這群黑客有點奇葩：盜完號炫耀一下卻不改密碼

8月26日，這個陽光明媚的日子里，皇家馬德里俱樂部的官方推特發(fā)布了一個宇宙爆炸級的消息：梅西加盟皇馬！

按道理說這個官宣可以刷新全世界所有體育媒體的頭條，但事實上所有球迷都面無表情地看著官推發(fā)瘋，甚至還有點想笑，沒有人相信這是真的。

原因很簡單，就在這之前的三天，老對手巴塞羅那的官推發(fā)布了一條“迪瑪利亞加盟巴薩”的消息。因為這件事還相對可信，世界各地的體育媒體還紛紛第一時間報道此事。結(jié)果幾分鐘之后一個叫OurMine的黑客組織在巴薩官推上發(fā)布了消息，證明官推被盜。所謂的官宣只是他們的惡作劇。

按下球迷們被狼來了的故事戲耍暫且不表，我們今天要關(guān)注的是這個叫OurMine的黑客組織到底何方神圣。其實，關(guān)注科技公司新聞和歐美娛樂新聞的朋友，應(yīng)該對這個名字一點不陌生。

從科技大佬到熱門影視劇，這個神秘黑客組織在各個社交網(wǎng)絡(luò)賬號上留下了“到此一游”。他們究竟是誰，又為何無法阻擋?我們希望從已知信息中最大化還原這朵黑客界的奇葩。

一個似乎無法阻擋的盜號組織

OurMine這個名字開始浮現(xiàn)在公眾視野中，源自去年6月該組織攻陷了Facebook創(chuàng)始人馬克·扎克伯格的推特。當(dāng)時占據(jù)了扎克伯格賬號的黑客們發(fā)布了大量黑小扎同學(xué)的內(nèi)容，并且嘲諷他用了“dadada”這個過分簡單的賬號，甚至還分享了一系列盜取扎克伯格賬號的心得。

有趣的是，當(dāng)人們驚異于科技大佬安全意識如此之低時，OurMine似乎希望證明是自己手藝高，而非目標防范差。在2016年6到8月，他們接連盜取了谷歌CEO桑達爾·皮查伊、推特創(chuàng)始人兼CEO杰克多爾西、Pokemon GO開發(fā)商Niantic CEO約翰·漢克等等科技界最知名的高管與企業(yè)家的社交媒體賬號，還順便黑進了匯豐銀行的美國與英國網(wǎng)站。

似乎是這樣獲得的快感并不強烈，去年年底開始，OurMine開始將“事業(yè)重心”由科技圈轉(zhuǎn)向了大眾更加關(guān)心的東西。去年12月，OurMine接連攻陷了索尼PS、索尼唱片的社交媒體，并且盜取了漫威旗下大量電影IP的社交媒體賬號，同時開啟了盜號+造謠惡作劇的模式。比如他們使用索尼唱片的號發(fā)過“布蘭妮去世”的消息，還用鮑勃·迪倫的賬號進行了哀悼......

進入2017，這幫善于給自己加戲的黑客們并沒有偃旗息鼓。8月他們攻陷了HBO旗下《權(quán)力的游戲》等熱播劇的推特賬號，隨后又開始戲耍巴薩皇馬，算是進軍了體育界。

時至今日，國際科技界對這伙完全沒有收手意愿的黑客并沒有什么辦法，對他們的真實身份也所知不多。好在他們雖然在盜號的路上屢屢得手，似乎要橫掃天下推特，但又似乎并不打算做什么大規(guī)模破壞。

一般來說，他們僅僅是在盜取賬號后發(fā)布一條消息，然后再發(fā)一條“嗨，我們是OurMine，正在測試您的安全，請訪問我們的主頁ourmine.org（或者請聯(lián)系我們）”。

這好比你回到家里，發(fā)現(xiàn)自己家的門鎖被人開了，但屋子里分文未少，只是多了一張紙條：你家的鎖不安全，我們這有質(zhì)優(yōu)價廉的新鎖，需要請聯(lián)系號碼13xxxxxxxx。

我相信大部分人對此的第一反應(yīng)都會是：“臥槽有病吧?”

一群腦洞清奇且莫名其妙的賊

如果要給OurMine做一個側(cè)寫畫像的話，這群人的第一個特征應(yīng)該是：一群技術(shù)非常好但商業(yè)思路爛到家的賊（也說不定背后隱藏著什么驚天陰謀）。

這伙黑客跟大部分主動進行襲擊并留名的“網(wǎng)絡(luò)恐怖主義黑客”不同，他們不宣傳任何攻擊性的字樣，也不改動密碼，甚至盡量控制可能帶來的負面影響。

當(dāng)然，他們也不宣稱自己是黑客，而是認為自己是一家網(wǎng)絡(luò)安全小組。每一次驚天盜號之后，他們都要借機宣傳一下自己提供的網(wǎng)絡(luò)賬號安全服務(wù)，并將用戶引導(dǎo)到他們的官方網(wǎng)站。

沒錯，這幫貨還建了一個蠻漂亮的官網(wǎng)。

進入官網(wǎng)有動畫效果，官網(wǎng)首頁上寫著“你是否在管理著一家公司?請雇傭我們保障貴公司的網(wǎng)絡(luò)安全吧，服務(wù)一個月起步”;功能欄里分有“新聞、服務(wù)介紹、捐贈、聯(lián)系我們、關(guān)于我們”，在關(guān)于我們里寫著對自己公司的定位是專業(yè)、全能、白帽子、服務(wù)公眾.......

有沒有感覺到一種撲面而來的熟悉氣質(zhì)?沒錯，這完全是一個科技創(chuàng)業(yè)企業(yè)官網(wǎng)的樣子，毫厘不差！而且這家“企業(yè)”提供的服務(wù)還挺便宜的，1000美元檢查網(wǎng)站安全，5000美元檢查企業(yè)全部系統(tǒng)，堪稱業(yè)界良心。

但問題是，一幫臭名昭著黑客的服務(wù)誰敢用啊?雖然在接受匿名采訪時，OurMine表示已經(jīng)賺到了一部分資金，但在談到具體客戶時卻支支吾吾，甚至給出了疑似PS過的轉(zhuǎn)賬憑據(jù)。

目前來看，這種以盜號為入口，以網(wǎng)絡(luò)安全服務(wù)為核心的商業(yè)模式并沒有得到驗證。畢竟很難有人相信現(xiàn)役的賊會老老實實幫你防盜。

OurMine的另一個特征，是非常喜歡搞事情，熱愛蹭熱點，也喜歡召集粉絲互動。比如他們在巴薩陷入轉(zhuǎn)會困境時出來搞了一個大新聞，再比如他們曾經(jīng)號召推特用戶把“HBO被黑”刷上頭條。

這伙黑客似乎還有些奇怪的幽默感，總是陶醉在并不好笑的笑話里。同時，他們在推特上留言的方式似乎表現(xiàn)出他們英語不好。有科技公司根據(jù)IP追蹤判斷他們來自沙特阿拉伯，但被OurMine成員否認了，也沒有其他確實的證據(jù)。

總之，OurMine的基本特征是一群自我感覺良好，并且自認為有幽默感的盜號者。他們大概來自第三世界國家，專精于社交網(wǎng)絡(luò)密碼破解，渴望被科技圈關(guān)注，超喜歡給自己加戲，人數(shù)不會很多（OurMine成員接受匿名采訪時說團隊有三個人，國內(nèi)有媒體稱其有四萬人，應(yīng)該是看錯了英語新聞并且不加分析）。

認識了又聰明又笨，有點莫名其妙的賊之后，我們應(yīng)該正視的問題來了：他們究竟是如何做到的?

為什么OurMine總能成功?

所有關(guān)于OurMine盜號手段的討論，都離不開一個詞：撞庫。

所謂撞庫，簡單來說就是利用人總是把不同平臺設(shè)置成同一個密碼的習(xí)慣，借由已經(jīng)得到的某一個平臺資料，去撞擊其他社交網(wǎng)站，從而獲得主要賬號的使用權(quán)。

撞庫的基礎(chǔ)是獲得某一平臺的數(shù)據(jù)。而OurMine獲取這些數(shù)據(jù)主要有兩種已知的方式：第一是購買暗網(wǎng)流出的信息，比如黑扎克伯格推特的時候，OurMine就宣稱使用了領(lǐng)英泄露出的賬號密碼數(shù)據(jù)，而其公布的數(shù)據(jù)顯示扎克伯格確實在兩個平臺使用了一樣的密碼。

OurMine盜取扎克伯格推特賬號的時候，正好是領(lǐng)英數(shù)據(jù)在暗網(wǎng)被大肆售賣之后。所以有專家認為這兩件事內(nèi)部有一定聯(lián)系。換句話說，通過暗網(wǎng)，黑客之間組成了各取所需的產(chǎn)業(yè)鏈。

其二，是OurMine會利用一些網(wǎng)站的漏洞，使用DDoS等分布式服務(wù)攻擊來過載某一個數(shù)據(jù)庫，從而占領(lǐng)數(shù)據(jù)主機，再用攻擊獲得的數(shù)據(jù)去撞庫其他平臺。最終獲得特定推特的使用權(quán)。

這種手法已經(jīng)被OurMine多次使用并證明了有效性，因為推特這種核心社交媒體平臺常常會鏈接各種各樣的其他平臺，所以竊取了一個數(shù)據(jù)庫就相當(dāng)于打開了你的推特大門。

換言之，推特的安全不是由其本身決定的，而是由與之關(guān)聯(lián)的安全性最低的平臺決定的——總有更不安全但用戶需要關(guān)聯(lián)的平臺，對不對?

以上手法并沒有多么高明，在還沒有信息證明OurMine使用更復(fù)雜技術(shù)手段的時候。從以上內(nèi)容中可以得出OurMine黑客活動中具備的特點：

首先是精準，他們只要特定用戶的推特，不附帶其他目的，也不需要大量數(shù)據(jù)，所以其攻擊難度會下降很多，對設(shè)備的要求也比較低。

其次他們利用的核心路徑，是大部分人都懶得使用不同密碼，并且習(xí)慣于使用關(guān)聯(lián)平臺帶來的便捷體驗。于是OurMine可以靈活的從關(guān)聯(lián)推特和與用戶相關(guān)的各種數(shù)據(jù)庫下手，找到最弱的環(huán)節(jié)就贏得了一切。

另外，OurMine特點是很謹慎，即使建設(shè)官網(wǎng)、接受采訪、留下專屬記號，他們的行蹤也依然處在高度保密狀態(tài)?？赡芤驗樾袨榇_實太欠揍了，其成員表示他們會兩小時更改一次IP地址，預(yù)備對付可能尾隨而至的追蹤。

總體來看，OurMine看似無人能擋的攻擊行為其實并不復(fù)雜，也并非沒有辦法預(yù)防。想要保護自己的社交媒體賬號安全，只需要謹記四條就夠了：

不要在多個賬戶之間使用同一個密碼;

設(shè)置盡量多的雙向安全認證;

每兩到三周更改密碼;

注意關(guān)聯(lián)賬戶可能帶來的風(fēng)險;

有意思的是，這四條不是筆者總結(jié)的，也不是網(wǎng)絡(luò)安全專家告訴我的，而是OurMine自己在盜號之后，經(jīng)常提醒廣大社交網(wǎng)絡(luò)用戶應(yīng)該注意的事項。