超150家平台被黑客“恶整” 揭露其攻击方式

作者: cuiting   

　　自2013年P2P行业日益火爆以来，其遭遇黑客攻击的频次亦呈量级增加。不完全统计，自2014年起全国已有逾150家P2P平台由于黑客攻击造成系统瘫痪、数据恶意篡改等。年前三个月，仅广州地区便有逾20家P2P平台遭遇不同程度的黑客攻击，且逾半数平台在上线一年后需要推倒、重新建设其后台系统。

　　4月9日，一则名为“芝麻金融P2P网站数据库泄露可导致用户千 万级资金受影响”的漏洞，通过了国内互联网安全漏洞平台的后台审核，其中指出“造成逾8000名用户资料泄露，包括用户姓名、身份证号、手机号、邮箱、银行卡信息等”，涉及金额高达3000万有余。

　　对此，芝麻金融在官网上发表声明，声称“机构所有用户账户均已绑定第三方资金托管平台，未出现任何用户资金损失的情况”。芝麻金融的客服人员坦承，今早业内数家P2P机构后台均遭到攻击，很不幸芝麻金融成为了其中的一员。

　　芝麻“被黑”

　　作为安徽钰诚控股集团旗下的P2P平台，芝麻金融成立于2014年7月16日，2015年正式开展业务以及推出拳头产品——芝麻宝。孰料，运营不过数月，便已被黑客“盯上”。

　　其平台引入了社交圈子担保人模式，基本定位是以“MBA校友圈子”为纽带，以链接两端的资金方与项目方。然而，别出心裁的撮合模式、高净值的目标人群，亦难掩部分P2P机构后台技术的羸弱。

　　据了解，芝麻金融并非首次被黑客“攻破”，发现该漏洞的“白帽子”早前已监测到有社工论坛上流传着关于芝麻金融数据库的交流和互动，但直至4月9日，“白帽子”正式在乌云上对此予以披露，才得以引起市场的广泛关注。

　　据分析，从此次泄露数据库内容来看，并不像是人工整理，因此拖库的可能性较大，即黑客通过技术直接下载某平台的全部数据库。本次事件牵涉到的用户规模、用户数据规模尚不算太大，但目前数据库或已被其他机构或个人利用，则不再是简单的漏洞报告。对于一家P2P机构，发生此类大规模的信息泄漏不免让人质疑其后台的安全保障系统。

　　P2P后台重构

　　不少网贷平台在创业阶段极度不重视IT后台系统的建设，待运行一段时间后，后台团队才发现薄弱的网站基础根本难以承载用户、数据的量级增长。今年前三个月，仅广州地区便有逾20家P2P平台遭遇不同程度的黑客攻击，且逾半数平台在上线一年后需要推倒、重新建设其后台系统。

　　据介绍，黑客攻击P2P平台的方式主要有三种：最常见的是DDOS攻击，即利用合理的服务请求来占用过多的服务资源，从而使用户无法得到系统的响应。黑客会通过DDOS攻击向服务器提交大量请求，使得服务器运作超负荷。

　　其二是CC流量攻击，即同一时间频繁访问接口，导致服务器间歇性地出现中断；而第三种方式则是直接对系统的漏洞予以攻击。

cuiting