邮箱漏洞频发 腾讯企业邮推安全新招式

茵语

       闹得沸沸扬扬的某知名邮箱疑似数亿条用户数据泄露的事件终于有了定论。

       根据鸟云平台爆料人“路人甲”的页面信息，10月23日，某厂商最终确认了这一漏洞，但是没有给出解决办法。专家建议用户，尽快修改邮箱密码和密保，以及绑定该邮箱的各类关联帐户的密码。

       安全一直是腾讯企业邮的重中之重，每项功能都包含着安全方面的考虑，不仅是技术方面，管理方面的安全基因也不断强化，近期又上线了密码体系优化，加强密码复杂度，以及归档或备份的管理绑定微信，充分利用微信在邮箱安全管理上的优势。

       渉及过亿数据

       从10月17日开始，便有不少微博用户发文爆料某邮箱被暴力破解，绑定该邮箱的Apple lD、微博、支付宝、百度云盘、游戏等账号均受到影响。随后的消息还显示，该邮箱最早于上述爆料前三四天就被全面破解了。

       然而，渉事某厂商官方的说法却大相径庭。

       根据次日某邮箱团队在微博发布的官方声明，其邮箱数据库不存在被攻击和泄露的情况，黑客获得部分用户在其他网站与其邮箱同名的账号和密码，并以此账号密码尝试在其他网站登录，并非其邮箱数据库泄露。

       第三日，剧情再次逆转，乌云平台报告称，某邮箱的用户数据库疑似泄露，影响数量总共近5亿条，泄露信息包括用户名、MD5密码、密码提示问题/答案（hash）、注册IP、生日等，已通知厂商和国家互联网应急中心。

       虽然某厂商再未就该事件进行公开声明，但是，爆料人“路人甲”的信息显示，该厂商已经确认了这一漏洞。需要指出的是，该厂商并没有提出解决办法和时间表，报告也已经将该厂商的信息由实名变成了匿名。

       后续影响深远

       措豹移动安全专家李铁军指出因为找回密码的问题及答案的MD5值也已经泄露，攻击者将可以修改这些信息，而邮箱主人将几乎丧失控制权。专家建议用户，立即修改自己的邮箱密码以及密码提示（如非必要，建议直接弃用）。

       该邮箱数据的，泄露还引发了连锁安全事件，导致其关联大量第三方服务被盗，苹果用户和百度云盘用户成为主要波及对象。

       实际上，网友最先怀疑该邮箱被暴力破解就是因为关联的百度等账号同时被盗。最早从10月13日开始，知乎网友“于公子”在网上爆料在13日6点自己的百度帐号与暴雪战网密码一起被修改，时间相同。

       很多用该邮箱注册Apple ID的苹果用户，陆续发现自己的Apple ID被迅速修改的问题，苹果的相关客服也证实了类似的案例很多。还有苹果用户发现自己的iPhone突然变“砖”，数据被擦除，并受到疑似敲诈者的留言，让用户联系其 QQ号。

       这种情况下，仅仅更改某厂商的邮箱密码和密保还是不够的，用户所能想到的所有使用该邮箱注册的账号和用了同样密码的帐户的密码都需要更改，特别是关联的网银、支付宝等资金账户的第三方服务。

       安全不只是技术

       从邮箱行业的角度而言，此次邮箱安全事件帯给行业的震动非比寻常。因为涉事某厂商为知名邮箱品牌，在安全技术方面拥有多年的积累，并在国内外邮箱安全测评中屡屡获得好评及证书，还是遭遇了如此严重的安全局面。

       近年来，除了腾讯反垃圾云平台和德国小红伞AVIRA公司的反病毒引擎以及腾讯QQ管家反病毒双重过滤等技术升级，腾讯企业邮还不断通过管理上的持续优化，来进一步保障用户的邮箱安全和信息安全。

       比如，IP登最权限的特色功能，可以设置成员必须在限定的IP内登录邮箱。还有“微信动态密码”功能，通过微信收到的动态密码验证后方能成功登录邮箱。还有定期提示修改密码功能，系统会在密码失效前邮件通知成员修改密码。

       近期，腾讯企业邮又上线了一些新功能，除了密码体系优化、加强密码复杂度，还尝试通过加强与微信的关联度，利用微信与用户的即时联系，让用户随时随地掌握邮箱动态登陆，避免邮箱被他人攻破后信息被盗。

       这包括归档或备份的管理绑定微信，还有管理员和成员端增加客户端开启关闭功能，还将进一步培养用户微信动态密码登陆的习惯。