“消息多到爆炸，有什么事情直接说”“数据库不消问了，曾经有人决意买断”……

　　6月21日晚，个别倒卖学习通数据的黑灰产仍不断开释非常新消息。伴随1亿7273万条门生消息被曝泄漏的消息热度蹿升，买家和卖家同样首先快活跃。

　　当晚22:15分，有买家在黑灰产平台上表示，数据“曾经发售，被金主买断”。

　　新京报贝壳财经记者发现，M78Sec平安团队领先披露出超星学习通消息泄漏。6月21日，此次事件爆料人、北京某平安公司首创人邱同窗接管贝壳财经记者采访表示，自己前几日在某平台发现了学习通APP的数据正在被黑客兜售，于是进行周密查证，经多人考证发现社工库(黑客将走漏的用户数据密集归档的数据库)中泄漏的个别消息与学习通消息高度一致，“实在我是一位创业的大门生，很可怜，我的数据也在泄漏的局限内。”

　　针对此事，学习通当天回应称，其不存储用户明文暗号，采纳单向加密存储，表面上用户暗号不会泄漏，“公司确认网上传言暗号泄漏是不实的”。学习通表示，收到用户数据疑似泄漏的消息后已陆续技术排查十余小时，暂未发现明白的用户消息泄漏证据，公安机关曾经介入观察。

　　黑灰产倒卖热：有卖家鼓吹手握门生消息，有卖家打假

　　超星学习通是不少在校大门生的常用学习软件。此次被曝数据库消息遭公开售卖，包含姓名、手机号、性别、学校、学号、邮箱等消息1亿7273万条。

　　刚刚大学卒业的凯一报告贝壳财经记者，在校时代需求使用超星学习通上课签到，看课件等，使用学习通APP为学校请求，与学分有关，因此许多学校在用，使用频率也较高。“每节课都需求”，凭据凯一贯记者展示的学习通APP截图，她的使用次数为3万次。

　　对于学习通数据疑似泄漏，不少大门生用户表示担忧，“从昨天首先连续有骚扰电话”“近来天天有骚扰电话和短信不会因为这个吧？”

　　邱同窗对贝壳财经记者表示，他在发现学习通数据疑似泄漏后，从某数据库中找到了姓名、电话、学校、学号、性别等数据。之因此爆出这一事件，是因为不但在泄漏消息中发现了自己的根基消息，而且经比对后与其自己的超星学习通消息一致。他觉得“极大概率来说，消息是准确的”，而且“少许名校也没有幸免于难”。

　　贝壳财经记者发现，有截图表现在6月18日或更早，就有卖家在黑灰产平台上公开鼓吹发售“1亿7273条学习通数据”。

　　对于学习通回应称“确认暗号没有泄漏”，贝壳财经记者登录黑灰产平台发现，有卖家在6月21日晚间发贴图暗示称，学习通所储存的加密数据能够经历技术破译，因此即使暗号没有泄漏也不影响黑产获得门生数据。

　　贝壳财经记者注意到，由于这一卖家领先抛发售卖学习通消息，引来不少买家扣问。22:15分，其在黑灰产平台上表示，数据“曾经发售，被金主买断”。

　　贝壳财经记者打听到，只有领有足够的时间和算力，用户暗号能够被解开。例如合流的“彩虹表”暗号破译技术，能够把全部大概的暗号计较出哈希(哈希值是将任意长度的输入字符串转换为暗号并进行固定输出的过程。)并留存在索引文件中，在需求破解时只需凭据哈希对索引文件进行盘问即可很快获得明文暗号。

　　6月21日至22日，贝壳财经记者检索黑灰产平台发现，跟着学习通事件发酵，越来越多黑灰产买家和卖家介入其中，有卖家称“已购入数据，入库后免费开放盘问”，有买家在花消500美元采购到学习通数据后发现被骗。对此，乃至有卖家站出来“打假”表示，“惟有自己的数据才是真的。”

　　邱同窗报告贝壳财经记者，他之因此能在社工库搜索到自己的数据，应该是数据曾经被黑客卖给了社工库的保护职员。据他监测，学习通的数据从非常首先的大概1300美元费用经由几轮倒卖，曾经贬价到3000元国民币，“应该曾经被转手过几次了”。

　　邱同窗称，此事引爆公论并不是他本意，事件发酵的速率胜过自己预期，也介绍大家对个人隐私泄漏越来越关注。“我觉得这件事情给学校和平台都敲响了警钟，焦点机密数据不应储存于商业公司之手，要确切把网络平安建设落地。”

　　违规网络个人消息，学习通昨年被工信部请求整改

　　贝壳财经记者下载学习通APP看到，其在苹果ios市肆中的评分惟有1.4分。非常新批评中不少用户指出“侵犯隐私”，不过更多的还是用户吐槽该APP使用不方便，包含“测验时被强迫交卷了，动不动说我切屏”。

　　贝壳财经体验其使用过程看到，学习通APP进行个人注册需提供手机号码，单元用户则需在此基础上提供个人姓名、登录账号(学号/工号)以便单元经管统计。当用户使用学习通中的打卡签到、图片上传、超星课堂等功效时，大概会需求开启位置消息、录像头、相册、麦克风等走访权限。

　　值得一提的是，早在2021年1月，学习通APP(版本：4.8.1)曾因违规网络个人消息，被工信部通报，并请求其整改。同年7月，学习通(版本：4.8.5)因工信部检查发现仍涉及违规使用个人消息未实现整改，再次被通报。

　　6月22日，贝壳财经记者登录国度消息平安漏洞共享平台发现，超星学习通在2020年至2021年间划分被曝出过存在XSS漏洞、消息泄漏漏洞和逻辑缺点漏洞。其中，消息泄漏漏洞要紧为“超星学习通App存在消息泄漏漏洞，攻打者可行使该漏洞获得敏感消息”。别的，逻辑缺点漏洞为“超星学习通应用系统平台存在逻辑缺点漏洞，攻打者可行使漏洞导致任意用户账户登录及泄漏用户消息。”

　　凭据国度消息平安漏洞共享平台记录，超星学习通在漏洞发布后曾更新过补丁。

　　数据泄漏有表里因，防数据“裸奔”迫不及待

　　贝壳财经记者观察发现，只管当前无法确认黑灰产卖家标榜的“学习通数据”是否为真，但平台上曾经不乏大概被泄漏的门生个人消息，并几经倒手。记者注意到，黑灰产平台中，门生数据按本科生、硕士、博士、卒业生等被分类售卖。记者随即涉猎几名卖家提供的样本消息发现，少许乃至包含大门生的练习历史和中小门生的家长消息。

　　奇安信数据平安专家、数据平安子公司副总司理姚磊对贝壳财经记者表示，从以前多起数据泄漏事件来看，通常造成企业数据泄漏的原因既不妨外部的，也不妨里面的，也存在二者皆有。攻打者大概行使指标系统漏洞大概窃取到的特权账户，获得了响应数据库经管员的权限，从而实现拖库行为。“此类事件此前也时有发生，好比领英数据泄漏事件被证实为黑客行使其API漏洞所致。因此，企业应当增强数据平安防护力度，以免大量使用弱口令，对于发现的平安隐患要及时处分。”

　　姚磊称，里面原因也要分为两种情况：**种有不妨运维职员的欠妥操纵以致数据意外泄漏；第二种则是有内鬼作祟，若其里面权限管控缺失大概行为审计有马虎，里面工作职员(如数据库经管员)能够行使本身系统权限，将数据库中的数据批量下载下来，然后进行倒卖。从这个角度来看，企业应接纳技术手法，增强本身里面工作职员的权限经管和行为审计，对于某些逾越权限大概高危操纵应严酷控制。

　　在超星学习通被曝大概存在消息泄漏后，不少门生用户在社交平台公开发文质疑学习通的“使用次数”存在疑问。网友“我是谁小怪兽”称，自己只在去藏书楼需求预大概时才使用学习通，却表现了4926次使用。网友“奶茶不要全糖要微糖”表示，自己的学习通使用次数有6万次。

　　对此，学习通回应称，使用量不是"使用学习通的次数"，而是用户使用学习通时向服务器发出的页面请求次数，相似于互联网请求的pv值(pageview)，学习者有几十万学习通使用量是正常征象，而不是账号泄漏的阐扬。

　　邱同窗报告贝壳财经记者，学习通的使用次数和消息泄漏应该没有势必联系，“此次事件大概率是黑客入侵所致。”

　　他表示，自己介入过大量攻防操练，发现国内各大高校还需求将网络平安建设落到实处。“详细措施的建构，行业规范的订定需求有识之士配合努力。国度的网络平安建设有待各方长期配合发力，为更美好、更平安的互联网而战。”

　　奇安信团体副总裁、立异BG负责人孔德亮表示，比年来媒体多次曝出的消息泄漏事件再次评释，许多企业机构的数据处在“裸奔”状况，这是数据平安当前的主要疑问，防“裸奔”、补短板迫不及待，85%以上的客户需求从这首先。