近日，暗網(wǎng)出現(xiàn)一則出售“5.38億微博用戶綁定手機(jī)號(hào)數(shù)據(jù)”的交易信息。經(jīng)安全圈人士驗(yàn)證，部分測試數(shù)據(jù)屬實(shí)。
對(duì)此，微博安全總監(jiān)羅詩堯回應(yīng)稱，這些手機(jī)號(hào)是2019年通過通訊錄上傳接口被暴力匹配的，內(nèi)部發(fā)現(xiàn)后第一時(shí)間已報(bào)警。
多個(gè)安全監(jiān)測平臺(tái)監(jiān)控到，有暗網(wǎng)用戶于3月4日發(fā)布了一則名為“5.38億微博用戶綁定手機(jī)號(hào)數(shù)據(jù)，其中1.72億有賬號(hào)基本信息”的交易信息，售價(jià)1388美元。其中綁定手機(jī)數(shù)據(jù)包括用戶ID和手機(jī)號(hào)，賬號(hào)基本信息包括昵稱、頭像、粉絲數(shù)、所在地等。
安全監(jiān)測平臺(tái)監(jiān)控到的暗網(wǎng)交易信息。
該用戶在商品描述中稱，上述信息“均為2019年中左右抓取”，并給出400條綁定手機(jī)號(hào)的測試數(shù)據(jù)，以及1500條賬號(hào)基本信息的測試數(shù)據(jù)。
18日晚，默安科技創(chuàng)始人兼CTO云舒發(fā)博提及此事。很快，微博CEO王高飛（@來去之間）回復(fù)稱“是2014年以前網(wǎng)易那次撞庫的”。
但是，有網(wǎng)友給云舒留言稱，自己的微博是2019年7月份注冊(cè)的，也可以查到綁定的手機(jī)號(hào)。一位資深安全人士也告訴南都記者，據(jù)他所知，有人查到了2018年10月底注冊(cè)的微博賬號(hào)。
隨后，微博安全總監(jiān)羅詩堯發(fā)博回應(yīng)。他說，此次泄露的手機(jī)號(hào)是“2019年通過通訊錄上傳接口被暴力匹配的，其余公開信息都是網(wǎng)上抓來的”，并否認(rèn)是脫庫（直接從數(shù)據(jù)庫中導(dǎo)出數(shù)據(jù)），因?yàn)橐恍╆P(guān)鍵字段沒有被放出來。
針對(duì)保護(hù)用戶信息不力的質(zhì)疑，他表示，微博內(nèi)部發(fā)現(xiàn)異常后“馬上堵住了口子”，第一時(shí)間報(bào)了警，取證后把相關(guān)信息交給了警方，且一直在追查網(wǎng)上售賣信息的黑灰產(chǎn)。
上述資深安全人士向南都記者解釋，通訊錄匹配是很多社交軟件都有的功能，可以看做變相的爬蟲。
它可以通過獲取用戶手機(jī)的通訊錄接口，讀取聯(lián)系人的手機(jī)號(hào)并進(jìn)行匹配，有的還可以偽造某個(gè)字段的所有號(hào)碼，比如13900000001-13900001000，依次枚舉對(duì)照。
“微博可能沒有對(duì)這個(gè)接口做監(jiān)控和風(fēng)控，導(dǎo)致個(gè)人信息數(shù)據(jù)泄露”，他指出，如果關(guān)聯(lián)出了用戶ID到手機(jī)號(hào)，本質(zhì)就屬于個(gè)人信息的“重標(biāo)識(shí)”了。“企業(yè)有義務(wù)防范和監(jiān)控這樣的數(shù)據(jù)泄露風(fēng)險(xiǎn)，就和監(jiān)控?cái)?shù)據(jù)爬蟲一樣?！?/p>
南都記者了解到，最新版《信息安全技術(shù) 個(gè)人信息安全規(guī)范》要求，發(fā)生安全事件后，個(gè)人信息控制者應(yīng)及時(shí)將事件相關(guān)情況告知受影響的個(gè)人信息主體；如難以做到，也應(yīng)發(fā)布警示信息。
“按照個(gè)人信息數(shù)據(jù)泄露的相應(yīng)要求，是應(yīng)該通知數(shù)據(jù)被泄露的個(gè)人的”，但他同時(shí)表示，這屬于警方判斷，不過就算不是脫庫，這么多個(gè)人信息數(shù)據(jù)泄露也是事實(shí)。
截至發(fā)稿，云舒發(fā)布的多條相關(guān)微博或被限流已不可見，羅詩堯也刪除了留言。
采寫：南都記者蔣琳
