个人信息泄露　移动应用成新“灾区”（经济聚焦）

来源: paper.people.com.cn

　　5月27日，国家计算机网络应急技术处理协调中心在武汉发布了2014年中国互联网网络安全报告。

　　报告显示，我国网络安全状况总体平稳，但基础网络仍存在较多漏洞风险，来自境外针对政府部门和重要行业单位网站的网络攻击频度、烈度和复杂度不断加剧；网站数据和个人信息泄露现象依然严重，移动应用程序成为数据泄露的新主体。

　　安全漏洞风险仍然较多

　　2014年，国家信息安全漏洞共享平台收录并发布各类安全漏洞9163个，较2013年增长16.7%；其中高危漏洞2394个，占26.1%，可诱发零日攻击的漏洞3266个（即披露时厂商未提供补丁），占35.6%。在2014年收录的漏洞中，涉及电信行业的占9%，涉及工控系统的占2.0%，涉及电子政务的占1.9%。国家互联网应急中心全年向政府机构和重要信息系统部门通报漏洞事件9068起，较2013年增长3倍。

　　随着信息化发展，传统广播电视、公共管理、社会服务等领域与互联网紧密融合，漏洞威胁也在演化跟进。2014年，国家互联网应急中心处置多起公共服务管理系统存在漏洞风险的事件，涉及公共场所LED信息管理、高速公路视频监控、区域车辆GPS调度监控等，这些漏洞一旦被利用，将直接影响日常交通管理和公众生活。

　　国家互联网应急中心运行部副主任严寒冰表示，2014年已经发现一些智能监控设备、智能路由器、网络摄像头、机顶盒等联网智能设备被黑客控制发起网络攻击，这些联网智能设备普遍存在弱口令、配置不当等安全问题，很容易被攻击者安装木马变成“肉鸡”长期进行控制。

　　1100余万台主机感染木马僵尸网络，1763个政府网站被篡改

　　据监测，2014年我国境内感染木马僵尸网络的主机为1108.8万余台，较2013年下降2.3%，境内木马僵尸控制服务器6.1万余个，较2013年大幅下降61.4%。

　　随着我国持续加大公共互联网环境监管和治理力度，大量僵尸网络控制服务器向境外迁移。2014年抽样监测发现境外4.2万个控制服务器控制了我国境内1081万余个主机，境外控制服务器数量较2013年增长45.3%。

　　据抽样监测，2014年针对我国域名系统的流量规模达每秒1GB以上的拒绝服务攻击事件日均约187起，约为2013年的3倍。针对政府部门和重要行业单位网站的网络攻击频度、烈度和复杂度加剧。2014年我国境内被篡改的政府网站1763个，被植入后门的政府网站1529个，分别占全部被篡改网站的4.8%和全部被植入后门网站的3.8%。

　　同时，针对重要网站的域名解析篡改事件频发。在去年10月份期间测试的870万余个域名中，约有107万余个域名被解析到境外IP地址，其中有2.9万个域名的Web端口能够访问，部分指向推广游戏、色情、赌博等内容的异常页面，还有部分页面被植入恶意代码。

　　移动APP成数据泄露新主体

　　2014年，数据信息泄露仍然呈高发态势，我国多家知名电商、快递公司、招聘网站、考试报名网站等发生数据泄露事件。5月中旬，某知名手机厂商论坛数据泄露，导致800万用户信息外泄；12月，国内某著名交通购票网站遭受撞库攻击，导致包括用户账号、明文密码、身份证号码、手机号码和电子邮箱等在内的13万多条用户数据在互联网上流传。

　　值得一提的是，移动应用程序成为数据泄露的新主体。2014年，订票、社交、点评、论坛、浏览器等国内多种知名移动应用相继发生用户数据泄露事件。一些移动应用开发者经验不足，安全意识和水平不够，网站服务器对移动端的访问控制机制较弱。黑客利用这些接口漏洞，对网站服务器发起攻击，能够轻易获得相应服务器的地址和接口信息进而导致信息泄露。

　　2014年，国家信息安全漏洞共享平台收录1710个涉及移动互联网终端设备或软件产品的漏洞，这都可能成为黑客攻击获取用户信息新的入口。

　　金融及电信机构网页“李鬼”大幅增长

　　2014年，针对金融、电信行业的网页仿冒事件大幅增长，大量钓鱼站点向云平台迁移，加大事件处置难度，影响用户经济安全和信息消费。

　　抽样监测数据表明，针对我国境内网站的仿冒页面（URL链接）近10万个，较2013年增长2.3倍。这些钓鱼站点中，有89.4%位于境外。

　　从被仿冒对象来看，针对第三方支付机构、网上银行等金融机构的仿冒页面占比超过80%，主要是诱骗用户提交银行卡号、密码、身份证号等信息；同时发现大量针对电信企业的仿冒页面，主要是一些虚假的充值页面，占比达12%。网页仿冒与移动应用结合日益紧密，许多仿冒页面仅能通过移动智能终端访问，针对手机网银、微信等移动应用的仿冒事件频发。

　　此外，由于云服务申请和使用方便、成本低廉、安全审核不严，且传统基于IP地址的追踪处置手段难以适用，云平台日益成为钓鱼网站栖息的温床。从2014年处置的银行类钓鱼网站来看，按所承载的钓鱼网站数量（按域名统计）排序，排名前十的IP地址有4个属于云服务提供商。