就因為QQ登入二維碼,全網發生了大規模的社死……

編輯導語:前幾日,QQ出現了大規模盜號事件,導致許多人的QQ被舉報封禁。這篇文章詳細闡述了這次事件發展的前因後果,並告誡大家不要再陌生的地方登入QQ,感興趣的小夥伴一起來看看吧~

就因為QQ登入二維碼,全網發生了大規模的社死……

“快去看看你的 QQ 號,你號被盜了!”

一覺醒來,發現自己的 QQ 給爸媽、同學甚至是暗戀物件發了一堆黃圖,以至於被舉報、被封,被人掛上 QQ 空間,這樣的社死現場,可能就是很多人昨天早上正在經歷的絕望。

就因為QQ登入二維碼,全網發生了大規模的社死……

更嚴重的,還得在一身清白的情況下,手持身份證拍照,寫下一份檢討書,告訴騰訊:“我以後再也不敢群髮色圖盜號了,求求你把號還給我吧。”

就因為QQ登入二維碼,全網發生了大規模的社死……

就連前段時間因為資訊洩露社死的學習通,也被拉出來鞭了一輪屍,又社死了一次。

就因為QQ登入二維碼,全網發生了大規模的社死……

也只有那些經歷過大風大浪的網友,能在這樣的艱苦的環境裡保持自我,維護好網路社群的和諧氛圍。

就因為QQ登入二維碼,全網發生了大規模的社死……

可能是大家的猜測越來越離譜,甚至有人懷疑企鵝監守自盜,眼看火要燒到自己屁股, QQ 終於坐不住了。

就因為QQ登入二維碼,全網發生了大規模的社死……

昨天中午,QQ給出了迴應,說被盜號的

主要原因

是“掃描了假的遊戲登入二維碼授權登入造成的”。

就因為QQ登入二維碼,全網發生了大規模的社死……

根據網上網友的爆料,

這一波大部分被盜網友都有過在網咖登入 QQ 相關的二維碼賬號的經歷。

不是吧阿 sir ,以前人們都說在網咖不要輸入賬號密碼,因為這樣容易被記錄下來。

但現在你跟我說最安全的掃二維碼也會被盜,我是真的會謝。。。

就因為QQ登入二維碼,全網發生了大規模的社死……

這。。我還能愉快地在陌生的地方登入賬號麼?人與人之間的信任呢?

哎,啥也別說了。我們來研究下這種二維碼中招的原理吧。在聊這之前,我想先和大家講講,在你掃 QQ 二維碼的時候,你會經歷什麼。

開啟軟體,拿手機 App 掃描二維碼,點選確定登入,這個流程是不是十分簡單?

但事實上,這裡面涉及到了兩層身份認證。

當你掃描二維碼的時候,相當於告訴了伺服器:我是誰;而點選確認之後,就是在和伺服器確認,我真的是我。

為了安全起見,這兩個步驟中任意一個拖太久了,系統就會判定你在騙它,讓二維碼失效,得重新自證一遍才能完成登入。

就因為QQ登入二維碼,全網發生了大規模的社死……

但是現在有一個漏洞,就是如果駭客把自己電腦上的登入二維碼

實時

覆蓋你電腦的二維碼的話。。。

那麼你以為你掃描的是網咖電腦的登入二維碼,實際上你掃描的是駭客電腦上的登入二維碼。

發現沒有?這中間是有個時間差的,只要駭客趁登入二維碼沒有失效,把自己的二維碼發給了你,掃完之後你又沒有仔細看,順手點了個確認。那麼駭客就直接登入了你的賬號。

直接在駭客的電腦上進行一波裸奔▼

還有網友分析,你登入的二維碼有可能是你 QQ 手錶端的登入二維碼,而並不是電腦 QQ 。

一名知乎程式設計師的被盜血淚史▼

就因為QQ登入二維碼,全網發生了大規模的社死……

因為 QQ 手錶是能和電腦端、手機端並行線上的,一旦駭客登入了你的 QQ 手錶,能更方便駭客長時間的操控。我們也親身實驗了一下,在一臺新手機上安裝了 QQ 手錶的 APP 後,把登入二維碼發給了其他人。

就因為QQ登入二維碼,全網發生了大規模的社死……

在這個介面裡,並沒有提示新裝置登入的警告,只會在頂部出現一個登入 QQ 手錶的提示,確實很容易忽略。

一旦點選了允許登入,那對方就可以拿著你的號在 QQ 手錶端為所欲為了。

QQ手錶登入後的介面▼

就因為QQ登入二維碼,全網發生了大規模的社死……

當然, QQ 也給大家提供了不少的賬號防護工具,比如裝置鎖,人臉識別等等。

就因為QQ登入二維碼,全網發生了大規模的社死……

但有網友反饋,就算開所有功能,賬號依舊被盜了。

就因為QQ登入二維碼,全網發生了大規模的社死……

我們能做的可能除了祈禱 QQ 的風控做好外,只能多留個心眼,小心各種坑,保住自己的“身家清白”了。尤其是這種情況的重災區,主要出現在網咖裡。畢竟不少網咖用的都是盜版系統,裡面被人加了什麼料,誰都說不清楚。

其實在這次騰訊回覆之前,網友們也有不少猜測。其中認同度比較高的,是十分經典的

連結偷家

操作。

這個操作可能有不少差友都中過。它實際上是利用了一種叫 CSRF (跨站請求偽造)的漏洞。

簡單來說,這種攻擊不會讓你輸入敏感資訊,也不會直接獲取你的賬號密碼,但在你點選連線之後,攻擊者能夠仿造你的 cookie ,讓平臺以為他就是你本人。

基本上你登入了之後能做的事,攻擊者都能做到。

就因為QQ登入二維碼,全網發生了大規模的社死……

只不過在 18 年的時候谷歌、阿里這些大廠就開始著手解決了,現在這個操作差不多是時代的眼淚了。防護手段在升級,但駭客也在升級。

從最初的透過記錄使用者鍵盤的輸入資訊,到放入外掛,貼牌,還有隱形木馬。總有一不小心會中招的時候。

就因為QQ登入二維碼,全網發生了大規模的社死……

曾經有網友說, QQ 防止被盜的頭號方法就是用二維碼掃描,而結果大家也都看到了。

確實, QQ 登入不像微信那麼反人類,在新手機上登入的時候需要手機驗證碼、二維碼,訊息提醒,有各種路障。

但是誰能想到,駭客在研發了新的技術後,想盜你的號,一個二維碼輕鬆搞定。

我們在享受到二維碼登入便利的同時,駭客也享受到了相同的待遇。

尤其大家沒有過小心二維碼登入的意識,很多人看都不看登入確認頁面的內容,直接手快點選確認。

現在的駭客,在登入了你的賬後以後,也不再像以前一樣,想著直接把 QQ 佔為己有。

而是專門利用凍結賬號前的時間群發廣告詐騙資訊來釣魚。

就因為QQ登入二維碼,全網發生了大規模的社死……

而他們實現這一目的的犯罪成本極低,

根本不需要知道你的密碼

!人家寫個指令碼,自動發完訊息,只要釣上來一隻魚,他們就算贏了。

所以不要在陌生地方登入自己的賬號,貌似是斷絕一切被盜的終極秘法。

最後,對於那些想解封的差友們,如果不是特別著急的話,差評君覺得可以等一波官方自動解封,至少可以逃避手持身份證拍照的二次社死。

作者:螢火;編輯:結界 & 面線

本文由 @差評 授權釋出於人人都是產品經理,未經作者許可,禁止轉載

題圖來自 Unsplash,基於 CC0 協議

頂部