共计 1850 个字符，预计需要花费 5 分钟才能阅读完成。
6 月 26 日晚，我国大型聊天软件 QQ 呈现了大规模盗号状况，而且是在 QQ 号自己在线时呈现了被盗状况。
6 月 27 日中午，腾讯 QQ 公布申明称：6 月 26 日早晨 10 点左右，收到局部用户反馈 QQ 号码被盗。QQ 平安团队高度重视并立刻开展考察，发现次要起因是用户扫描过不法分子伪造的游戏登录二维码并受权登录，该登录行为被黑产团伙劫持并记录，随后被不法分子利用发送不良图片广告。
为什么扫描不法分子伪造的游戏登录二维码并受权登录，就会被盗号呢？
大家在新的平台申请账号密码的时候，通常能够抉择关联其余平台账号，间接登陆。这时，此平台就会保留其余平台的账号数据。通过扫描伪造的二维码受权信息后，不法分子就能取得你真正的账号密码。
来自数美科技黑产研究院专家宇航在承受新闻采访时剖析认为，QQ 生态相对来说较为凋谢，自身用户体量大。因为生态十分凋谢，用户数据不仅能够受权给很多游戏平台，还能够受权给其余第三方社交媒体平台，在受权的过程中，用户的数据也顺带受权过来。
该专家剖析称，“此次事件裸露进去的问题，自身更多的责任可能并不在于 QQ，而是在 QQ 受权的第三方平台。”该专家示意，在这样多的利用互相交互的状况下，去做数据安全包含账号的平安，难度会大十分多。
正如专家所说，当初的互联网环境十分复杂，各个平台能够互相受权信息，为何第三方的数据库安全会如此重要？因为在互联网中有一种攻打是通过第三方泄露进来的数据造成其余平台账号被攻打，账号被盗，这种攻打叫做“撞库”。
撞库的基本原理
撞库是一种常见的网络攻击形式，犯罪分子会应用自动化零碎和被破解的登录凭据拜访在线账户。
简略来说黑客通过收集互联网已泄露的用户和明码信息，生成对应的字典表，尝试批量登陆其余网站后，失去一系列能够登录的账号密码。很多用户在不同网站应用的是雷同的账号密码，因而黑客能够通过获取用户在 A 网站的账户尝试登录 B 网址，这就能够了解为撞库攻打。撞库攻打取决于明码的重复使用，受害者常为多个在线账户设置雷同的用户 ID 和明码组合。
然而撞库胜利须要的一个前提就是拖库。
什么叫拖库及拖库与撞库的关系？
撞库中黑客用于尝试的用户及明码来源于拖库，而拖库原本是数据库畛域的术语，指从数据库中导出数据。
拖库是撞库的根底，是进行撞库攻打的必要条件。拖库实现起来比撞库简单得多，伎俩和办法也十分多，罕用的是社工流拖库和技术流拖库。社工流拖库以欺诈、网站仿冒、钓鱼、重金收买、免费软件窃取等为次要伎俩；技术流拖库则以入侵、攻打为主，如近程下载数据库。利用 Web Services 破绽、服务器破绽，挂马、病毒、木马后门等技术手段和办法。
通过拖库获取用户的信息后，撞库的实现就比较简单了。以后少数撞库以单脚本登录验证、分布式脚本登录验证，主动代理登录验证，甚至人肉验证等形式来显示。
同时 Sentry MBA 或 SNIPR 等收费自动化工具让犯罪分子能更加轻松地尝试登录信息并验证被盗凭据。
综合来看，“撞库”操作简略、老本较低，其对数据库的攻打只须要通过“拖库”——攻破网站、“洗库”——数据处理剖析，而后就能够进行“撞库”。
撞库的危害
2017 年 12 月至 2019 年 11 月间，Akama i 察看到 854 亿 2207 万余次撞库攻打，中国是 API 歹意登录的三大“重灾区”之一。
因为撞库是以个人信息为前提，而我国的大规模个人信息透露事件并没有就此进行。而且联网近三分之二用户都在重复使用他们的明码所以撞库看似简略，然而成功率却很高。
已经 12306 数据泄露事件确认为撞库攻打，泄露的数据包含用户帐号、明文明码、身份信息邮箱等大量用户材料。
京东的账号被盗事件同理，只不过京东的数据库并没有泄露。黑客通过别的渠道获取泄露的数据库来施行“撞库”攻打，而后胜利获取到了一些京东用户的明码。
论断：
撞库的损失不是一家之过，对于个人用户而言明码安全意识不强，设置明码过于简略、多个网站长期应用同一账号密码登录；对于平台来说，登陆时 IP 地址验证、设施验证等平安进攻伎俩不到位；对于监管来说，尽管《个人信息保护法》已出台，然而网络上还存在着大大小小的暗网发售居民个人信息。
所以个人用户要增强对账号密码的爱护，设置明码时，防止过于简略、易猜；养成定期更改明码的习惯；依据账号重要性、是否波及财产等分级管理，防止一码多用；在公共设施上登录集体账号时，不要勾选“记住明码默认登录“等选项，尽可能抉择匿名登录。
对于平台能够在用户登陆环节增加 IP 地址与 GPS 穿插核验，以此来核验用户的实在地位；对于监管部门来说能够加大惩治力度，震慑犯罪分子。
