近日，暗網(wǎng)出現(xiàn)一則出售“5.38億微博用戶綁定手機號數(shù)據(jù)”的交易信息。經(jīng)安全圈人士驗證，部分測試數(shù)據(jù)屬實。
對此，微博安全總監(jiān)羅詩堯回應(yīng)稱，這些手機號是2019年通過通訊錄上傳接口被暴力匹配的，內(nèi)部發(fā)現(xiàn)后第一時間已報警。
多個安全監(jiān)測平臺監(jiān)控到，有暗網(wǎng)用戶于3月4日發(fā)布了一則名為“5.38億微博用戶綁定手機號數(shù)據(jù)，其中1.72億有賬號基本信息”的交易信息，售價1388美元。其中綁定手機數(shù)據(jù)包括用戶ID和手機號，賬號基本信息包括昵稱、頭像、粉絲數(shù)、所在地等。
安全監(jiān)測平臺監(jiān)控到的暗網(wǎng)交易信息。
該用戶在商品描述中稱，上述信息“均為2019年中左右抓取”，并給出400條綁定手機號的測試數(shù)據(jù)，以及1500條賬號基本信息的測試數(shù)據(jù)。
18日晚，默安科技創(chuàng)始人兼CTO云舒發(fā)博提及此事。很快，微博CEO王高飛（@來去之間）回復(fù)稱“是2014年以前網(wǎng)易那次撞庫的”。
但是，有網(wǎng)友給云舒留言稱，自己的微博是2019年7月份注冊的，也可以查到綁定的手機號。一位資深安全人士也告訴南都記者，據(jù)他所知，有人查到了2018年10月底注冊的微博賬號。
隨后，微博安全總監(jiān)羅詩堯發(fā)博回應(yīng)。他說，此次泄露的手機號是“2019年通過通訊錄上傳接口被暴力匹配的，其余公開信息都是網(wǎng)上抓來的”，并否認(rèn)是脫庫（直接從數(shù)據(jù)庫中導(dǎo)出數(shù)據(jù)），因為一些關(guān)鍵字段沒有被放出來。
針對保護(hù)用戶信息不力的質(zhì)疑，他表示，微博內(nèi)部發(fā)現(xiàn)異常后“馬上堵住了口子”，第一時間報了警，取證后把相關(guān)信息交給了警方，且一直在追查網(wǎng)上售賣信息的黑灰產(chǎn)。
上述資深安全人士向南都記者解釋，通訊錄匹配是很多社交軟件都有的功能，可以看做變相的爬蟲。
它可以通過獲取用戶手機的通訊錄接口，讀取聯(lián)系人的手機號并進(jìn)行匹配，有的還可以偽造某個字段的所有號碼，比如13900000001-13900001000，依次枚舉對照。
“微博可能沒有對這個接口做監(jiān)控和風(fēng)控，導(dǎo)致個人信息數(shù)據(jù)泄露”，他指出，如果關(guān)聯(lián)出了用戶ID到手機號，本質(zhì)就屬于個人信息的“重標(biāo)識”了?！捌髽I(yè)有義務(wù)防范和監(jiān)控這樣的數(shù)據(jù)泄露風(fēng)險，就和監(jiān)控數(shù)據(jù)爬蟲一樣?！?/p>
南都記者了解到，最新版《信息安全技術(shù) 個人信息安全規(guī)范》要求，發(fā)生安全事件后，個人信息控制者應(yīng)及時將事件相關(guān)情況告知受影響的個人信息主體；如難以做到，也應(yīng)發(fā)布警示信息。
“按照個人信息數(shù)據(jù)泄露的相應(yīng)要求，是應(yīng)該通知數(shù)據(jù)被泄露的個人的”，但他同時表示，這屬于警方判斷，不過就算不是脫庫，這么多個人信息數(shù)據(jù)泄露也是事實。
截至發(fā)稿，云舒發(fā)布的多條相關(guān)微博或被限流已不可見，羅詩堯也刪除了留言。
采寫：南都記者蔣琳
