骇客撞库百度 盗卖帐密逾50万个

警察抓获胡姓男子，并采证相关证据。（取自中新网）

近日多名百度云用户发现自己的帐号被盗。（CFP）

大陆搜寻网站龙头百度传遭骇客「撞库」攻击，有网友云端硬碟（陆称云盘）一夜之间被塞满色情影片，个人文件全数泡汤，逾5千名用户透过平台、邮件反映，引发各界关注。警方日前在河北和深圳逮捕2名嫌犯，经查1个月，至少有50万用户帐密遭盗卖外流。

8月初，有网友抱怨自己百度云端硬碟被骇，存放文件全部被删除，取而代之的是5个分门别类的色情影片资料夹。消息传出，很快引来相同遭遇网友回应，百度惊觉问题严重向警方报案，指监测到大量恶意网路位址（IP）撞库，并成功登录系统。

取得软体捞不义财

警方分析查出撞库IP多来自湖北7台伺务器，操控者从河北以远端遥控手法操控攻击，撞库者还在淘宝网开店卖百度帐号。警方因此循线找到卖渔具的胡姓男子，再顺藤摸瓜到深圳抓捕贩售撞库软体的马姓男子。

胡姓男子说，因在网上买百度帐号炒作网店，发现卖帐号比卖渔具好赚，决定改卖帐号。先在网上购买所谓「个性数据」，就是已外流的网路游戏、邮箱、入口网站等帐密，买了1百万条资料，再花500元（人民币，下同）取得撞库软体，狠捞不义财。

帐密外泄人心惶惶

透过撞库攻击，胡姓男子取得逾50万个有效帐密，有些帐号存有现金，就透过中间人「洗库」转卖，获利3成；没有现金的帐密，拿到淘宝网贩售。1年多来，靠着买来500万条「个性数据」获利5万多元。

贩卖撞库软体的马姓男子除依客户需求撰写客制化程式，索价2百元到5百元不等，升级、维护还另行收费，也获利不少。

大陆帐密外泄事件接二连三，2015年线上票务平台大麦网外泄600多万用户帐密，并被骇客「洗库」；网易也曾被爆邮箱资料外流，被骇数据量达52GB，网易虽否认，但已人心惶惶。

小 灵 通撞库、拖库和洗库

撞库是骇客术语，指搜集网站泄露用户ID及密码，建成密码库，再撰写自动程式尝试在其它网站登录，试出一批可用帐号及密码资料，这是利用用户习惯使用固定帐密的行为漏洞。

除了撞库，骇客盗取帐密手法，还有入侵网站，将所有用户资料库全部盗走，这种行为称「拖库」；若是将得手资料变卖，就叫「洗库」。（庄舒仲）