1.3亿受害者中的我想和你谈谈@华住

Track-1   ·   发表于 2018-8-29   ·   黑客新闻

在昨天(8.28)上午,在“暗网”中文论坛的一篇帖子如同一枚深海炸弹,在整个互联网炸了锅,也让身陷其中的我惴惴不安。

简单来说,一位ID名为helen250的用户在该帖子中出售1.3亿国人在华住旗下酒店入住数据,总数约5亿条。

被售卖的数据分为三个部分:

1. 华住官网注册资料,包括姓名、手机号、邮箱、身份证号、登录密码等,大约 1.23 亿条记录

2. 酒店入住登记身份信息,包括姓名、身份证号、家庭住址、生日、内部ID号,约 1.3 亿人身份证信息

3. 酒店开房记录,包括内部 ID号、同房间关联号、姓名、卡号、手机号、邮箱、入住时间、离开时间、酒店ID号、房间号、消费金额等,约 2.4 亿条记录

发帖人声称,所有数据脱库时间是8月14日,每部分数据都提供10000条测试数据。所有数据打包售卖8比特币,按照当天汇率约合37万人民币。

在昨天下午,华住集团发布了如下声明

简单总结下:

1.  用户、自媒体的传播引起恶劣影响,请立即删除并停止传播相关信息

2.  我们非常重视,已迅速展开调查,包括网上售卖的信息是否来源于华住集团已开始核实

3.  售卖、传播个人信息,是违法犯罪行为

 

作为华住会会员的我;作为出差旅游优先选择入住华住酒店的我;有可能是1.3亿被泄露信息者中的我,同样对华住集团的声明做个简单的回答。

 

1.目前网络上的传播信息的确对华住集团造成了很大的负面影响,但个人认为,解决用户迫切关注的隐私安全问题是否应优先于处理负面公关呢?无论是用户还是自媒体的传播都是出于对自身隐私安全的担忧。

除此之外,我也关注了很多相关信息,其中确实存在某些报道或消息的真实性很难辨认,在之后的文章内容中我会一一指出其中疑点

2.从昨天这起信息泄露事件到现在已经过去了26小时,但官方仍未给出明确的回复,在本篇文章中,我们也已对网上售卖的内容进行了检测校对,可以提供参考。

3.对于信息售卖者和购买利用者来说,这是一种很严重的违法行为,我们确实应该竭尽所能的将犯罪者绳之以法。除此之外,就用户来说,哪些人会被影响,他们又有可能受到哪些威胁呢?这同样是他们极其关注的问题。

下面我将最新探索发现到的内容进行整理分享,希望不仅能帮助到这1.3亿被波及到的用户,也能帮助到华住以更好的方式去关注用户。

 

 一、影响范围

说“华住”这个词大家也许不太熟悉,那干脆说的明白点——华住酒店集团,国内第一家多品牌酒店集团,全球酒店20强,其在全国31省市,1119个城市里已经拥有近5162家酒店,旗下拥有多个酒店品牌,在这次的泄露事件中,汉庭、桔子、全季、美爵、禧玥、漫心、诺富特、美居、CitiGo、星程、宜必思、怡莱、海友等多家酒店都被包含在内

具体提到这些酒店大家可能已经觉得不再陌生,那我再在这里提一个数字——华住的忠诚度计划“华住会”已经吸引超过100000000会员。上亿会员,这是一个什么概念?如其官网所言——每十个国人,就有一个“住”客。

根据华住酒店集团公布的2017年第四季度及全年财报,我们做个简单的算数。华住当时在全国有379675间酒店客房,2017年华住酒店的间夜数占比87%。

什么是间夜数?

1个房间被使用1个晚上被记作1个间夜数。

每日实际入住房间数目 / 每日可供房间数目 = 酒店入住率

同理

每日可供房间数目 * 酒店入住率 = 每日实际入住房间数目

379675 * 87% = 330317.25

330317.25 * 1.5(我们这里暂且估计平均每个房间有1.5人入住)=495475.875

也就是说,平均每晚会有近50万人入住华住旗下酒店(这个数据还不包含白天的钟点房等,并且目前华住的酒店已经从不到4000个增长到了5162个)

那当这个数据被泄露,其波及影响到的范围可想而知。作为经常出差拥有华住会员并且一向选择入住华住旗下酒店的我,是否各种个人隐私信息已被挂在网上进行公开售卖了呢?

不仅包括我的入住时间、时长、地点、哪个房间、和谁入住、消费多少,还包括我的姓名、身份证、电话、邮箱、密码、家庭住址等等。

对于深陷这次信息泄露事件中的我,很难再漠然置之。这1.3亿的个人数据最终会流入谁手?我们的隐私信息泄露又会受到怎样的威胁?我想必须有个清楚的交代。

 

 二、真实性验证

这1.3亿的个人数据是在暗网上被公开售卖的,为什么售卖者能够如此明目张胆的“作案”而不被抓?

在探寻这起隐私泄露事件之前,我们先简单说下什么是暗网?

“暗网”,通常指只能用特殊软件、特殊授权、或对电脑做特殊设置才能连上的网络,其服务器地址和数据传输也通常是匿名、匿踪的。正因为暗网这样的特质,如果想知道在电脑另一端和你说话交易的是谁,几乎是一件不可能的事情,其匿名特质一旦被犯罪分子利用,尤其是与虚拟电子货币“比特币”相结合后,极易成为“罪恶天堂”。

在暗网上提供的各种“业务”,雇佣杀人、注射艾滋针、黄色产业、器官移植,这里的一切都超乎人的想象

在登陆暗网交易平台后,排在首页第一位的便是这篇华住信息售卖的帖子,在昨晚8点已有近4千的阅读量。

进入该帖后,我们首先对售卖者提供的一万条数据进行了下载测试,现将测试结果公布。

测试数据中的具体细节仅限用于测试数据的真实性

我们随机抽选了测试数据中的多条进行测试,从测试结果上来看,数据均为真实存在,并且其中提供的华住账户密码皆可成功登陆。

验证结果:

1.从账户密码的匹配正确性上来说,数据基本上都可以使用

2.我们通过数据交叉验证的方法进行检测,发现被泄露数据绝大部分为新数据,而非老数据混杂售卖

3.在被测试数据中,最低的住客年龄在95年,最近离店时间是8月13日

4.最重要的一点,这个暗网论坛的交易保证了商品的真实性。它类似于一个中间商,购买者需要先在平台上充值比特币进行购买,如果在支付后发现数据库是虚假的,可以在三天内向平台申诉退款,在这三天时间内比特币是由交易平台保管的。

基于以上四点,该份数据的真实性非常高。

在暗网的这篇帖中我们看到,售卖者声称这些数据拖库日期为8月14日。

什么是“脱裤”?

简单来说就是用技术将整个数据库从网上扒下来的过程。

 

三、数据只是把“菜刀”

从表面上看,暗网上的这个售卖者只是在简单的售卖信息而已,就这么一点操作空间吗?

事实并没有想象的那么简单吧,根据此类事件的历史案例来看,我总结了几个可能会上演的“剧本”。

角色:数据售卖者

 

1.  公开售卖数据,广泛宣传向黑产售卖(目前已在做)

2.  在售卖泄露数据前,通过买跌、做空来进行股票交易,获取暴利(28日华住美股盘前股价暴跌8%)

3.  通过炒作来让华住以更高的价格买断整个被泄露的数据库

4.  转为限时公开数据,勒索“开房记录删除赎金”

……

角色:数据购买者

 

这里人们难免会有疑问,真的会有人以37万的高价买入数据吗?可能在我们看来他们只是一堆涉及到的我们隐私的数据,而对于真正的黑产来说,这些数据可是真正的财宝。他们会通过买来的数据运用各种各样的方式赚取数百万上千万。

在我们实验室研究员之前潜入的黑产群中,这些做黑产的已经开始“疯狂”的讨论是否要进行购买,甚至提出了“团购”的提议。

我们从他们的聊天截图中抓取到一个他们不慎透露的SID,在进行越权登陆后,我们查探到他们的交易流程已进行到了使用telegram进行沟通交易的地步。

(telegram是一款俄罗斯的加密聊天软件,具有极高的安全性,很难被监控,经常被高级黑产用来进行聊天交易)

那黑产买到这些数据后怎么去加以利用呢,我举两个最最简单的例子:

1.  传统的电信诈骗、敲诈勒索,其中也包括利用开房记录、酒店的档次来进行更为精准的诈骗勒索(我们发现有类似一男两女的开房记录,并且有些是出现在高档酒店,这样的话根据这些数据便能进行高额勒索)

2.  撞库破解(利用已知的密码,对该用户其它关联账户的密码来进行破解,就此点我们建议用户更换掉相同的密码)

……

只是通过一些简单的猜想就已让人不寒而栗,在这整个环节中,数据售卖者担任的只是卖“菜刀”的角色,而这些菜刀被黑产买去做什么,我想这些售卖者心里一定有B数。

就以之前轰动一时的徐玉玉诈骗案为例,如果没有诈骗者购买到的5万条山东高考考生信息,徐玉玉又怎么会接到那通诈骗电话?一条鲜活年轻的生命又怎会猝然离世?

 

尔等贩者,可想自已手上沾血!若欲辩,是何异于刺人而杀之,曰:“非我也,兵也。”

 

 四、谣言or真相

在昨天我看到的众多报道里,各种消息参差不齐、难辨真假,这里我们暂且不讨论其背后目的,只探讨目前存在的这些消息的真伪。

数据库因github导致泄露?——尚未被证实,理性看待。

在事件当天发生后不久,网传疑似华住公司程序员将数据库连接方式上传至github导致其泄露,在有账号密码后进行“脱裤”行为较为简单。

我们顺着这条线索找到了该github项目,通过检测其工作日志,看到了这样的数据。

“created_at”: “2018-06-20T05:46:40Z”

从代码中我们看到该github用户在6月20号创建了账号,在审查他的github后,该用户仅创建了“酒店管理系统”项目,其项目名“DENGXIANGLONG001/CMS”就是被网传的包含账户密码的项目,再无其他行为。

该项目是20天前被传到了github上,而黑客拖库是在14天前,从时间轴上来看似乎吻合。

但仔细分析,可以看到该github用户的行为过于不合常规,他的行为十分单一,仅仅创建了一个项目,除此之外并无其它操作,并且该项目已在昨天被删除。这一切都仅仅是巧合吗我们在此难免要打上一个问号。

结合原帖中提到的“如果权限不丢失,后续数据还可以免费发给已购买的大佬”,如果仅仅是凭借账户和密码,是不可能持续提供数据更新的,除非有其他手段,这里添上两个问号??

从爆料的截图中不难发现,该用户的账号密码竟然是root和123456

???这里打三个问号,如果数据泄露真的是出于这位程序员之手,那他真是我所有认识的程序员中安全意识最差的了。

这个github项目中是否包含了华住会数据库的账号密码目前已无从考证,所以此网传消息还应理性看待。

 

数据价格从8个比特币降为1个——谣言!

 

目前有很多媒体和朋友圈都在报道这个降价事件,我们找到了被广泛传播的该图。

我们首先上到暗网查找这篇帖子,发现并无这篇帖子的更新,并且在原帖下并无降价通知。
 
通过朋友圈的不断问询溯源,我们找到了该图的制造者,证实了降价为谣言。

有人买到数据并且创建了“华住入住信息付费查询平台”——极大概率为虚假事件

下图是28号下午被网传的查询平台

从目前多方了解到的消息中,我们只追溯到了这一张图片,并没有提供相关服务的网址在传播。
 
数据打包售卖8比特币,按照当天汇率约合37万人民币,数据总量为5亿多条。试问,真的有人能在短短半天时间内凑齐如此多的钱,并且搭建一个数据量如此大的查询服务平台吗?

我们可以看到在暗网平台上有很多被售卖的同类数据,类似于之前顺丰、51job等平台信息的泄露都在该暗网平台内被售卖,但此次数据量之大、信息之全是难以想象的。

目前,警方已经介入调查该案件,一旦最终数据被证实为真,这将是在5年内规模最大且最严重的个人信息泄露事件。当被告知个人详细信息遭到泄露后,人们丢失的不仅是安全感,更会因面对随时有可能受到的威胁而惶恐不安。

 
华住会一直打造的是为漂泊他乡之人提供一个安全港湾的形象,但如果当用户开始质疑其安全时,这里还能成为异乡人的家吗?

 

安全感一直都被存放在人内心深处,我们且称其为安心。这颗心曾经火热地揣在胸膛里,滚烫得无处安放,急不可待地找人分享这温度,从没想过它也有一天会冷却,冷到我们只得自己环紧自己,小心翼翼,唯恐连这仅有的暖意也守不住。

本文由安全客原创发布                                
转载自安全客 - 有思想的安全新媒体


打赏我,让我更有动力~

0 Reply   |  Until 2018-8-29 | 261 View
LoginCan Publish Content

掌控者 © 2016. All Rights Reserved. 掌控者

Powered by 掌控者 Version 2.1.3