仍不觉被骗，“她说金额比较大，可能会要数个小时才能收到”。&&&&刘小姐最后是拨打客服电话方才知道自己被骗，“真的客服人员让我马上报警”。刘小姐于是到黄村派出所报了警，“做笔录的时候，手机又收到一条验证码信息，骗子打来电话，说让我把验证码告诉她，钱就会马上到账，我没有理她”。&&&&昨日，南都记者拨打了刘小姐提供的骗子电话，电话已关机。目前，黄村派出所已受理刘小姐的报案，但是，刘小姐称，“警方告诉我，钱要回来的可能性不大”。&&&&多名网友称被假冒客服行骗&&&&南都记者在微博上发现，有多名网友反映也曾遭遇同样的骗局。&&&&一网友自称，曾接到一个骗子电话，称购买的产品出现质量问题，可以退货退款。该网友称，自己后来按照指示添加对方Q&Q，收到一链接，同样弹出页面，要求填写银行卡账号和密码，“说是退货退款的快速通道”，所幸这一行为被自己丈夫制止。&&&&刘小姐表示，受骗人不止她一人，部分网友组建了一个“××&退货骗局受害者”Q&Q群。“群里，单是我知道被骗的人，加起来的金额就超过10万元。”&&&&平台回应：系黑客撞库获取信息伪装客服&&&&日前，记者拨打了该购物平台的客服电话。记者发现，客服电话已有提醒用户谨防被骗的语音提醒。一客服人员表示，平台的退款均是在平台上进行操作，退款也会按照原来付账的路径返还，不需要添加Q&Q好友进行退款。她称，若有人打电话称点开提供链接即可以退款，明显是诈骗电话。&&&&昨日，该平台相关负责人回应，平台历来非常重视用户信息安全问题，采取了多种策略保护用户个人信息，绝不会出现用户信息泄露问题。该负责人表示，此次诈骗事件是由黑客从其他网站窃取到用户数据(包括用户名、密码等)，随后进行撞库攻击，伪装成客服进行诈骗。他称，接到用户投诉后平台第一时间积极响应，了解相关情况并建议用户报警，“这过程中我们一直在协调，主动出具资料协助调查敦促警方加快调查进度”。&&&&律师：若因黑客泄露信息，则网站无责&&&&广东伯方律师事务所的朱光辉律师分析称，骗子获取客户信息的来源是判断网站对诈骗行为是否需要承担责任的重要依据，如果网站因为保管疏忽造成客户信息泄露，网站需要承担一定的责任。但如果诈骗分子用黑客手段获取用户信息，网站则不需要承担责任，因为黑客攻击是犯罪行为，网站也是受害者。不过，朱律师称，网站如果在发现后没尽到对用户谨慎提醒的义务，也会产生一定的责任。&&&&贴士&&&&什么是“撞库”？&&&&骗子如何获取信息？有可能是黑客“撞库”。“撞库”是指以大量的用户数据为基础，利用用户相同的注册习惯，比如相同的用户名和密码，尝试登录其他的网站，一旦登录成功便可以十分方便地获取用户个人信息。&&&&如何防止被“撞库”？&&&&●注册账号时要尽量“有限提供”，能不填的个人信息尽量不填；&&&&●定期清理电脑中的Cookie，避免上网时被跟踪；&&&&●不同的个人账号设置不同密码，而且密码设置不能太简单，定期修改密码。重要账号要通过绑定个人电子邮箱或手机号、加装数字证书或申请U盾等多重防护措施。&&&&退货被骗4.7万元流程示意图&&&&要求退货&&&&客户通过某购物平台手机端购买一瓶爽肤水；不满意申请退货，后显示申请状态为“通过”&&&&“客服”出场&&&&接到手机电话询问是否退货，“报出了我的全名”；添加“××客服”为QQ好友，对方随后发来退款链接&&&&填写资料&&&&链接页面有购物平台的标志，需要填很多资料；起疑质问“客服”，对方却报出准确订单号；客户填完验证码后一直显示页面超时&&&&泄露验证码&&&&“客服”称没有成功办理退货，要求客户保持通话；“客服”称系统显示更新，要求客户报出手机验证码&&&&扣款信息&&&&收到银行扣款1000元信息及申购××货币基金4.6万元的信息&&&&要求转账&&&&称“钱会返回”，要求客户到附近的ATM机查询余额，后要求客户转账到另一账户，称“这样款项才能退回来”&&&&发现被骗&&&&客户拨打客服电话才知被骗，“真的客服让我马上报警”你的信息被 撞库 了吗？ 小心泄露隐致私倾家荡产（三）
　　支付宝公司向警方提供了受害人账户的详细资料
　　支付宝公司风险管理部安全人员朱健：根据支付宝公司给我们提供的资料，我们发现支付宝账户的钱，从4月13日到4月23日一共11天的时间，那么是分230笔向69个支付宝账户进行转账。
　　经过细致的排查，警方锁定了嫌疑人取款地点在湖南省永州的道县，在调取了银行监控录像后警方发现，一名男子使用好几张银行卡频繁提取现金，而这些银行卡正是被警方列为重点怀疑的对象。经过大量账号比对，警方锁定住了这名男子的身份，并确定这名男子有重大作案嫌疑。随后湖南永州道县警方找到了嫌疑人何某某，并开始了调查。在警方出示的大量证据面前，何某某心理防线被突破了，意识到已经隐瞒不住开始交待作案过程。
　　在调取了银行监控录像后警方发现 一名男子使用好几张银行卡频繁提取现金而这些银行卡正是被警方列为重点怀疑的对象
　　犯罪嫌疑人何某某：看着支付的公司，支付宝上的钱有6万多左右，那钱每次来，过一会就有钱来过一会就有钱来。
　　犯罪嫌疑人何某某是一名吸毒人员，因为吸毒需要大量钱财，于是他通过非法手段，以两角钱一个的价格向别人购买了上百个账号和密码，在永州道县网吧及宾馆里偷偷进入到别人的支付宝账户。当进入到这家苏州的公司账户时，何某某发现里面的欠款正不断进出，于是他就用自己和亲友的身份证号，银行卡号，以及一个郑某某的假身份注册了大量支付宝账户，在10天时间里转走了32万元钱。
　　何某某：两角钱一个，一次买了100个。
　　警方工作人员：100个什么东西呢？
　　何某某：全是那个账号。全是支付宝的账号密码。
　　李榛：他一共向他的上家购买了一百张支付宝的账户，那么他一个一个去试，一个一个去盗，最终在我们这个账户上找到了很多的钱，所以他就停下来其他账户盗取的工作，一门心思在这个账户上盗钱。
　　民航业成个人信息安全重灾区 遇到退票改签短信需警惕！
　　2014年1月中旬，家住深圳市宝安区的李女士，通过深圳航空公司的官网给自己的妈妈订了一张1月19日从郑州到深圳的机票，就在起飞的前一天李女士收到了一条提示短信：您预定的航班因飞机故障已经被取消，收到短信后与本公司联系，为您办理退票或改签。短信还特别注明，退票的话是全额退款，并多退200元，如果改签就要收取20元工本费。短信的结尾还留下了一个400—852—XXXX的联系电话。
本文来源：央视
关键词阅读：
不做嘴炮 只管约到
跟贴热词：
文明上网，登录发贴
网友评论仅供其表达个人看法，并不表明网易立场。
热门产品:　　　
:　　　　　　　　
:　　　　　　　　　
热门影院：
用微信扫描二维码分享至好友和朋友圈您正在使用IE低版浏览器，为了您的雷锋网账号安全和更好的产品体验，强烈建议使用更快更安全的浏览器
大麦网数据泄露致用户被骗，我们该如何防范“撞库”攻击
上周末，黑产利用撞库攻击，窃取了大麦网的用户个人信息。并利用窃取到的信息，伪装成大麦网客服成功骗取了147.42万元。据了解，全国各地共有39名用户受骗，单人受骗金额最高达10万元。事件发生后，大麦网很快对事件发生原因做了回应。并在后续声明中表示，为了尽快缓解此次事件对用户造成的经济压力，大麦网董事会决定对所有造成实际经济损失的用户实行“先行承担用户损失”的措施，由大麦网向用户垫付被骗资金。“撞库”是一种在互联网中常见的黑客攻击方式。发生在上个月的扎克伯格社交账号被黑事件与“京东假客服”事件的起因都是撞库攻击。所谓的撞库是指黑客通过手机网上已经泄露的用户和密码信息，集合成为“社工库”，针对目标网站用户登录页面不停的尝试登录，只要有一次匹配成功，就成功窃取到用户信息。对于习惯于在不同账户使用相同密码的用户来说，其个人资料很容易被黑客“撞库”获得。& & & &撞库攻击流程图，来自Freebuf而黑客“撞库”所获得的信息，通常与“拖库”与“洗库”有关。“拖库”是指黑客入侵有价值的网络站点，把注册用户的资料数据库全部盗走的行为，因为谐音，也经常被称作“脱裤”，在取得大量的用户数据之后，黑客会通过一系列的技术手段和黑色产业链将有价值的用户数据变现，这通常也被称作“洗库”。安全专家曾告诉雷锋网(搜索“雷锋网”公众号关注)，获取一个网站数据库内的数据并不一定需要非常高深的技术以及成本，一个掌握一些基础黑客技术的人再加上一个功能强大效率较高的黑客工具，即可完成“脱裤”任务。上述攻击手法，几乎可以应用在任何一家网站登录系统。用户在不同网站登录时使用相同的用户名和密码，就相当于给自己配了一把“万能钥匙”，一旦丢失，后果可想而知。所以，防止撞库攻击，是一场企业与用户必须要面对的持久战。安全专家建议，对于企业来说，可以通过增强登录入口识别能力的方法来提高登录入口的安全性，如增加图片验证码，与验证码生成的强度等。这样可以有效避免黑客通过代理登录获取用户个人信息。从而效规避撞库攻击；还可以通过自动识别异常IP方式，扫描到单位时间内频繁登录的异常IP。对于异常的IP，整理一个非常严格的库，甚至直接禁止这些IP访问网站；还有一点需要注意的是，企业应该有意识地避免与“安全级别低”的网站建立联系，针对“安全级别中等”的网站，则可以采用OAUTH协议授权登录的方式，与以往的授权方式不同， OAUTH的授权不会让第三方触及到用户的帐号信息（如用户名与密码），我们常见的微信授权登录、微博授权登录就是这种形式的典型代表。对于用户来说，不要在多个网站设置同一个登录密码，并要形成设置高强度的密码的习惯，如形式上使用大写字母、小写字母、数字、非数字符号的组合n涉及重要个人信息的账户，应经常修改密码，每月或每一季更换一次；在不同的网络系统使用不同的密码，对于重要的账户使用更为安全的密码，不将密码保存在公共设备上，常规浏览器保存密码没有一个很好的加密策略，这往往为黑客破解密码大开方便之门；使用更安全的认证方式，如果觉得密码太复杂记不住，可以采用扫描二维码登录、刷脸登录、指纹识别登录，不要轻易点击陌生的网址，通过陌生电源充电时，不要点击信任，或允许其进入USB调试模式。
关闭雷锋广告
同步到新浪微博
关注产品和创新的科技媒体
微信xiaodan-0-，欢迎来聊。
当月热门文章
￥0（免费上门 手机快修）
￥169.00￥399.00
00:00:00后恢复原价
本栏目由提供
为了您的账户安全，请
您的邮箱还未验证,完成可获20积分哟！
您的账号已经绑定，现在您可以以方便用邮箱登录老妇在儿子葬礼上认识了17岁少年，两人擦出火花。
当火车快将驶至之际，玩命伏到路轨上，惊险万分。
声明：本文由入驻搜狐公众平台的作者撰写，除搜狐官方账号外，观点仅代表作者本人，不代表搜狐立场。
　　上周末，黑产利用撞库攻击，窃取了大麦网的用户个人信息。并利用窃取到的信息，伪装成大麦网客服成功骗取了147.42万元。据了解，全国各地共有39名用户受骗，单人受骗金额最高达10万元。事件发生后，大麦网很快对事件发生原因做了回应。并在后续声明中表示，因考虑到网络诈骗团伙调查难度较大，周期较长，为了尽快缓解此次事件对用户造成的经济压力，大麦网董事会决定对所有造成实际经济损失的用户实行“先行承担用户损失”的措施，由大麦网向用户垫付被骗资金。
　　“撞库”是一种在互联网中常见的黑客攻击方式。发生在上个月的扎克伯格社交账号被黑事件与“京东假客服”事件的起因都是撞库攻击。
　　所谓的撞库是指黑客通过手机网上已经泄露的用户和密码信息，集合成为“社工库”，针对目标网站用户登录页面不停的尝试登录，只要有一次匹配成功，就成功窃取到用户信息。
　　对于习惯于在不同账户使用相同密码的用户来说，其个人资料很容易被黑客“撞库”获得。
　　撞库攻击流程图，来自Freebuf
　　而黑客“撞库”所获得的信息，通常与“拖库”与“洗库”有关。
　　“拖库”是指黑客入侵有价值的网络站点，把注册用户的资料数据库全部盗走的行为，因为谐音，也经常被称作“脱裤”，在取得大量的用户数据之后，黑客会通过一系列的技术手段和黑色产业链将有价值的用户数据变现，这通常也被称作“洗库”。
　　安全专家曾告诉雷锋网(搜索“雷锋网”公众号关注)，获取一个网站数据库内的数据并不一定需要非常高深的技术以及成本，一个掌握一些基础黑客技术的人再加上一个功能强大效率较高的黑客工具，即可完成“脱裤”任务。
　　上述攻击手法，几乎可以应用在任何一家网站登录系统。用户在不同网站登录时使用相同的用户名和密码，就相当于给自己配了一把“万能钥匙”，一旦丢失，后果可想而知。所以，防止撞库，是一场企业与用户必须要面对的持久战。
　　安全专家建议，对于企业来说，
　　可以通过增强登录入口识别能力的方法来提高登录入口的安全性，如增加图片验证码，与验证码生成的强度等。这样可以有效避免黑客通过代理登录获取用户个人信息。从而效规避撞库攻击；
　　还可以通过自动识别异常IP方式，扫描到单位时间内频繁登录的异常IP。对于异常的IP，整理一个非常严格的库，甚至直接禁止这些IP访问网站；
　　还有一点需要注意的是，企业应该有意识地避免与“安全级别低”的网站建立联系，针对“安全级别中等”的网站，则可以采用OAUTH协议授权登录的方式，与以往的授权方式不同， OAUTH的授权不会让第三方触及到用户的帐号信息（如用户名与密码），我们常见的微信授权登录、微博授权登录就是这种形式的典型代表。
　　对于用户来说，
　　不要在多个网站设置同一个登录密码，并要形成设置高强度的密码的习惯，如形式上使用大写字母、小写字母、数字、非数字符号的组合；
　　涉及重要个人信息的账户，应经常修改密码，每月或每一季更换一次；
　　在不同的网络系统使用不同的密码，对于重要的账户使用更为安全的密码；
　　不将密码保存在公共设备上，常规浏览器保存密码没有一个很好的加密策略，这往往为黑客破解密码大开方便之门；
　　使用更安全的认证方式，如果觉得密码太复杂记不住，可以采用扫描二维码登录、刷脸登录、指纹识别登录；
　　不要轻易点击陌生的网址，通过陌生电源充电时，不要点击信任，或允许其进入USB调试模式。
欢迎举报抄袭、转载、暴力色情及含有欺诈和虚假信息的不良文章。
请先登录再操作
请先登录再操作
微信扫一扫分享至朋友圈
搜狐公众平台官方账号
生活时尚&搭配博主 /生活时尚自媒体 /时尚类书籍作者
搜狐网教育频道官方账号
全球最大华文占星网站-专业研究星座命理及测算服务机构
专注移动互联网领域的科技博客。雷者，万钧之势；锋者，锐利之...
16919文章数
主演：黄晓明/陈乔恩/乔任梁/谢君豪/吕佳容/戚迹
主演：陈晓/陈妍希/张馨予/杨明娜/毛晓彤/孙耀琦
主演：陈键锋/李依晓/张迪/郑亦桐/张明明/何彦霓
主演：尚格?云顿/乔?弗拉尼甘/Bianca Bree
主演：艾斯?库珀/ 查宁?塔图姆/ 乔纳?希尔
baby14岁写真曝光
李冰冰向成龙撒娇争宠
李湘遭闺蜜曝光旧爱
美女模特教老板走秀
曝搬砖男神奇葩择偶观
柳岩被迫成赚钱工具
大屁小P虐心恋
匆匆那年大结局
乔杉遭粉丝骚扰
男闺蜜的尴尬初夜
客服热线：86-10-
客服邮箱：唯品会回应信息泄露事件：骗子强行“撞库”
[摘要]唯品会表示，客户资料已进行加密监控，绝不会泄露给第三方。
腾讯科技讯（孙宏超）4月24日消息，近日有媒体报道称
涉嫌用户信息泄露。模式为有电话自称唯品会第三方，在准确报出姓名和收货地址后，告知消费者有订单错误，并索要相关信息。今天下午，唯品会对腾讯科技回应称出现这种情况是不法分子利用了“撞库”的方法：“有一些保护用户信息安全意识较为薄弱的网站可能存在批量泄露用户信息的情况，被不法分子获取后，使用撞库的方法在其它有交易属性的网站（如电商、互联网金融等），尝试登陆并获取用户购买商品的信息，进而冒充客服人员实施诈骗。”同时唯品会方面也进一步表示客户资料我们已进行加密监控，绝不会泄露给第三方：“请切勿轻易相信他人，若遇到诈骗事件，也请及时反馈给唯品会记录，相关部门会及时联系警方进行彻查，唯品会将竭尽全力保护消费者的权益。”
[责任编辑：honestsun]
您认为这篇文章与"新一网（08008.HK）"相关度高吗？
Copyright & 1998 - 2016 Tencent. All Rights Reserved
还能输入140字}