黑客爆料手握 14 亿腾讯用户账号信息,腾讯回应「不属实,系历史资料拼凑、注水而成」,如何看待此事?
据我所知,腾讯漏了两次,一次责任完全在腾讯,另一次一半责任在腾讯
09 年是 QQ号与群昵称的关系信息,相信大家在工作群,班级群里群昵称都带有真名。泄露的这口锅应该是一半扣在某网管系统上,一半扣在腾讯头上。
这也就是所谓的“8000WQQ群数据库”
后面一次(持续到 2021 年陆陆续续)有人利用 QQ 通讯录 定期遍历全国手机号与 QQ 号的绑定关系。大概方式解释起来就是,因为如果你装了QQ通讯录这个APP,那么如果你手机联系人里有某个人的手机号,且有QQ号绑定了这个手机,并且允许“通过查找手机号查找我”,那么QQ通讯录会主动帮你补全这个手机号的QQ号。于是黑产就从13100000000依次添加手机号一直到18999999999。得到手机号与QQ号的绑定关系。这个锅确实是腾讯的。
也就是所谓的QQ8E,12E,14E啥的,但其实没那么多,因为这是多年数据的条数总和,并没有去重,而且这里面大部分是黑产自己的QQ号(仅这几年腾讯自己公布的,打掉的黑产QQ实名号池规模都有4亿了,这些号池里的QQ号实名都是虚假的实名),估计实际真实用户有1~2亿的规模吧。
同时期微博,百度的手机号绑定关系也是类似方式泄露的。
(顺带提一嘴百度怎么漏的,百度网盘有个加好友的接口,你输入手机号就可以“加好友”,而“好友“的百度账号名会被完全展示出来,来让你确认这是你要加的人,直到很后面,百度网盘加好友时才会把用户名的中间几个字打码)
虽然他们的接口对频繁查询有验证码,但是早在 14 年,4 位字母组合的验证码的识别成本已经不超过 2 元/ 1 万次识别,后期 AI 模型更加成熟识别成本更低。对于黑灰产来说,全国手机号与百度,微博,QQ 的绑定关系关系,那可太值钱了。而且查询所需要的由大量手机构成的集群,因为刷赞刷流事业,也有非常成熟的工作室体系,顺带拿来遍历下QQ-手机关系,不过是顺手的副业罢了。
再后面涉及 QQ 的应该是学习通,天涯,优酷,推特,脸书等其他平台,他们泄露的数据库里,有些用户个人信息里也写了自己的 QQ,或者注册时用的是 QQ 号 的那种邮箱,所以被关联上了。
最近一次涉及QQ的大规模泄露,应该是学习通数据库泄露后,出现了一次针对QQ的大规模撞库。
以下是我这几年被平台泄露的记录....怎么说呢,有点无奈。(数据来源是Bitwarden-报告-数据泄露)
这是一些比较知名的泄露,但我没涉及的
平安车险2020年前的反复泄露,那会儿还没买车,没我啥事。
JD的幸运躲过,JD这个颇有故事,黑产自己应聘多家公司的网络安全部门高管,目的就是窃取数据,直到在跳槽腾讯时被腾讯发现他的从业经历不对劲,后期内控监控发现他在尝试绕过监管获取用户信息,报警抓人,之前他曾经任职JD,一查,嚯....
最近的一次是学习通,都毕业这么多年了,也轮不到我.
这些数据可以相互关联得到新的数据
QQ-手机号:QQ关系库(得到手机号和QQ号的对应)
手机号-快递:JD、三通一达,菜鸟数据库,手机号-保险:保险数据库(得到手机号与住址的对应)
手机号-银行:金融数据库(得到手机号与实名对应)
整理一下就可以用QQ号直接查到实名信息了。
不过从上边的描述也能看出来,你的手机号和QQ号越新,你暴漏的越少,你同一个号用的越久,能关联到你的信息就越多。
至于有啥建议?
在任何平台尽可能少的填信息……尤其是那种“网课,培训,问卷调查”网站。