學(xué)習(xí)通網(wǎng)頁(yè)版

6月21日消息，近日網(wǎng)絡(luò)上突然流出一張截圖，并在各大平臺(tái)被迅速大范圍傳播，截圖顯示：“賣學(xué)習(xí)通數(shù)據(jù)”，“共 1 億 7273 萬(wàn)條”，“含密碼 1076 萬(wàn)”，“1.2 萬(wàn)人民幣”。

據(jù) M78 安全團(tuán)隊(duì)公眾號(hào)昨日發(fā)文稱，大學(xué)生學(xué)習(xí)軟件超星學(xué)習(xí)通的數(shù)據(jù)庫(kù)信息正在被黑客在非法渠道公開售賣，具體情況暫時(shí)不詳。其中被兜售的數(shù)據(jù)包含姓名、手機(jī)號(hào)、性別、學(xué)校、學(xué)號(hào)、郵箱等信息 1 億 7273 萬(wàn)條。隨后，#學(xué)習(xí)通數(shù)據(jù)庫(kù)疑發(fā)生信息泄露#沖上微博熱搜。

目前該公眾號(hào)已經(jīng)將該文章刪除，并且發(fā)布了一條消息稱，關(guān)于某星學(xué)習(xí)通數(shù)據(jù)庫(kù)疑發(fā)生信息泄露相關(guān)信息由我司相關(guān)安全研究員首發(fā)披露，介于事件正在調(diào)查過(guò)程中，為避免引發(fā)輿論過(guò)度關(guān)注，文章在昨天下午已刪除。相關(guān)問(wèn)題暫時(shí)不予回復(fù)，相關(guān)部門已介入調(diào)查。

據(jù)了解，微博上有大量超星學(xué)習(xí)通用戶稱，近日有外地的手機(jī)號(hào)給自己發(fā)信息、打電話，甚至有用戶反映，自己前幾天就接到了境外詐騙電話，對(duì)方能報(bào)出自己的身份證號(hào)、知道自己有支付寶學(xué)生認(rèn)證。

有網(wǎng)友在社交媒體表示：要命！這是大學(xué)校園非常普及的APP！可上課可考試，學(xué)生不但要開麥開視頻，還要錄屏錄聲音，考試還要出示身份證…然后你嘎嘣一下近兩億條信息泄露了？

隨后，更是有不少網(wǎng)友紛紛曬出疑似各大高校發(fā)布關(guān)于學(xué)習(xí)通數(shù)據(jù)庫(kù)泄露的相關(guān)通知。通知顯示：

接教育網(wǎng)重要通知，超星學(xué)習(xí)通已確認(rèn)被拖庫(kù)，確認(rèn)泄露的數(shù)據(jù)包含機(jī)構(gòu)名、學(xué)校、學(xué)號(hào)、手機(jī)號(hào)、性別、密碼、郵箱等信息177273萬(wàn)條。涉及全國(guó)大量高校，應(yīng)急安全響應(yīng)為A級(jí)。如果您其他系統(tǒng)密碼與超星學(xué)習(xí)通密碼一致，請(qǐng)盡快修改為新密碼，嚴(yán)防撞庫(kù)對(duì)自己產(chǎn)生更大危害，謹(jǐn)防詐騙。

有媒體報(bào)道，疑似此次學(xué)習(xí)通數(shù)據(jù)庫(kù)泄露涉及的學(xué)校數(shù)量眾多，不僅包括全國(guó)各地的高等院校，還涉及多個(gè)幼兒園、中小學(xué)等教育機(jī)構(gòu)。據(jù)悉，拖庫(kù)也被認(rèn)為是該軟件內(nèi)部服務(wù)器上保存的用戶信息被人打包下載，然后去與用戶其他系統(tǒng)的賬號(hào)“撞庫(kù)”，即一個(gè)一個(gè)嘗試姓名密碼組合，直到破解對(duì)方其他賬號(hào)的密碼。

21日下午，學(xué)習(xí)通官方賬號(hào)發(fā)布《關(guān)于“疑似學(xué)習(xí)通用戶數(shù)據(jù)泄露”傳聞的聲明》，聲明稱：我公司昨晚收到“疑似學(xué)習(xí)通APP用戶數(shù)據(jù)泄露”的反饋信息，立即組織技術(shù)排查，目前排查工作已經(jīng)進(jìn)行了十余個(gè)小時(shí)，到目前為止還未發(fā)現(xiàn)明確的用戶信息泄露證據(jù)。鑒于事情重大，我們已經(jīng)向公安機(jī)關(guān)報(bào)案，公安機(jī)關(guān)已經(jīng)介入調(diào)查。

學(xué)習(xí)通不存儲(chǔ)用戶明文密碼，采取單向加密存儲(chǔ)，理論上用戶密碼不會(huì)泄露，在這種技術(shù)手段下即使公司內(nèi)部員工（包括程序員）也無(wú)法獲得密碼明文。公司確認(rèn)網(wǎng)上傳言密碼泄露是不實(shí)的。用戶信息安全是重大問(wèn)題，我公司高度重視，將協(xié)助公安機(jī)關(guān)繼續(xù)深入調(diào)查，全力保障用戶信息和數(shù)據(jù)安全。

值得一提的是，在2020年就有用戶投訴學(xué)習(xí)通要求開啟各種權(quán)限，甚至私自截取用戶屏幕，質(zhì)疑其嚴(yán)重侵犯?jìng)€(gè)人隱私，并擔(dān)憂在是否是大量竊取用戶信息。

企查查APP顯示，超星學(xué)習(xí)通關(guān)聯(lián)公司北京世紀(jì)超星信息技術(shù)發(fā)展有限責(zé)任公司成立于2000年1月，注冊(cè)資本3000萬(wàn)，法定代表人付國(guó)明。經(jīng)營(yíng)風(fēng)險(xiǎn)信息顯示，該公司曾多次因違規(guī)收集、使用個(gè)人信息被信息通信管理局督促整改。

招投標(biāo)信息顯示，該公司曾中標(biāo)2000多家大學(xué)、圖書館、政府機(jī)構(gòu)等項(xiàng)目。其中今年以來(lái)該公司已有300條中標(biāo)信息，服務(wù)對(duì)象包括河南科技學(xué)院、云南中醫(yī)藥大學(xué)、浙江金融職業(yè)學(xué)院、上海財(cái)經(jīng)大學(xué)浙江學(xué)院、山東旅游職業(yè)學(xué)院等。

什么是拖庫(kù)？

據(jù)了解，拖庫(kù)本來(lái)是數(shù)據(jù)庫(kù)領(lǐng)域的術(shù)語(yǔ)，指從數(shù)據(jù)庫(kù)中導(dǎo)出數(shù)據(jù)。

原本這么單純的事，在不法黑客多次攻擊事件之后，被用來(lái)指不法黑客入侵有價(jià)值的網(wǎng)絡(luò)站點(diǎn)，把注冊(cè)用戶的資料數(shù)據(jù)庫(kù)全部盜走的行為。

而拖庫(kù)的步驟通常為：

一，黑客對(duì)目標(biāo)網(wǎng)站進(jìn)行掃描，查找其存在的漏洞，常見漏洞包括SQL注入、文件上傳漏洞等。

二，通過(guò)該漏洞在網(wǎng)站服務(wù)器上建立“后門(webshell)”，通過(guò)該后門獲取服務(wù)器操作系統(tǒng)的權(quán)限。

三，利用系統(tǒng)權(quán)限直接下載備份數(shù)據(jù)庫(kù)，或查找數(shù)據(jù)庫(kù)鏈接，將其導(dǎo)出到本地。

除了拖庫(kù)外，還有撞庫(kù)、洗庫(kù)、社工庫(kù)等名詞。

其中，撞庫(kù)指使用大量的一個(gè)網(wǎng)站的賬號(hào)密碼，去另一個(gè)網(wǎng)站嘗試登陸。洗庫(kù)是，黑客入侵網(wǎng)站在取得大量的用戶數(shù)據(jù)之后，通過(guò)一系列的技術(shù)手段和黑色產(chǎn)業(yè)鏈將有價(jià)值的用戶數(shù)據(jù)變現(xiàn)。而社工庫(kù)則是黑客將獲取的各種數(shù)據(jù)庫(kù)關(guān)聯(lián)起來(lái)，對(duì)用戶進(jìn)行全方位畫像。

值得注意的是，這些“庫(kù)”還可以形成一個(gè)黑色產(chǎn)業(yè)鏈：

黑客入侵A網(wǎng)站后對(duì)網(wǎng)站拖庫(kù)，拿到的數(shù)據(jù)可以存到自己的社工庫(kù)里，也可以直接洗庫(kù)變現(xiàn)。拿到的這部分?jǐn)?shù)據(jù)再去B網(wǎng)站嘗試登陸，而這就可以稱之為是撞庫(kù)。撞庫(kù)后的數(shù)據(jù)可以繼續(xù)存入社工庫(kù)，或是洗庫(kù)變現(xiàn)，以此循環(huán)...

據(jù)雷峰網(wǎng)了解，拖庫(kù)的危害通常超乎我們的想象。

根據(jù)資料顯示，部分網(wǎng)民習(xí)慣為郵箱、微博、游戲、網(wǎng)上支付、購(gòu)物等帳號(hào)設(shè)置相同密碼，一旦數(shù)據(jù)庫(kù)被泄漏，所有的用戶資料被公布于眾，任何人都可以拿著密碼去各個(gè)網(wǎng)站去嘗試登錄，對(duì)一些敏感的金融行業(yè)是致命的危害，對(duì)普通用戶可能造成財(cái)產(chǎn)，個(gè)人隱私的損失或泄漏。

早在2011年，就有多家互聯(lián)網(wǎng)站被黑客公開用戶數(shù)據(jù)庫(kù)，超過(guò)5000萬(wàn)個(gè)用戶帳號(hào)和密碼在網(wǎng)上流傳。

2011年12月21日，某專業(yè)網(wǎng)站數(shù)據(jù)庫(kù)開始在網(wǎng)上被瘋狂轉(zhuǎn)發(fā)，包括600余萬(wàn)個(gè)明文的注冊(cè)郵箱和密碼泄露，大批受影響用戶為此連夜修改密碼。此后，178游戲網(wǎng)等5家網(wǎng)站用戶數(shù)據(jù)庫(kù)又相繼公開，更有媒體曝光金山毒霸等數(shù)十家大型網(wǎng)站已遭黑客“拖庫(kù)”，從而將2011年末的密碼危機(jī)推向高峰。

2015年10月17日，有微博用戶發(fā)文稱，網(wǎng)易郵箱被暴力破解，網(wǎng)易隨后在官方微博上做出回應(yīng)，稱此系“撞庫(kù)”所致，即黑客通過(guò)收集互聯(lián)網(wǎng)中已泄露的用戶和密碼信息，嘗試批量登錄其他網(wǎng)站。19日下午，網(wǎng)站安全漏洞發(fā)現(xiàn)者烏云平臺(tái)用戶“路人甲”發(fā)布了《網(wǎng)易163/126郵箱過(guò)億數(shù)據(jù)泄密》，報(bào)告稱，泄露信息包括用戶名、密碼、密碼保護(hù)信息、登錄IP以及用戶生日等多個(gè)原始信息，影響數(shù)量總共近5億條。網(wǎng)易免費(fèi)郵箱官方微博于19日發(fā)出再次回應(yīng)，稱網(wǎng)易郵箱不存在自身數(shù)據(jù)泄露問(wèn)題。

但隨后，國(guó)家互聯(lián)網(wǎng)應(yīng)急中心通報(bào)證實(shí)，確有網(wǎng)易郵箱數(shù)據(jù)遭泄露，泄露的數(shù)據(jù)中包括一個(gè)郵箱賬號(hào)、郵箱密碼的MD5、密保問(wèn)題以及密保答案的MD5。