微博 5 亿数据被泄露了解的人进来讨论讨论

太币

比特币

社工

讨论

81 条回复 • 2023-07-11 15:36:19 +08:00

1

d5

2020-03-21 10:31:03 +08:00

4

1.这个 bot 曾上 cctv
2.相对安全，拿以太坊举例，bot 通过生成 eth 钱包地址，让用户转账捐赠，通过以太坊浏览器接口查询该地址的余额情况，实现起来很简单。出金的时候，通过转账到中心化交易所混淆，最后达到匿名转出的目的
3.泄露情况超乎想象，网上什么都有

2

cabing

2020-03-21 10:32:14 +08:00

3

@d5 感觉上网都是在裸奔。不管干啥，老祖宗说的好：慎言慎行。

3

d5

2020-03-21 10:42:26 +08:00

2

@cabing 是的是的，老祖宗说的对，谨言慎行，不要随意开口水炮，真实交流不做亏心操作就行了。不然稍微懂点技术的人有意扒你，基本跑不掉。

4

uqf0663

2020-03-21 10:51:26 +08:00

还有社工机器人？叫啥？我去添加查查我的泄漏了没

5

7654

2020-03-21 10:52:28 +08:00

什么鬼，有牌牌的虫子？

6

locoz

2020-03-21 10:54:02 +08:00 via Android

3

1、因为管不着 tg，境外 app
2、相对于支付宝之类实名的东西当然安全非常多啊，随便就能新建一个账号用来收款。而且数字货币同样有做洗币的，有前面那一点的加持，效果更爆炸。
3、几乎所有厂商都被搞过，只是有没有被爆出来而已，间隔几年被放出一堆数据的情况比比皆是。所以密码不要多次使用、出事情了赶紧改密码，可以的话绑的手机号也最好是个注册用的非实名号，提前预防。

7

tmado

2020-03-21 11:26:34 +08:00 via iPhone

查了下，之前养成一年换一号的习惯还是可以的

8

KIzuN1

2020-03-21 11:28:26 +08:00

韭菜肉韭菜根本不会管，甚至还能创收，肉辶就不好说了

9

wxcszh

2020-03-21 11:29:28 +08:00

无语了，昨天喊我对象去改密码，他说就算被搞也会是先弄那些有名的人，不会去弄他的，他这么默默无闻，不会有人盗号的。。。mmp

10

aabbcc112233

2020-03-21 11:30:50 +08:00 via Android

慌张的应该是那些大 V 和明星了，咱们小老百姓就算了吧。微博名誉扫地。

11

kernelpanic

2020-03-21 11:47:18 +08:00

不止 Facebook。。twitter，telegram 都被通讯录漏洞攻击过

12

chanchan

2020-03-21 11:55:35 +08:00

6

所以之前大家的账号并没有被买赞,大家的账号真的是被盗了而已,新浪清白了 /doge

13

iiusky

2020-03-21 11:59:06 +08:00 via Android

你在微博说这个事情会被封号哦，因为你说了对微博不利的消息🤣😂

14

snw

2020-03-21 12:03:53 +08:00 via Android

微博漏洞太正常了，前段时间又被自动大量加关注。这问题都多少年了，大概祖传代码没法救。

15

swulling

2020-03-21 12:10:17 +08:00

8

> 1 这个 TG 的社工机器人为什么到现在还没有被封掉？
因为管不到，而且机器人没有任何成本，要多少有多少。哪怕被举报了，随时可以替换

> 2 以太币和比特币交易真的就完全安全？
世界上没有完全安全，但是混淆太容易，要解决此事的成本高到没有国家 or 组织会为了这个事情去做。
目前查询价格转换为人民币大约 10 块钱一次，还是很便宜的，对有追踪特定目标的需求来说。

> 3 新浪的安全这块是不是有漏洞？合法授权然后被抓取的那种，类似 facebook 经历。

新浪的联系人匹配接口被人大规模利用了，方法很简单，就是喂给新浪一个随机手机号，看他匹配出的微博 ID 是那个。通过大规模穷举这个接口，就得到了微博 ID 和手机号的对应关系。
而 TG 提供的其他信息，应该是之前别的社工库交叉查询的结果，本次新浪只泄漏了全部 ID 和手机号的对应关系。

16

WillZhangGZ

2020-03-21 12:18:38 +08:00 via Android

2

歐盟: GDPR 罰款到手加州：CCPA 罰款到手

17

littiefish

2020-03-21 12:21:04 +08:00 via iPhone

@locoz 听说过四件套，八件套没？

18

littiefish

2020-03-21 12:22:46 +08:00 via iPhone

@aabbcc112233 你一个小老百姓几毛。几亿个，这钱就多了。都这么想，没有一片雪花是无辜的

19

est

2020-03-21 12:25:54 +08:00 via Android

中国

20

est

2020-03-21 12:26:31 +08:00 via Android

2

很多中国人有个毛病就是自己不想看到的东西就希望封掉让别人也看不到

21

justlgx

2020-03-21 12:30:42 +08:00

自从微博莫名其妙把我的号封了，必须要人脸识别+实名验证才能解封之后，我就没用过微博了。

我的微博帐号是我某个邮箱，密码不和别的重复，微博里也没有我什么生活痕迹，所以我还不怎么担心。

22

wangkq

2020-03-21 13:07:02 +08:00 via Android

@iiusky 那不是正好，反正信息泄露了，注销太慢了🐶

23

Agnie

2020-03-21 13:15:19 +08:00

我的是 GV 号随便泄露

24

tdzs2006

2020-03-21 13:22:46 +08:00 via Android

1

@Agnie 单纯请问一下哈，国内账号绑定 gv 号，这样不就让国内账号和谷歌号联系起来了吗。。。我觉得国内账号和国外账号相互独立比较好。。。

25

Agnie

2020-03-21 13:27:39 +08:00

2

@tdzs2006 因为 GV 号也是小号.😉

26

TypeError

2020-03-21 13:27:44 +08:00

27

TypeError

2020-03-21 13:28:46 +08:00

网络流传的截图不知道是不是真的来去之间

28

Agnie

2020-03-21 13:31:33 +08:00

@TypeError 准确的说,拿二手资料来看目前只说是手机号的呢. 我记得有人还发了这些图片

29

tdzs2006

2020-03-21 13:33:45 +08:00 via Android

@TypeError 那些微博大 V 就很难受呀。。。

30

locoz

2020-03-21 14:05:12 +08:00 via Android

@littiefish #17 能防一点是一点嘛🤣

31

OrangeM21

2020-03-21 14:31:23 +08:00

2

夹去之间说了这么多，就是没有一句道歉？

32

laydown

2020-03-21 14:44:12 +08:00

哈哈，国内服务都挺傻逼的。

33

violetlai

2020-03-21 14:46:29 +08:00

还好不玩微博

34

love

2020-03-21 14:54:02 +08:00

又不是带密码，意义不大

35

jin7

2020-03-21 15:12:08 +08:00

微博注册的姓名和身份证全都泄露了吗?????????
是不是真的还是只泄露了手机号其他***的是假的

36

kernelpanic

2020-03-21 15:17:11 +08:00

@love 意义不大？所有明星网红的手机号都泄露了，这算是国内最严重的信息泄露事件了！

37

love

2020-03-21 15:22:15 +08:00 via Android

@kernelpanic 然后呢，你拿到这个手机号想干啥

38

zchzch1014

2020-03-21 15:30:23 +08:00

@jin7 #35 只有手机号

39

Telegram

2020-03-21 16:21:18 +08:00

@OrangeM21 #31 就是，照他的意思来说，就是密码没泄露，问题不大，我们不道歉，反正拿去也没用。

40

txx

2020-03-21 16:36:31 +08:00

1

这事情是这样的，黑产们有一个手机号对应的各种社工库，然后微博有个功能，注册微博账号绑定通讯录，获取好友的功能，这个 API 被拉出来套在了这个社工库上。

41

Kahnn

2020-03-21 16:40:03 +08:00

3

拿到手机号可以干很多事啊，比如哪天微博上你正跟人撕逼，然后对方查到你手机号，再结合其他社工库数据，基本上你的邮箱、身份证号、开房数据、QQ 号、QQ 群关系全都有可能查到

42

hanqian

2020-03-21 16:47:08 +08:00

这种数据多到一定程度，只要不是一手的，就很难说清楚来源了，包括现在市场上卖的也肯定都是整理过的，很难确定责任归属了

43

Chaning

2020-03-21 17:24:11 +08:00

监控车欠件，还讨论啥

44

sobigfish

2020-03-21 18:14:00 +08:00

结果到今天微博仍不能改手机号（邮箱地址）大概是直接拿来当主键了

45

monkeydev

2020-03-21 18:25:26 +08:00

@txx 吓总，最近在忙啥

46

QUIOA

2020-03-21 19:02:18 +08:00 via Android

@sobigfish 注销还要手持身份证:)

47

lqmrt

2020-03-21 20:49:28 +08:00 via iPhone

1

看了一下 tg 群里的反应，泄漏的信息都是好几年前的，还有部分人压根就没泄漏啥，暂时没发现某些大 v 被扒出来讨论。现在挺害怕当时自己注册了挺多自媒体账号还是手持身份证验证那些😭

48

darluc

2020-03-21 21:24:24 +08:00

说大了这就是不负责任的卖国行为

49

pandasoda

2020-03-21 22:18:22 +08:00

@sobigfish 修改手机号比较难但是可以通过人工改

50

vocaloidchina

2020-03-21 22:45:15 +08:00

18

1.在网上不要怼人
2.
（ 1 ）如果要怼人请新建一块 vhd
（ 2 ）使用 bitlocker
（ 3 ）在里面安装 Windows10 最新版并且打好补丁
（ 4 ）使用至少两重 SSR 代理出去
（ 5 ）用 Tor 设置前面两重代理为前置代理
（ 6 ）注册邮箱使用 10 分钟邮箱，注册手机号使用临时手机号（+86 也是有的）
（ 7 ）使用随机字符生成器生成一个用户名和密码
（ 8 ）发布的怼人内容使用谷歌翻译翻译过去在翻译回来
（ 9 ）静候 30min 再点击发送

51

JJustWe

2020-03-21 22:45:41 +08:00

好奇我没有实名认证过，为啥真实姓名也被脱裤了。。。

52

Zheming

2020-03-21 22:52:07 +08:00 via iPhone

1

这个库的数据可以说是能见到的里面相当全的了。亲测查到了最多三年以内的新数据。只能说无能为力，诚惶诚恐

53

jarnanchen

2020-03-22 00:39:39 +08:00

数据应该说非常全了
基本上常使用互联网服务（不限于微博）的朋友，个人信息都是裸奔状态

54

alphatoad

2020-03-22 03:35:21 +08:00

我怀疑那个社工库有中国联通的数据，有一个地址在我印象范围内只给过联通

55

tuobatian

2020-03-22 06:16:12 +08:00

TG 那个机器人我试了下，确定了。
根据微博昵称可以得到真是姓名，身份证号，地址，手机号码，密码。
大家改密码吧

56

cnyang

2020-03-22 07:23:32 +08:00

这种东西都能卖钱，看来我真不是经商的料，唉

57

christin

2020-03-22 08:26:31 +08:00 via iPhone

我用免费的 1 次都能查出来明文手机号这个号是在三年以内注册的以后要定期扔号了

58

PhyllisLin

2020-03-22 08:48:25 +08:00 via Android

@christin 怎么免费查？

59

zanrenXu

2020-03-22 09:20:58 +08:00

@tuobatian 免费查一次吗？我输进去没啥反应😄

60

Windelight

2020-03-22 09:26:05 +08:00 via Android

其实只要有人愿意做，所有 app 里，包括 QQ 微信微博等等，这种带有“从手机号匹配好友”功能的 app，都可以穷举出所有手机号和其帐号之对应关系。虽然三家运营商将近半百的号段对应了 50 亿条规则，但是其中很多都还是无效的，踢出各种规则，再加一个三家的特定地区中间四位也特定，只要有人想要，还就不是一个难事。

61

Telegram

2020-03-22 09:52:27 +08:00

@PhyllisLin #58
@zanrenXu #59
点开那个机器人，随便发个东西，他会让你加群后再查，你加完群，就可以使用了。
直接发需要查的手机号，或者对方微博 oid 号，就会回复你查到的东西。
一般没充值的一天可以查 5-6 次的样子吧，具体没数

62

bigyezi

2020-03-22 09:57:15 +08:00 via Android

@Telegram 请教一下，哪里可以找到这个 bot 的 tg 链接，我想摸一摸自己的屁股

63

Telegram

2020-03-22 10:04:36 +08:00

@bigyezi #62 https://t.me/shegongkubot
这个

64

bigyezi

2020-03-22 10:11:10 +08:00 via Android

@Telegram 感谢

65

snw

2020-03-22 10:14:50 +08:00 via Android

@TypeError
这个洗地负分。
拿到的不是微博昵称，而是微博账号，意味着可以根据历史微博精准投放广告、诈骗信息、恐吓信息，比手机号随意投放的价值高几个数量级。

66

MelodyCat

2020-03-22 10:17:57 +08:00 via Android

不以为意的去查一下，qq 号输完不过瘾再查下微博，绝对震惊（怕了怕了

67

labulaka521

2020-03-22 11:07:03 +08:00 via Android

震惊!我绝对改掉我所有的密码😰😰😰

68

labulaka521

2020-03-22 11:07:10 +08:00 via Android

@labulaka521 决定

69

lmmortal

2020-03-22 11:19:37 +08:00 via iPhone

用了楼上的 bot，查出来过去用过的三个密码幸亏我改密码比较勤快，不过真实姓名手机号什么的还是暴露了

70

shuqin2333

2020-03-22 15:14:21 +08:00

真是讽刺

71

shuqin2333

2020-03-22 15:15:21 +08:00

微博安全中心发微博：

72

hhyvs111

2020-03-22 15:17:16 +08:00

用了一下这个社工，感觉个人隐私已经暴露无遗了，如果碰到想搞你的人简直就是裸体状态。平时嘴上说着隐私不重要，真的发现自己隐私泄露了还是很慌的。

73

shuqin2333

2020-03-22 15:17:46 +08:00

1

有关“微博用户信息被出售事件”的说明

近日有报道称，微博用户信息在暗网上被出售，涉及信息包括手机号、密码等。对此，站方说明如下：
1.自 2011 年以来，微博一直提供查询通讯录好友微博昵称的服务，用户授权后可以使用该服务。但用户仅能查询到相关账号昵称，也可以随时取消授权。
2.站方发现，此前黑客通过手机号比对服务获得多个平台的用户信息，例如通讯录好友微博昵称、QQ 号、邮箱等，并抓取微博用户个人主页上的公开数据，以“5.38 亿微博用户绑定手机号数据，其中 1.72 亿有账号基本信息”的名义进行售卖。对此，站方已加强安全策略，并将详细情况上报给司法机关。
3.微博不存储用户明文密码，而是采取单向加密存储，用户密码并不会泄露。但是，当前安全形势严峻，依然有部分用户使用和其他平台相同账号密码，可能导致其微博账号面临被盗的风险。站方将不断强化安全策略，完善账号安全设置服务，以帮助用户提高账号安全等级，我们同时呼吁用户加强防范意识，保护好个人账号。

然后能在 telegram 上查看微博安全中心绑定的手机号码