微博 5 亿数据被泄露了解的人进来讨论讨论

[codz]

1 这个 TG 的社工机器人为什么到现在还没有被封掉？
2 以太币和比特币交易真的就完全安全？
3 新浪的安全这块是不是有漏洞？合法授权然后被抓取的那种，类似 facebook 经历。

[d5]

1.这个 bot 曾上 cctv
2.相对安全，拿以太坊举例，bot 通过生成 eth 钱包地址，让用户转账捐赠，通过以太坊浏览器接口查询该地址的余额情况，实现起来很简单。出金的时候，通过转账到中心化交易所混淆，最后达到匿名转出的目的
3.泄露情况超乎想象，网上什么都有

[cabing]

@d5 感觉上网都是在裸奔。不管干啥 ，老祖宗说的好：慎言慎行。

[d5]

@cabing 是的是的，老祖宗说的对，谨言慎行，不要随意开口水炮，真实交流不做亏心操作就行了。不然稍微懂点技术的人有意扒你，基本跑不掉。

[uqf0663]

还有 社工机器人？ 叫啥？我去添加查查我的泄漏了没

[7654]

什么鬼，有牌牌的虫子？

[locoz]

1、因为管不着 tg，境外 app
2、相对于支付宝之类实名的东西当然安全非常多啊，随便就能新建一个账号用来收款。而且数字货币同样有做洗币的，有前面那一点的加持，效果更爆炸。
3、几乎所有厂商都被搞过，只是有没有被爆出来而已，间隔几年被放出一堆数据的情况比比皆是。所以密码不要多次使用、出事情了赶紧改密码，可以的话绑的手机号也最好是个注册用的非实名号，提前预防。

[tmado]

查了下，之前养成一年换一号的习惯还是可以的

[KIzuN1]

韭菜肉韭菜根本不会管，甚至还能创收，肉辶就不好说了

[wxcszh]

无语了，昨天喊我对象去改密码，他说 就算被搞也会是先弄那些有名的人，不会去弄他的，他这么默默无闻，不会有人盗号的。。。mmp

[aabbcc112233]

慌张的应该是那些大 V 和明星了，咱们小老百姓就算了吧。微博名誉扫地。

[kernelpanic]

不止 Facebook。。twitter，telegram 都被通讯录漏洞攻击过

[chanchan]

所以之前大家的账号并没有被买赞,大家的账号真的是被盗了而已,新浪清白了 /doge

[iiusky]

你在微博说这个事情会被封号哦，因为你说了对微博不利的消息🤣😂

[snw]

微博漏洞太正常了，前段时间又被自动大量加关注。这问题都多少年了，大概祖传代码没法救。

[swulling]

> 1 这个 TG 的社工机器人为什么到现在还没有被封掉？
因为管不到，而且机器人没有任何成本，要多少有多少。哪怕被举报了，随时可以替换

> 2 以太币和比特币交易真的就完全安全？
世界上没有完全安全，但是混淆太容易，要解决此事的成本高到没有国家 or 组织会为了这个事情去做。
目前查询价格转换为人民币大约 10 块钱一次，还是很便宜的，对有追踪特定目标的需求来说。

> 3 新浪的安全这块是不是有漏洞？合法授权然后被抓取的那种，类似 facebook 经历。

新浪的联系人匹配接口被人大规模利用了，方法很简单，就是喂给新浪一个随机手机号，看他匹配出的微博 ID 是那个。通过大规模穷举这个接口，就得到了微博 ID 和手机号的对应关系。
而 TG 提供的其他信息，应该是之前别的社工库交叉查询的结果，本次新浪只泄漏了全部 ID 和手机号的对应关系。

[WillZhangGZ]

歐盟: GDPR 罰款到手 加州：CCPA 罰款到手

[littiefish]

@locoz 听说过四件套，八件套没？

[littiefish]

@aabbcc112233 你一个小老百姓几毛。几亿个，这钱就多了。都这么想，没有一片雪花是无辜的

[est]

中国

[est]

很多中国人有个毛病就是自己不想看到的东西就希望封掉让别人也看不到

[justlgx]

自从微博莫名其妙把我的号封了，必须要人脸识别+实名验证才能解封之后，我就没用过微博了。

我的微博帐号是我某个邮箱，密码不和别的重复，微博里也没有我什么生活痕迹，所以我还不怎么担心。

[wangkq]

@iiusky 那不是正好，反正信息泄露了，注销太慢了🐶

[Agnie]

我的是 GV 号随便泄露

[tdzs2006]

@Agnie 单纯请问一下哈，国内账号绑定 gv 号，这样不就让国内账号和谷歌号联系起来了吗。。。我觉得国内账号和国外账号相互独立比较好。。。

[Agnie]

@tdzs2006 因为 GV 号也是小号.😉

[TypeError]

[TypeError]

网络流传的截图 不知道是不是真的来去之间

[Agnie]

@TypeError 准确的说,拿二手资料来看目前只说是手机号的呢. 我记得有人还发了这些图片

[tdzs2006]

@TypeError 那些微博大 V 就很难受呀。。。

[locoz]

@littiefish #17 能防一点是一点嘛🤣

[OrangeM21]

夹去之间说了这么多，就是没有一句道歉？

[laydown]

哈哈，国内服务都挺傻逼的。

[violetlai]

还好不玩微博

[love]

又不是带密码，意义不大

[jin7]

微博注册的姓名和身份证全都泄露了吗?????????
是不是真的 还是只泄露了手机号 其他***的是假的

[kernelpanic]

@love 意义不大？所有明星网红的手机号都泄露了，这算是国内最严重的信息泄露事件了！

[love]

@kernelpanic 然后呢，你拿到这个手机号想干啥

[zchzch1014]

@jin7 #35 只有手机号

[Telegram]

@OrangeM21 #31 就是，照他的意思来说，就是密码没泄露，问题不大，我们不道歉，反正拿去也没用。

[txx]

这事情是这样的，黑产们有一个手机号对应的各种社工库，然后微博有个功能，注册微博账号绑定通讯录，获取好友的功能，这个 API 被拉出来套在了这个社工库上。

[Kahnn]

拿到手机号可以干很多事啊，比如哪天微博上你正跟人撕逼，然后对方查到你手机号，再结合其他社工库数据，基本上你的邮箱、身份证号、开房数据、QQ 号、QQ 群关系全都有可能查到

[hanqian]

这种数据多到一定程度，只要不是一手的，就很难说清楚来源了，包括现在市场上卖的也肯定都是整理过的，很难确定责任归属了

[Chaning]

监控车欠件，还讨论啥

[sobigfish]

结果到今天微博仍不能改手机号（邮箱地址） 大概是直接拿来当主键了

[monkeydev]

@txx 吓总，最近在忙啥

[QUIOA]

@sobigfish 注销还要手持身份证:)

[lqmrt]

看了一下 tg 群里的反应，泄漏的信息都是好几年前的，还有部分人压根就没泄漏啥，暂时没发现某些大 v 被扒出来讨论。现在挺害怕当时自己注册了挺多自媒体账号还是手持身份证验证那些😭

[darluc]

说大了这就是不负责任的卖国行为

[pandasoda]

@sobigfish 修改手机号比较难 但是可以通过人工改

[vocaloidchina]

1.在网上不要怼人
2.
（ 1 ）如果要怼人请新建一块 vhd
（ 2 ）使用 bitlocker
（ 3 ）在里面安装 Windows10 最新版并且打好补丁
（ 4 ）使用至少两重 SSR 代理出去
（ 5 ）用 Tor 设置前面两重代理为前置代理
（ 6 ）注册邮箱使用 10 分钟邮箱，注册手机号使用临时手机号（+86 也是有的）
（ 7 ）使用随机字符生成器生成一个用户名和密码
（ 8 ）发布的怼人内容使用谷歌翻译翻译过去在翻译回来
（ 9 ）静候 30min 再点击发送

[JJustWe]

好奇我没有实名认证过，为啥真实姓名也被脱裤了。。。

[Zheming]

这个库的数据可以说是能见到的里面相当全的了。亲测查到了最多三年以内的新数据。只能说无能为力，诚惶诚恐

[jarnanchen]

数据应该说非常全了
基本上常使用互联网服务（不限于微博）的朋友，个人信息都是裸奔状态

[alphatoad]

我怀疑那个社工库有中国联通的数据，有一个地址在我印象范围内只给过联通

[tuobatian]

TG 那个机器人我试了下，确定了。
根据微博昵称可以得到真是姓名，身份证号，地址，手机号码，密码。
大家改密码吧

[cnyang]

这种东西都能卖钱，看来我真不是经商的料，唉

[christin]

我用免费的 1 次都能查出来明文手机号 这个号是在三年以内注册的 以后要定期扔号了

[PhyllisLin]

@christin 怎么免费查？

[zanrenXu]

@tuobatian 免费查一次吗？我输进去没啥反应😄

[Windelight]

其实只要有人愿意做，所有 app 里，包括 QQ 微信微博等等，这种带有“从手机号匹配好友”功能的 app，都可以穷举出所有手机号和其帐号之对应关系。虽然三家运营商将近半百的号段对应了 50 亿条规则，但是其中很多都还是无效的，踢出各种规则，再加一个三家的特定地区中间四位也特定，只要有人想要，还就不是一个难事。

[Telegram]

@PhyllisLin #58
@zanrenXu #59
点开那个机器人，随便发个东西，他会让你加群后再查，你加完群，就可以使用了。
直接发需要查的手机号，或者对方微博 oid 号，就会回复你查到的东西。
一般没充值的一天可以查 5-6 次的样子吧，具体没数

[bigyezi]

@Telegram 请教一下，哪里可以找到这个 bot 的 tg 链接，我想摸一摸自己的屁股

[Telegram]

@bigyezi #62 https://t.me/shegongkubot
这个

[bigyezi]

@Telegram 感谢

[snw]

@TypeError
这个洗地负分。
拿到的不是微博昵称，而是微博账号，意味着可以根据历史微博精准投放广告、诈骗信息、恐吓信息，比手机号随意投放的价值高几个数量级。

[MelodyCat]

不以为意的去查一下，qq 号输完不过瘾再查下微博，绝对震惊（怕了怕了

[labulaka521]

震惊!我绝对改掉我所有的密码😰😰😰

[labulaka521]

@labulaka521 决定

[lmmortal]

用了楼上的 bot，查出来过去用过的三个密码 幸亏我改密码比较勤快，不过真实姓名手机号什么的还是暴露了

[shuqin2333]

真是讽刺

[shuqin2333]

微博安全中心发微博：

[hhyvs111]

用了一下这个社工，感觉个人隐私已经暴露无遗了，如果碰到想搞你的人简直就是裸体状态。平时嘴上说着隐私不重要，真的发现自己隐私泄露了还是很慌的。

[shuqin2333]

有关“微博用户信息被出售事件”的说明

近日有报道称，微博用户信息在暗网上被出售，涉及信息包括手机号、密码等。对此，站方说明如下：
1.自 2011 年以来，微博一直提供查询通讯录好友微博昵称的服务，用户授权后可以使用该服务。但用户仅能查询到相关账号昵称，也可以随时取消授权。
2.站方发现，此前黑客通过手机号比对服务获得多个平台的用户信息，例如通讯录好友微博昵称、QQ 号、邮箱等，并抓取微博用户个人主页上的公开数据，以“5.38 亿微博用户绑定手机号数据，其中 1.72 亿有账号基本信息”的名义进行售卖。对此，站方已加强安全策略，并将详细情况上报给司法机关。
3.微博不存储用户明文密码，而是采取单向加密存储，用户密码并不会泄露。但是，当前安全形势严峻，依然有部分用户使用和其他平台相同账号密码，可能导致其微博账号面临被盗的风险。站方将不断强化安全策略，完善账号安全设置服务，以帮助用户提高账号安全等级，我们同时呼吁用户加强防范意识，保护好个人账号。

然后能在 telegram 上 查看微博安全中心绑定的手机号码

[xratzh]

好奇我的微博没问题，妈的怎么查到我 QQ 的……

[mizuku]

查出了我自己,大学和邮箱,电话,这些一起暴露过的应该只在招聘网站上,那些信息都是公开的没办法

[peterpei]

不是，他怎么能根据 qq 查位置的😥
改密码吧

[Zheming]

@Agnie gv 号能绑？好多地方都不接受 gv 这种 voip 的号码，我绑微博报错。

[Ayersneo]

查出来的是刚开始接触互联网用的密码和 QQ 号，微博也是一个小号，还好还好

[papapapap]

数据库 还有吗 找不到了

[hahavabs77]

微博的数据 BT 上都还有

[hahavabs77]

免費社工庫: t.me/sgk2023_03_30bot?start=SGK_R23W53GP
不喜的可以将=号后面删掉