【51CTO.com 綜合消息】互聯(lián)網(wǎng)發(fā)展到今天，網(wǎng)購已經(jīng)成為最重要的應(yīng)用之一。對(duì)于消費(fèi)者，網(wǎng)購提供了廉價(jià)、便捷的購物平臺(tái)；對(duì)于商家，互聯(lián)網(wǎng)為降低成本，擴(kuò)大營銷渠道提供了有力支持。中國互聯(lián)網(wǎng)絡(luò)信息中心

【51CTO.com 綜合消息】互聯(lián)網(wǎng)發(fā)展到今天，網(wǎng)購已經(jīng)成為最重要的應(yīng)用之一。對(duì)于消費(fèi)者，網(wǎng)購提供了廉價(jià)、便捷的購物平臺(tái)；對(duì)于商家，互聯(lián)網(wǎng)為降低成本，擴(kuò)大營銷渠道提供了有力支持。中國互聯(lián)網(wǎng)絡(luò)信息中心（CNNIC ）2012年7月發(fā)布的《中國互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計(jì)報(bào)告》顯示：截至2012年6月底，國內(nèi)網(wǎng)絡(luò)購物用戶規(guī)模達(dá)到2.10億，占同期中國網(wǎng)民總數(shù)的39.0，較2011年底用戶增長8.2；團(tuán)購用戶規(guī)模為6181萬，占同期中國網(wǎng)民總數(shù)的11.5。

網(wǎng)購在帶來方便實(shí)惠的同時(shí)，也讓網(wǎng)絡(luò)犯罪分子找到了攻擊牟利的途徑。釣魚欺詐網(wǎng)站、網(wǎng)購木馬和網(wǎng)站拖庫盜號(hào)等問題嚴(yán)重威脅網(wǎng)購消費(fèi)者的財(cái)產(chǎn)安全。特別是釣魚欺詐網(wǎng)站，已經(jīng)呈現(xiàn)出產(chǎn)業(yè)化、規(guī)?；蛯I(yè)化的發(fā)展趨勢(shì)，讓普通網(wǎng)民防不勝防。

網(wǎng)絡(luò)購物遭遇不法侵害，不僅給網(wǎng)購用戶帶來損失，同時(shí)也嚴(yán)重?fù)p害了電商行業(yè)的整體信譽(yù)及網(wǎng)民對(duì)網(wǎng)絡(luò)購物的信任感，嚴(yán)重制約了互聯(lián)網(wǎng)經(jīng)濟(jì)的發(fā)展和繁榮。通過技術(shù)和法律手段打擊各種網(wǎng)購犯罪行為，是現(xiàn)代互聯(lián)網(wǎng)安全的重要課題。

第一章 網(wǎng)購釣魚網(wǎng)站新增40萬家

釣魚網(wǎng)站的特點(diǎn)是假冒知名購物網(wǎng)站或品牌官網(wǎng)的身份，欺騙消費(fèi)者輸入賬號(hào)密碼、支付交易資金。

（一） 網(wǎng)購釣魚數(shù)據(jù)統(tǒng)計(jì)

根據(jù)360安全中心統(tǒng)計(jì)：截至12月24日，2012年互聯(lián)網(wǎng)上新增與網(wǎng)購相關(guān)的釣魚網(wǎng)站數(shù)量達(dá)到39.27萬家（以host 計(jì)算），相比2011全年購物類釣魚網(wǎng)站增長155，惡意網(wǎng)址更是高達(dá)數(shù)百萬的量級(jí)（以u(píng)rl 計(jì)算）。

由于釣魚網(wǎng)站更新快、變化多，惡意網(wǎng)址庫數(shù)量龐大，無法下發(fā)到用戶電腦里，目前主流安全軟件均采用網(wǎng)址云安全查詢的方式，將用戶訪問網(wǎng)址與服務(wù)器實(shí)時(shí)更新的惡意網(wǎng)址庫進(jìn)行比對(duì)，這樣也可以保證及時(shí)攔截的效果。

截至報(bào)告發(fā)布前，360安全瀏覽器和網(wǎng)盾在2012年共攔截購物類釣魚網(wǎng)站18.55億次，是2011全年購物類釣魚網(wǎng)站攔截量（6.61億次）的2.8倍。

從技術(shù)特征來看，釣魚網(wǎng)站大多使用cc 、tk 、pl 、info 、in 、no 等境外域名，99.99以上的釣魚網(wǎng)站無正常備案；大部分釣魚網(wǎng)站搭建在境外IP 上，比例達(dá)到76.25，基于香港IP 的釣魚網(wǎng)站比例也高達(dá)13.23，使用VPS 主機(jī)（虛擬專用服務(wù)器）的情況尤其泛濫。

可見，依靠法律監(jiān)管釣魚網(wǎng)站尚存在一定困難，在很多情況下，釣魚犯罪的源頭難以定位。因此，安全廠商通過技術(shù)手段來識(shí)別和攔截釣魚網(wǎng)站，是打擊釣魚網(wǎng)站最為切實(shí)可行的方式。

（二） 網(wǎng)購釣魚主要形式

從內(nèi)容和欺詐形式上看，購物類釣魚網(wǎng)站主要包括假冒淘寶、假藥網(wǎng)站、網(wǎng)游交易欺詐、模仿知名品牌官網(wǎng)、手機(jī)充值欺詐、假票網(wǎng)站（機(jī)票/火車票）以及假冒網(wǎng)上銀行。

典型釣魚網(wǎng)站示例：

1）假冒淘寶——利用偽造商品頁面誘騙買家支付，實(shí)際付款對(duì)象是不法分子的賬戶。有時(shí)此類釣魚網(wǎng)站也會(huì)套取受騙者的帳號(hào)密碼。

2）假藥網(wǎng)站——偽造或憑空捏造權(quán)威資質(zhì)證明，虛構(gòu)患者療效案例，集中在男性壯陽藥、跨國公司名貴進(jìn)口藥、疑難雜癥特效藥、知名的中藥處方藥四大領(lǐng)域。

3）網(wǎng)游交易欺詐——以熱門網(wǎng)游虛擬裝備、游戲幣交易為名，低價(jià)誘惑游戲玩家交易支付，騙取玩家錢財(cái)。

4）模仿品牌官網(wǎng)——偽裝時(shí)尚數(shù)碼產(chǎn)品的官網(wǎng)或官方銷售渠道，例如iPhone 、iPad 、小米手機(jī)等，以遠(yuǎn)

低于正常價(jià)格的標(biāo)價(jià)出售，遞送假冒偽劣的山寨手機(jī)。

5）手機(jī)充值欺詐——假冒移動(dòng)、聯(lián)通、電信等運(yùn)營商指定充值中心名義，以“充100送50”等優(yōu)惠活動(dòng)吸引網(wǎng)友充值，付款后無法獲得話費(fèi)。

6）假票網(wǎng)站——模仿航空公司官網(wǎng)、旅行社、票務(wù)公司、12306.cn 火車票網(wǎng)站等，通過搜索引擎競(jìng)價(jià)排名或SEO 推廣，在人們搜索機(jī)票、火車票相關(guān)信息時(shí)排在前列，誘騙消費(fèi)者向不法分子設(shè)置的個(gè)人銀行賬戶匯款。

7）假冒網(wǎng)銀——這是對(duì)網(wǎng)購族財(cái)產(chǎn)威脅最大的一類釣魚網(wǎng)站。不法分子以網(wǎng)銀賬戶凍結(jié)、動(dòng)態(tài)口令（E 令）升級(jí)等名義，通過短信、郵件誘騙攻擊目標(biāo)登錄假冒網(wǎng)銀的釣魚網(wǎng)站，套取賬戶、密碼以及動(dòng)態(tài)口令信息，再迅速在口令有效期內(nèi)入侵受騙者網(wǎng)銀賬戶將資金轉(zhuǎn)走。

8）其他形式——除了上述常見的購物類釣魚網(wǎng)站以外，一些利用網(wǎng)絡(luò)平臺(tái)聯(lián)絡(luò)、交易的二手車、手機(jī)監(jiān)聽卡、家電維修售后、辦證等釣魚網(wǎng)站也日益增多?？梢灶A(yù)見，隨著網(wǎng)購應(yīng)用的普及，越來越多詐騙活動(dòng)將被不法分子移植到互聯(lián)網(wǎng)上，這也促使人們需要更進(jìn)一步提升安全意識(shí)和強(qiáng)化安全防護(hù)措施。

（三） 釣魚網(wǎng)站傳播途徑

360安全中心綜合用戶舉報(bào)與“網(wǎng)購先賠”案例發(fā)現(xiàn)，購物類釣魚網(wǎng)站主要通過搜索競(jìng)價(jià)排名和SEO 推廣，比例達(dá)到43.2；此外，不法分子通過聊天工具一對(duì)一或聊天群發(fā)送釣魚網(wǎng)址，通過分類信息網(wǎng)站、論壇、微博發(fā)布低價(jià)商品信息，誘騙用戶訪問釣魚網(wǎng)站也是其重要傳播渠道。

釣魚網(wǎng)站通過搜索引擎進(jìn)行傳播的方式主要有兩種，一種是黑鏈植入SEO （搜索引擎優(yōu)化），一種是直接利用競(jìng)價(jià)排名系統(tǒng)。

1）黑鏈植入SEO ，簡單的說就是黑客首先入侵政府、高校等在搜索引擎中權(quán)重較高的網(wǎng)站，在網(wǎng)站頁面植入自己的網(wǎng)站鏈接和關(guān)鍵詞，并且巧妙隱藏使人不易發(fā)現(xiàn)。但搜索引擎在抓取頁面信息時(shí)，卻會(huì)抓取到這些隱蔽的鏈接，從而使釣魚網(wǎng)站在熱詞搜索結(jié)果中排名靠前。

2）利用競(jìng)價(jià)排名系統(tǒng)進(jìn)行推廣則更為惡劣。由于某些搜索引擎審查不嚴(yán)，使得釣魚網(wǎng)站的制作者可以直接在競(jìng)價(jià)排名系統(tǒng)中購買關(guān)鍵詞，讓自己的網(wǎng)站排在搜索結(jié)果的頂端，從而讓網(wǎng)民誤入釣魚網(wǎng)站。

對(duì)于不熟悉互聯(lián)網(wǎng)的電腦用戶來說，鑒別釣魚網(wǎng)站應(yīng)首先確定網(wǎng)址來源是否可信。如果是通過搜索引擎或陌生人發(fā)布的信息打開的網(wǎng)址，而且其中帶有中獎(jiǎng)、低價(jià)打折商品等誘惑信息時(shí)，應(yīng)向他人求助核實(shí)。 典型案例：假冒光大銀行釣魚網(wǎng)站利用百度推廣盜取用戶資金

據(jù)《羊城晚報(bào)》報(bào)道，今年5月31日，廣州的許先生為向家里匯款，用百度搜索光大銀行網(wǎng)站，搜索結(jié)果顯示第一位的就是“光大銀行”的鏈接。當(dāng)許先生點(diǎn)開這個(gè)網(wǎng)站，一切看起來都非常正常，頁面也很逼真，

他沒有絲毫起疑，就按照正常程序在頁面上輸入了賬號(hào)和密碼，并將手機(jī)接收的動(dòng)態(tài)指令也輸入進(jìn)去，誰知?jiǎng)倓傒斖?，自己工作幾年辛苦攢下的4萬元就立即被轉(zhuǎn)走，轉(zhuǎn)入一個(gè)在甘肅農(nóng)行開戶的陌生賬戶里。許先生這才意識(shí)到，自己在假冒光大網(wǎng)銀的釣魚網(wǎng)站上中招了，損失卻無法彌補(bǔ)。

第二章 網(wǎng)購木馬日趨衰落

網(wǎng)購木馬是一類專門針對(duì)網(wǎng)上支付劫持交易資金的木馬程序。2011年，網(wǎng)購木馬活躍度達(dá)到頂峰，一度被認(rèn)為是危害最高的木馬種族。不過由于360安全軟件針對(duì)網(wǎng)購木馬建立了嚴(yán)密的防護(hù)措施，以及政府相關(guān)部門的打擊震懾，2012年網(wǎng)購木馬活躍度大幅降低，主要威脅電腦“裸奔”的網(wǎng)購用戶。

網(wǎng)購木馬的標(biāo)志性事件包括兩起，第一起是今年4月徐州市公關(guān)局抓捕“浮云”網(wǎng)購木馬案犯罪嫌疑人，網(wǎng)購木馬數(shù)量明顯降低；第二起是今年12月，“支付大盜”網(wǎng)購木馬利用百度競(jìng)價(jià)排名推廣，假冒阿里旺旺官網(wǎng)傳播木馬，網(wǎng)購消費(fèi)者仍然不可對(duì)此類木馬掉以輕心。

1） “浮云”網(wǎng)購木馬案

2012年4月，江蘇省徐州市公安局對(duì)“浮云”網(wǎng)購木馬案的犯罪嫌疑人展開集中抓捕行動(dòng)，成功抓獲了包括木馬制作者、租馬人、免殺人在內(nèi)的犯罪嫌疑人58名。從此，網(wǎng)購木馬數(shù)量也開始明顯降低。

“浮云”木馬會(huì)誘騙網(wǎng)民支付一筆小額假訂單，卻在后臺(tái)執(zhí)行另外一個(gè)高額定單，用戶確認(rèn)后，高額轉(zhuǎn)賬資金就會(huì)進(jìn)入木馬制造者的賬戶。犯罪嫌疑人高某通過這種方式，斂財(cái)達(dá)1000多萬人民幣。

2） “支付大盜”木馬競(jìng)價(jià)推廣

12月6日，360安全中心發(fā)現(xiàn)一款名為“支付大盜”的新型網(wǎng)購木馬活躍度正在急劇增加。木馬網(wǎng)站利用百度競(jìng)價(jià)排名偽裝為“阿里旺旺官網(wǎng)”，誘騙網(wǎng)友下載運(yùn)行木馬，再暗中劫持受害者網(wǎng)上支付資金，把付款對(duì)象篡改為黑客賬戶。不過用戶電腦只要安裝360安全衛(wèi)士軟件，無需升級(jí)就可攔截“支付大盜”木馬。

根據(jù)360“網(wǎng)購先賠”用戶反饋，迄今沒有一例360用戶因木馬攻擊損害而提出賠付要求。

第三章 網(wǎng)站拖庫沖擊電商帳號(hào)體系

2011年底，國內(nèi)多家知名網(wǎng)站曝出遭黑客拖庫泄密事件。由于互聯(lián)網(wǎng)是以電子郵箱為泛ID 的帳號(hào)認(rèn)證體系，眾多網(wǎng)民又習(xí)慣使用統(tǒng)一的注冊(cè)郵箱和密碼。因此一旦有網(wǎng)站被黑客拖庫泄密，黑客會(huì)利用密碼數(shù)據(jù)嘗試破解高價(jià)值的帳號(hào)，各大電商網(wǎng)站因此首當(dāng)其沖成為黑客拖庫洗號(hào)的受害者。包括一些知名的B2C 電商網(wǎng)站，用戶在不知不覺間發(fā)現(xiàn)賬戶余額被盜用，究其原因，就是一些網(wǎng)站數(shù)據(jù)庫泄露導(dǎo)致的黑客盜號(hào)。

（一） 購物網(wǎng)站的安全性

360網(wǎng)站安全檢測(cè)平臺(tái)（webscan.#) 對(duì)注冊(cè)網(wǎng)站的掃描結(jié)果顯示，超過75的網(wǎng)站存在高危漏洞，這就意味著黑客可以通過漏洞獲取網(wǎng)站權(quán)限，甚至完全控制網(wǎng)站服務(wù)器，進(jìn)而盜取用戶的注冊(cè)郵箱帳號(hào)和密碼數(shù)據(jù)庫（拖庫）。

在抽樣檢測(cè)的網(wǎng)站中，購物類網(wǎng)站（不含團(tuán)購網(wǎng)站）的安全性在各類網(wǎng)站中處于中等水平。在百分制的安全測(cè)評(píng)體系中，購物類網(wǎng)站平均得分為65分，好于成績墊底的政府網(wǎng)站（35分）和高校網(wǎng)站（37分），但明顯低于成績最好的門戶網(wǎng)站（74分）和社交網(wǎng)站（82分）。由于購物網(wǎng)站的安全性直接關(guān)系到用戶的財(cái)產(chǎn)安全，其安全性還需要進(jìn)一步提升和完善。

360網(wǎng)站安全檢測(cè)平臺(tái)發(fā)現(xiàn)，國內(nèi)團(tuán)購網(wǎng)站在安全方面的表現(xiàn)則更加令人失望，平均得分僅為43分，不及格。這一得分也意味著團(tuán)購網(wǎng)站普遍存在高危漏洞，非常容易被黑客拖庫，如不及時(shí)修復(fù)漏洞，用戶的帳號(hào)密碼很難得到有效的保護(hù)。

（二） 第三方網(wǎng)站泄密影響電商帳號(hào)安全

電商網(wǎng)站自身安全是否就足夠了呢？答案是否定的。在更多情況下，黑客會(huì)攻擊沒有專業(yè)安全維護(hù)的中小網(wǎng)站，比如一些網(wǎng)絡(luò)論壇、游戲社區(qū)等，拖庫后將數(shù)據(jù)導(dǎo)入自動(dòng)化程序，瞄準(zhǔn)知名電商網(wǎng)站批量嘗試登錄盜號(hào)（撞號(hào)）。

典型案例：當(dāng)當(dāng)網(wǎng)用戶余額禮品卡遭盜刷 公司稱將全額補(bǔ)償

據(jù)《新京報(bào)》報(bào)道，今年3月，多名網(wǎng)友稱自己的當(dāng)當(dāng)網(wǎng)賬戶余額及禮品卡遭盜刷。隨后，當(dāng)當(dāng)網(wǎng)發(fā)表聲明稱，于3月19日至3月21日凍結(jié)所有賬戶余額及禮品卡，便于用戶及時(shí)修改密碼，當(dāng)當(dāng)網(wǎng)將給受損用戶全額補(bǔ)償。

當(dāng)當(dāng)網(wǎng)CEO 李國慶發(fā)微博稱，“發(fā)現(xiàn)竊賊不僅使用某論壇網(wǎng)站被曝光的密碼，盜用顧客在當(dāng)當(dāng)網(wǎng)的顧客賬戶余額，還把賬戶徹底修改”。

（三） 如何保護(hù)網(wǎng)購帳號(hào)的安全

因網(wǎng)站安全性欠缺而導(dǎo)致的用戶個(gè)人帳號(hào)信息泄漏，是任何個(gè)人電腦安全機(jī)制都無法防范的。我們呼吁各家網(wǎng)站加強(qiáng)網(wǎng)站安全建設(shè)，提升防黑能力。如果沒有專業(yè)安全團(tuán)隊(duì)維護(hù)，可以選擇免費(fèi)的360網(wǎng)站安全檢測(cè)平臺(tái)（webscan.#) ，及時(shí)檢測(cè)和修補(bǔ)網(wǎng)站漏洞。另外，網(wǎng)站管理者還應(yīng)對(duì)用戶數(shù)據(jù)庫采取嚴(yán)格的加密保護(hù)措施，避免明文存儲(chǔ)，最大程度防范泄密風(fēng)險(xiǎn)。

360安全中心也提醒廣大網(wǎng)購用戶，通過更加合理的密碼管理措施，盡可能的減小網(wǎng)站被黑對(duì)自身帳號(hào)的影響：

1) 對(duì)密碼分級(jí)管理，重要帳號(hào)（如常用郵箱、網(wǎng)上支付、聊天帳號(hào)等）必須單獨(dú)設(shè)置密碼；

2) 定期修改網(wǎng)購帳號(hào)的密碼；

3) 盡可能使用“大小寫英文 數(shù)字 特殊符號(hào)”的高強(qiáng)度密碼；