求職APP遭遇黑客撞庫攻擊，泄露了300余萬條用戶數據

"撞庫"（Credential Stuffing Attack）是一種網絡攻擊方式，與字面意思的“碰撞數據庫”有些出入。這種攻擊是指黑客使用在先前的數據泄露中獲取的用戶名和密碼組合，嘗試登錄多個用戶帳戶，看看是否有用戶在不同的在線服務上使用相同的憑據。

攻擊者通過自動化工具迅速嘗試大量的用戶名和密碼組合，利用許多人在多個網站上重復使用相同的憑據的傾向。如果用戶在被攻擊的網站上使用的用戶名和密碼與之前泄露的憑據匹配，攻擊者就能夠成功登錄用戶的帳戶。

近期，一家互聯網公司在北京發現其求職招聘類App的短信驗證碼接口遭到嚴重攻擊，攻擊次數高達1300余萬次，成功匹配注冊賬號30余萬個，給公司經濟造成損失的同時也威脅了用戶信息安全。北京警方緊急介入，初步判斷這是一起黑客通過網站漏洞非法獲取賬號信息的案件。在迅速研判后，北京市公安局網安總隊和朝陽分局成立專案組，迅速鎖定了嫌疑人喻某，成功在四川省自貢市將其抓獲。

據嫌疑人喻某交代，他于2022年10月18日注冊了該招聘網站賬號，多次嘗試驗證接口。喻某發現該網站的簽名算法相對簡單，于是利用這一弱點編寫指令，制作了黑客軟件，并對該網站進行了撞庫攻擊。此外，喻某還長期使用類似方式對其他主要網站進行滲透，尋找漏洞，并以此為誘餌向他人兜售自己編寫的惡意程序和黑客工具，從中牟取利益。

通過對喻某的審查，警方逐漸揭示了一個集編寫惡意程序、實施撞庫攻擊、泄露數據資料為一體的“撞庫黑客”團伙。專案組在四川成都成功抓獲另一名嫌疑人焦某，現場查獲各類公司、人員數據330余萬條。據焦某交代，他以3000元的價格從喻某手中購得惡意程序，長期在境外網站非法盜賣由撞庫獲取的大量公民個人信息及公司賬號數據，并以虛擬幣進行交易。

目前，涉案嫌疑人喻某、焦某因涉嫌破壞計算機信息系統被依法刑事拘留，案件正在進一步辦理中。

這一事件突顯了撞庫攻擊對個人隱私和企業安全的嚴重威脅，同時也強調了用戶和企業應加強網絡安全防護，采取有效措施保護個人信息和敏感數據。