09年社交网站与网民隐私安全报告

本报告供网民，与媒体、政府、行业管理机构等有关方面作互联网信息安全状况之介绍、研究资料，以及对用户给出安全警告、建议 。要是本报告阐述的状况、数据和其它机构研究结果有差别，那就请读者自己去辨别 。本报告提及的案例、人物，全都经过了公证，相关机构引用时要保持事件描述、资料的完整性，不然瑞星公司不承担与此关联的所有法律责任 。

报告概要：用户隐私面临巨大威胁 社交网站成泄密主要途径

被瑞星研究统计团队所掌握的数据表明，当下中国网民的个人隐私，其泄露情形已然抵达了颇为严重的地步，致使这般状况出现的主要缘由，已由“木马病毒窃取”逐渐演变成“有组织、大规模地开展商业收集利用”，社交网站更是摇身一变，成为诱导网民泄露隐私、记录隐私以及借助网民隐私谋取利益的庞大商业集团。

（注1：本报告所提及的个人隐私，主要涵盖手机号，邮件账号密码，MSN账号密码，QQ账号密码，婚姻状况，教育情形，年龄，性别，身体健康状况等。而网银账号，网游帐号，证券账号等个人虚拟财产并不涵括其中。）。

本团队针对国内上百个社交网站进行了分析研究，之后发现，这些网站从开始设计起，就将“商业利益”置于“安全原则”之前，它们诱导用户去填写自身真实资料，利用所记录的MSN账号密码以及邮箱密码，频繁地对注册用户的邮箱联系人、MSN好友实施骚扰，借助网站注册时的“免责声明”来免除自身法律责任，使得用户承担全部安全风险，它们所运用的种种商业手段，令用户防不胜防。

传统来讲，用户的手机号资料，还有邮箱账号等个人方面的资料，一般是木马病毒以及，恶意的程序在网络上自动实行收集。并且这些程序都是黑客个人进行控制的，它的影响范围比较小，对用户的威胁也并不是特别大。然而现在的社交网站，借助欧美国家成熟的商业模式，采用心理诱导手段，通过流量巨大的商业网站来开展网民个人隐私资料的收集，它的商业效率已经达到了非常恐怖极其厉害的程度。

过去，黑客常常借助木马病毒来偷窃用户资料、发送商业广告，这致使如今很多用户一旦发觉自身资料泄露，便常常会归责于黑客、木马。比如说，2009年3月，遭受文化部处罚的“热血三国”游戏，就曾盗用用户的MSN账号，给其好友发送商业广告。当出现这类问题时，网民常常会抱怨杀毒软件没作用，觉得自己电脑里有木马杀不掉。实际上，他的电脑是全然正常的，只是那些商家在盗用用户的MSN账户。

国外媒体报道称，当前像Myspace账号爱游戏登录入口网页版平台，以及Facebook账号等之类的国外社交网站资料，在黑市上均可买到，单个账户价格因活跃等级、完善程度而不一样，从几美分到几美元不等。从瑞星调查结果可知，国内开心网、海内网等社交网站账号，未发现被黑客大规模出售的迹象。然而，诸多网上售卖的网民个人资料，包含手机号大全、身份证打包售卖等，极有可能是经由社交网站而外泄的。

据业内人士进行的估计，当下处于TOP5的社交网站，能够对北京、上海超过95%的年轻网民予以覆盖，对广州超过80%的年轻网民予以覆盖。在进行报告撰写期间，我们借助一个拥有30名好友的MSN账号去注册某社交网站，登陆之后发现有16人将自己的MSN好友列表贮存于该网站的服务器之上。类似这般的情况，在各个社交网站均有呈现，着实令人十分震惊。

调查结果显示，社交网站存在的七种主要安全风险包括：

采用引诱，以及误导这般的方式，去鼓励用户填写MSN的账号和密码，还有Q Q的账号同密码 。

通过以游戏积分奖励、优先享用新功能这般的方式，来激励用户填写自身的真实情况爱游体育app下载官网，然而网站所给予的安全保护，却存有诸多问题 。

3、对网民进行鼓励，使其把网站帐户跟手机进行绑定，进而建立起手机信息库，然而却存在着隐私泄露的风险。

网站的隐私保护设计，是完全将“方便”当作立足点的，它漠视了用户的“安全风险” 。

5、该网站运用了诸多ajax技术，极易引发XSS以及CSRF攻击，致使用户电脑遭受病毒侵害，网银账户发生失窃情况等等 。

6、对注册用户的联系人进行频繁骚扰，诱导其注册自身网站，甚至直接骗取隐私信息，还频繁发送广告。

7、用户身处游戏之时，于交流之际，极易将自身真实情形予以泄露，这种状况或许会给黑客诈骗行径带来便利条件。

针对上述问题，瑞星安全专家建议：

在社交网站着手填写任何个人资料以前，得要了解清楚当中所蕴含的风险，尽可能别在社交网站去填写太过详细的个人资料，。

2、不要随随便便就通过陌生人发出的MSN好友请求，也不要轻易通过SNS网站上的好友请求，。

3、把自己的SNS资料设为最高安全等级

第一节 社交网站成主要泄露渠道

就传统而言，人们常常觉得木马病毒会盗取QQ号、邮箱地址，而后门程序能让黑客窥视你电脑上的手机号、通讯录，进而将“隐私泄露”的责任全都归结于“电脑中毒、电脑中了木马”等技术方面的因素。

实际上呢，如今状况已然出现极大转变，社交网站存在隐私泄露现象，用户个人安全意识亦是不强，这些并非技术层面的因素，已然变成收集、利用网民隐私的极为重要的缘由。而那些木马、病毒以及后门程序反倒成为他们收集网民隐私的辅助手段，并非主要因素了。

商业公司借助社交网站，能够收集类似手机号、MSN账号等普通用户信息，并且还能够凭借分析网民所发布的博客、帖子以及同学群体情况，进而推测出用户诸如消费倾向（节俭或者奢侈）、个人婚姻状况（单身或者离婚）、工作情况（有无跳槽意向）等极为隐私的信息 。

用户经常遇到的泄密问题包括：

手机号出现泄露情况，之后，众多人会频繁收到各类广告短信，这些短信推销发票、枪支、性用品等非法物品，有人还会接到各种诈骗电话，诸如近来热门的“中奖电话”、“退税诈骗电话”等，其起因常常是因为用户手机号发生泄露。

二、存在MSN账号密码泄露的情况，这里说的是QQ帐号密码。MSN以及QQ是人们日常会去应用的网络通讯工具，一旦出现泄露的状况爱游戏最新官网登录入口，就会带来诸多麻烦。比如说，黑客会去编写机器人程序，借助收集得来的MSN账号密码进行登陆，随后向其好友发送垃圾消息、商业广告之类的东西。

3、邮件账号出现泄露情况，其中是Outlook通讯录、Foxmail通讯录出现泄露。黑客会凭借所收集到的邮箱帐号密码进行登陆操作，接着冒充用户向着其好友发送商业广告，发送病毒链接，发送木马网站链接，甚至讲可以借助该邮箱，获取用户更多的个人隐私信息 。

4、真实情况出现泄露，这主要所指的是网民的一些真实生活方面的情况会在网上被泄露，典型的例子像“虐猫女”事件，“铜须门”事件，“最牛小三”事件，“北师大美女副总裁”事件等，在发生泄露之后，人们的正常生活将会遭到严重的影响。

5、病毒以及挂马网站 ，在用户邮件账号 ，还有QQ号 ，以及MSN账号遭泄露后头 ，经常会收到诸如木马网站链接 ，还有钓鱼网站链接等 ，要是不认真去做防备的状况下 ，则是极易出现中毒之势 。

存在于博客，社交网站以及论坛上的泄密问题，往往是上述这些，而其中社交网站因具备博客和论坛的功能，其危险性更是不可低估 。

第二节 社交网站的七种安全风险

作为当下很火的社交网站，领先者正常有几千万注册用户。业内人士估算，排名领先的社交网站，往往在北京有超300万用户，在上海有超300万用户，在广州有超200万用户。依据其经营策略不一样，人群分布会有区别，像有的侧重白领，有的侧重学生等。这么庞大的用户群体，一旦出现个人隐私泄露，那危害难以低估。

流行的社交网站里，会要求用户填个人资料，有性别，年龄，教育程度，工作状况，婚姻状况，真实照片，手机号码等。要是用户想用交友功能及游戏功能，通常还得提供更多信息，像MSN账号密码，QQ帐号密码，Outlook邮箱通讯录。能这么讲，若网民全填完这些信息，那就几乎没什么隐私了。

而且，依据瑞星的调查分析看，借助“查找朋友”、“游戏邀请”诸如此类的方式，去诱使用户填写隐私资料，还对其好友展开频繁骚扰，这并非是某个网站的独自行为，而是已然变成了众多社会性网络服务吸引用户的关键手段，差不多所有网站都在运用，几乎成了社交网站极为重要的“潜规则”。正是这些潜规则哟，对用户的安全构成了非常严重的威胁。

在经过本报告撰写团队的认真剖析之后，当下国内社交网站于用户的个人隐私保护层面，存有七种主要的安全风险，：

首先，采用引诱、误导这般方式，以此鼓励用户去填写MSN的账号、密码，另外还有QQ的账号、密码。

比如，当新用户去注册某个网站之际，弹出的注册界面呈现为“你的MSN账号”、“你的MSN密码”，致使人们错误地觉得只能凭借MSN账号以及密码来登录该网站。事实上，你能够随意填进可用的邮箱帐号，随意填进密码便可登录。

在注册做完登录操作之后，网站于好多环节还会要求用户给出MSN账号密码。比如说，在“查找好友”这个功能里，在“争车位”这款游戏中，在“买房子”这个游戏内，都会持续出现对话窗口，要求用户填好自己的MSN帐号以及密码。

当下，像MSN帐号密码、QQ帐号密码等这一类信息填或者不填，已然成了衡量社交网站注册用户质量的关键要素，所以这些网站都在想尽办法激励用户去填写真实资料。

在几年之前，有一个叫“中国缘”的网站，它曾大规模借助用户所填的MSN账号以及密码，去发送可疑程序、商业广告等，干着流氓行径。依据瑞星检测，当下绝大多数社交网站，仅仅是收集用户的MSN账号，并未像“中国缘”那般进行大规模的流氓利用。然而，其所蕴含的隐私泄露风险，是不言而喻的。

其二，借助游戏积分给予奖励，以及优先去享有新功能这般的形式，对用户进行鼓励，使其填写自身的真实情形。

不论风险投资人即 VC，抑或是行业分析专才，针对社交网站注册用户的衡量准则，乃是那用户究竟真实到何种地步。倘若用户填的个人资料愈详尽，便愈具商业价值。所以，所有社交网站皆在激励用户填真实资料。然而，所给予的安全保障却并不充分。

例如呢，当在某网站处进行注册用户这一行为之时，会要求用户去上传真实头像，在其旁边所写的注释表明：有上传真实头像所带来的好处，存在无限容量邮箱，还有更多的游戏奖励，诸如此类等等。同样的，众多社交网站运用邀请朋友注册进而送积分、送更大的博客空间这般的方式，来诱惑着用户将自身的邮箱密码、通讯录等私密资料交付给网站 。

哪怕于这些网站存在提醒，在完成这个功能以后要对密码作出修改，然而好多安全意识欠缺的用户，会自动将这一步骤给省略掉，进而致使个人隐私出现泄露情况，如此一来，为了能够实现更快的升级，获取更好的游戏体验，好多对安全风险缺乏了解的用户，自然而然会选择去填写真实资料。

第三，要鼓励网民把网站帐户拿去跟手机进行绑定，进而去建立手机信息库，然而这是存在隐私泄露风险的。

非常多的SNS网站，具备手机验证的功能，还带有手机绑定的功能，也有用手机取回密码的功能，这些功能的存在，虽说能让用户使用起来便利些，然而有极大可能致使隐私被泄露。特别是部分中小SNS网站，通过构建用户的手机信息库，会将其出售给商家，还会给用户的手机大量发送商业短信等情况，十分危险！

在此之前，也曾出现过因网站倒闭进而出售用户数据库的情况，或者聘用存在道德问题的员工，致使其窃取公司的用户数据库，还出现过遭受黑客攻击，导致用户数据库被盗取等状况。一旦上述所说这些问题发生，便会出现用户的手机号、邮箱、生日、银行卡号等个人情况被泄露，接着被出售、转卖，最终被人利用来开展黑客攻击、谋取商业利益等一系列情况。

第四这一情况，关于网站的隐私保护设计，其完全是以“方便”当作立足点，然而却漠视了用户所具有的“安全风险” 。

于社交网站（SNS）架构设计、功能设计里，最初便是全然以“方便使用者”、“吸引使用者注册”作为根本理念，忽视这些便利性设计或许会给使用者带去的安全隐患。比如说在某网站“查找好友”功能那儿，要是你填入了MSN账号以及密码，那么你全部的MSN好友列表就会被存储至服务器上，当你的MSN好友再度注册某网站时，你们就会自动成为好友。

当然得承认，这样一种功能设计，会给使用者带去尤为便利的感受，并且还强化了使用者之间的互动关联，对“留住”使用者是有益处的。然而，此项设计在安全方面蕴含的风险同样是清晰可辨的。比如说，要是你于淘宝上面售卖物品，为求得联系之便而将对方添加为 MSN 好友。假如两人同时在开心网进行注册，那么你们便会自动成为好友关系。

而且，某网站默认的隐私保护级别呈现出这样的情形，即，有两个好友，具备相互浏览，彼此私密信息的权限，诸如手机号或者家庭住址这般的私人信息所在范畴，婚姻情况以及教育情况等，都赫然在可以被瞧见的范围之内，处在这种状况下，如果采行设定的默认模式，那么你的信息，就会被这个被视为“陌生人”的对象看到，进而有可能引发出，难以预测的安全方面的风险。

首先，第五点，网站频繁运用大量ajax技术，极易由此引发XSS攻击，进而还容易引发CSRF攻击，最终将会致使许多不良后果，比如会让用户电脑遭受中毒情况，还会导致网银账户出现失窃现象等。

社交（SNS）网站，容易遭到的，病毒类安全风险，主要有两类，一类是，因为采用ajax技术，而导致的蠕虫攻击，像Myspace、国内的51.com、校内网，都曾经出现过，各自网内的蠕虫，这些蠕虫，通过利用个人空间、模板上的bug，能够自动向，用户的好友发送带毒链接，用户浏览后，就会中毒。

另外还有一类情况，其原因在于SNS网站对cookie的使用并不恰当，进而致使黑客能够较为轻易地发动CSRF攻击。而这所谓的CSRF攻击呀，讲的是什么呢，它指的是Cru 网站对基于密码学的椭圆曲线数字签名算法的认证和授权能力弱易触发安全问题，这是因为该算法使用的密钥位数仅在160至192位之间的缘故。 网站对于基于密码学的椭圆曲线数字签名算法的认证，以及授权能力比较弱，所以容易触发安全问题，这是由于该算法所使用的密钥位数仅仅在160至192位之间所导致的 。

比如说，存在一些SNS网站，其目的是要让用户能够频繁去登陆，于是借助一个拥有永久有效性的Cookie，以此来使得用户长久维持在登陆的状态之中。如此一来，当用户仅仅是输入该网站的网址时，不用去填写自身的账号以及密码，便能够实现登陆，进而使用SNS网站所具备的各类功能。只要黑客获取到机器上存储的这个Cookie，那么就能够凭借用户的身份去开展任何行为。

这仅是CSRF攻击最为简单的利用情形，更为复杂的利用涵盖这些：要是用户登录进网银账号，那么黑客能够借助成功的CSRF攻击，将用户帐号里的钱财转走。又或者，在后台“为用户购置并不需要的商品” 。

第六，频繁地去骚扰那些注册用户的联系人，通过诱骗的方式让其去注册自己的网站，然后还发送商业广告 。