网易将数据泄露归咎于“撞库”是否明智?

2015-10-21 来源：凤凰新闻编辑：王春雪阅读量：

　　所谓“撞库”，是一种针对数据库的攻击方式，方法是通过攻击者所拥有的数据库的数据通攻击目标数据库可以理解为用户在A网站被盗的账户密码来登陆B网站，因为很多用户在不同网站使用的是相同的账号密码因此可以起到获取用户在B网站的用户账户从而达到目的。

　　就在上周有媒体报道网易邮箱被全面暴力破解，以网易邮箱注册或者与其关联的任何账号都受到安全威胁，包括苹果AppleID、微博、支付宝、百度云盘、游戏等。

　　但随后网易公司周末紧急发布辟谣声明，称经排查，网络谣传并不属实，网易邮箱数据库不存在被攻击和泄露的情况。不仅如此，网易公司将此次事件归咎于不法分子用其他网站泄露的账号密码“撞库”登录网易邮箱所造成。

　　当用作密保和资产及社交媒体账户的邮箱被破解，从虚拟到现实的所有信息、财产都有可能被洗劫。面对如此严重的潜在危险，网易的回应则是以通篇艰涩的专业语言将原因归结为“撞库”来撇清。

　　但是网易这样“粗暴”的做法真的明智吗?

　　据了解，这次的网易邮箱被暴力破解事件最早是从一名叫作“于公子”的知乎网友在网上爆料开始，他表示在10月13日6点自己的百度账号与暴雪战网密码一起被修改，时间相同。他还认为：“按以前的路数应该是有组织的批量修改，然后会向下游产业链出售，买家接手后逐个撞库，搜刮价值后再转手卖给需要个人信息的买家，还有91，1024什么的应该会有个井喷吧，愿度盘用户安好……”

　　和上述网友“于公子”的状况相同，不少将网易邮箱注册为百度账户用户名的网友均表示，自己的账户被修改。先破解网易邮箱，得到百度账户用户名，修改绑定邮箱，得到百度网盘权限。微博上实名认证为“互动百科移动产品经理”的网友“蓝翔精英李大栓”总结了破解过程：先破解网易邮箱，得到百度账户用户名，修改绑定邮箱，得到百度网盘权限。

　　乍一眼看去，也许不少人会认为，邮箱被破解能有多大事?在前互联网时代，邮箱可能只是储存信息、用于交流的工具，邮箱被破解大不了泄露邮件内容，而在邮箱已经用作资产关联账户并起到密码保护作用的数字时代，常用邮箱被全面破解几乎是涉及个人信息到财产安全的全方位核爆级安全事故。以此次事件爆发所涉的大量个案为例，如果泄露为真，最直接的影响就是以网易邮箱注册的或以其为密保邮箱的关联账户都将暴露无遗，包括游戏账户、百度云盘和微博，游戏账户可能被洗劫一空、百度云盘上的小电影都透明化、使用多年的微博可能被肆意清空篡改甚至用作僵尸号……如果这些虚拟世界的事情听起来还不够严重，想想用网易邮箱注册的支付宝账户和里面绑定了快捷支付的银行卡。而此次事件之所以会不断发酵，正是由于有不少苹果手机用户表示，自己使用网易邮箱绑定A ppleID的手机被锁并被擦除数据，对此有用户求证后称该问题最早集中出现在10月15日，被波及的用户共同点是全部都使用网易邮箱，时间恰恰是被传网易邮箱被暴力破解的次日，有用户甚至因此丢失所有上传云端iC loud的信息并要找苹果换一部新手机。

　　当年iPhone4出现了边框天线设计缺陷，乔布斯一开始也矢口否认，像网易将板子打在用户身上一样去责怪竞争对手，最终他仍承认错误并承诺任何对iPhone4不满意的都可以退，结果退货率反而更低。其实道理很简单，如果真的发生了这样的核爆级安全事故，用户不知情、不做防备只会让事态扩大，至不可收拾的境地又于网易何益?而如果确实没有泄露，明智的做法是用最通俗易懂的方式向用户解释，并给出密码修改、规避风险的详细安全提示。一味责怪用户使用相同密码，所有细致的安全提示都是第三方做的，等于在把用户推走。越是不懂的用户越会倾向于用一个邮箱注册所有账户，而他们通常不会使用高级密码，所以受到的影响是最大的，当有他们无法理解的风险存在，这些因不了解而忠实的用户也会最快地因不了解而离去。