你的Apple ID是QQ邮箱吗？小心勒索变砖

Apple ID是苹果手机的生命线。

因为一旦坏人掌握了你的Apple ID，就可以为非作歹，折腾到你累觉不爱。

当年，为了防止手机失窃，苹果开发了“远程锁定”功能，可以“凭空”锁住被贼偷走的手机。

但是苹果也许没有预料到，这个功能却被坏人利用：

黑客通过种种方法搞到你的Apple ID和密码，然后把你的手机设置为“丢失状态”，从而远程锁定。一觉醒来，黑客变成了手机的主人，而你却变成了“小偷”。想要重新成为手机的主人，呵呵，掏钱。

说来，这个让人无限蓝瘦香菇的勒索方式其实很古老了。自从苹果推出了这项功能，就有坏人发现了“生财之道”。这种勒索方式之前一直在国外流行，让人恐惧的是，最近几个月，越来越多的中国用户遭到了“锁机勒索”。

骗子用来盗取QQ密码的链接，24小时内超16000人点击

一阵急促的QQ信息提示音吵醒了小诺，他像是把分散在床上到处都是的四肢逐个唤醒了一遍后才能挣扎着拿出手机看了一眼，发现才睡了不到15分钟……但当瞄到 “钓鱼链接”这四个字时，小诺硬生生咽下了即将脱口而出的抱怨，仿佛唤醒了身体中某个专属进程一样地突然兴奋起来，毕竟这是自己所负责的威胁情报工作中， 接触最多的一个关键词。

凭经验，这种手段一看就知道是钓鱼链接地址，不出意外的话点进去将会是一个仿造的QQ空间页面，还会有个登录框忽悠你输入自己的QQ账号和密码。这已经是一种非常古老的钓鱼方式了，但这次似乎它找到了一种新的方法绕过了腾讯的拦截过滤机制，让不明真相的群众误认为这是以QQ相册的“官方”名义发来的安全链 接，注意看那个链接左下角的“QQ相册”图示。

被盗的iPhone是如何一步步被黑客解锁的？

iPhone到底安不安全？这个梗已经讨论了很久了。而我今天要告诉大家的是，就算你的iPhone 6s设置了六位数字密码，并且还有touch ID的保护，黑客同样能够解锁你的手机。

为何正义的黑客不能帮你找回被扒的iPhone？

自从carry_your上次技术反制逼小偷还回iPhone后，很多雷锋网和宅客频道的读者反馈，希望有人帮他们拿回被偷的手机。

但是，这件事情很难，为什么难？我们先看一个悲伤的故事。

悲剧！遇上用零日漏洞“钓鱼”的黑客

作为一个优秀的网络安全从业人员，白帽汇的联合创始人邓焕与carry_your也曾是同事关系，提到那篇十分火热的报道《黑客讲述 | 我如何逼小偷把iPhone还回来》，邓焕脸上写满忧伤——他的女朋友曾经也被扒走了一个iPhone，然后有人天天发钓鱼短信来骗妹子的苹果ID和密码。

由于家庭安全教育做得十分到位，妹子及时通知了邓焕。

邓焕作为一个优秀的安全人员，想到的第一步当然不是乖乖输入ID和密码，而是研究这个钓鱼网址。然后，他登录了这个网站，准备攻击一下，发现点什么。

妹子的ID是用QQ邮箱注册的。邓焕痛心疾首地对雷锋网说：

“唉，我大意了！没想到这个骗子黑客愿意花这么大力气来夺取一个iPhone手机！”

原来，这位钓鱼的黑客花费很多精力挖掘了QQ某官网的一个XSS零日漏洞，只要受害者ID是由QQ邮箱注册，那么只要受害者打开这个网站，黑客就能利用这个漏洞，无需受害者填入苹果ID和密码，就可以劫持受害者的qq域名下的cookie信息，从而夺取受害者QQ邮箱的控制权。换句话说，他成了这个QQ邮箱的主人，可以随意获取邮箱的信息，如发到qq邮箱里的icloud重置密码邮件。

等等，零日漏洞是什么？为什么说这个黑客花了大力气？

“零日漏洞”(zero-day)又叫零时差攻击，是指被发现后立即被恶意利用的安全漏洞。通俗地说，即安全补丁与瑕疵曝光的同一日内，相关的恶意程序就出现。这种攻击往往具有很大的突发性与破坏性。

一般而言，QQ官网的零日漏洞一旦被腾讯发现或被报告给腾讯，会迅速得到补救（此处应给广告费），而零日漏洞也不是那么好找，也就是说，黑客费心费力研究的零日漏洞用在“钓鱼”一部手机上，消耗的成本太高。

邓焕为什么不像carry_your一样攻击钓鱼网站，然后联络小偷，逼他们把手机还回来？

呵呵，问这句话的少年，你还是太年轻。

邓焕说：“其实，在某宝上，就有专门的‘钓鱼’服务，这意味着，小偷和钓鱼网站极有可能不是一伙人，你攻击了钓鱼网站，威胁钓鱼的黑客，根本不管用。”

所以，carry_your技术反制找回手机的案例还是“天时地利人和”，不能大规模复制。何况，对方可能是一个愿意消耗零日漏洞来“钓鱼”的黑客。

虽然这件事情已经过去很久，但邓焕还是记忆深刻，因为在后来的一系列的网络安全事件中，邓焕发现，QQ邮箱经常中招。

最近，通过QQ相册盗取QQ邮箱和密码，从而对使用QQ邮箱作为苹果ID的用户进行远程锁机敲诈的新型手法浮出水面。

当然，除了锁机敲诈，坏人有利用其干更多坏事的途径。

抱着研究的目的，白帽汇安全团队曾潜入黑产贩卖QQ群，卧底观察包括QQ邮箱信息在内的数据贩卖生意。

上图瞻仰下安全人员卧底的成果之一：

据介绍，整个黑产链条大致有三类角色：出料人、收料人、买家。出料人是贩卖一手原始数据的人，这些原始数据有两类主要途径获取：第一，黑客入侵，拖库；第二，内鬼泄露。收料人负责对数据进行筛选、分类和测试，也可称之为洗料人，收料人可能自己也是最终买家，也可能将数据一层一层卖给买家。因此，中间可能还有数据倒卖商出现。这个产业中还有一个角色十分特殊——专门卖技术的人，即提供或制作技术工具。

这些安全人员曾用QQ小号潜伏在这类QQ群里，发现了许多重要安全威胁线索。比如，今年4~5月，一个某著名国产手机品牌的用户详细物流信息曾在该类QQ群里被叫卖，白帽汇获取了部分样本信息后提交给了该合作厂商进行分析，后来发现是由他们在武汉的一家物流承运商所泄露，于是采取了相应措施。

此后，由于要监控的安全威胁信息太多，白帽汇采用了监控软件。但是，经过长期监测，白帽汇发现，其实倒卖这些黑产的人，尤其是涉及其中的黑客，基本上是固定的圈子。

于是，白帽汇目前正在和上级监管部门合作，准备开展一个酷炫屌炸天的项目——黑客人员数据库。

这个黑客人员数据库囊括的是参与黑产的黑客，并不包括白帽子。不过，由于涉及到保密信息，不宜向公众公开，雷锋网只能文字描述下概况。

这是一个目前覆盖了约3万名黑产相关人员详细资料的可视化平台。有多么详细？通过大数据挖掘与实时监控，平台挖掘出了黑客的私人QQ号、邮箱、地区、每次贩卖资料的记录……

哦，对了，真的不是地域歧视，这些黑产从业人员的从业省份也很集中……

由于黑产中很少有单独作案人员，邓焕告诉雷锋网，后续他们将展开研究，将不同黑客之间的联系找出来。

但是，这个项目还要克服很多困难，比如，这个平台搜集的许多电子证据能否作为合法证据还需要有关部门进行认定。

　　▌本文来源：广州日报、苏州公安微警务、福州公安

　　央视网消息：手机号码不用了，去停机就可以吗？如果你这么想，那可就大错特错了！

　　网友买手机卡意外发现：前卡主的支付宝等信息 想知道的都能知道！

　　最近，朋友圈里流传一条消息：

　　帮儿子办了一张新的手机SIM卡，一放进手机，就显示这个号码已经注册了微信（系统里不断有联系人号码跳出来，要求加好友），再用这个手机号去查淘宝和支付宝，都轻轻松松进去了。 还好，我是个好人，要不然这个人绑定的银行卡里的钱，可能转眼就莫名其妙地没了……

　　这条信息来源自一位叫做“闹妈”的网友，她说，买到这张二次销售的手机卡后，发现前卡主用这个号绑定了太多信息。她想找前卡主，把他绑定的东西解掉。但是显然，再打这个号码是不行的，那么要到哪里去找前卡主呢？

　　闹妈在网上搜索了一下相关问题，谁知道一些相关“教程”跳了出来：手机号就是登陆名，只要你绑定了手机，而且还能贴心的告诉你这个手机是否注册了淘宝、支付宝；不知道登陆密码？系统还会告诉你，忘记密码怎么办，只需要一个手机验证码就搞定了。　

　　也就是说你只要有了手机号，账号和密码都有了！ 闹妈试试看，真的进入这个卡主的淘宝账户，各种信息都能看到——哪个学校上的大学，收货地经常在哪里，家住在哪里，女朋友家在哪里，以前在哪里，现在又到了哪里……

　　登录用这个手机号注册的微博，连密码都是默认的，所有自己和旁人能看到的微博信息都一一呈现，不光能知道原卡主的人生经历，连一些细微的心绪都一目了然。

　　用这种简单的重置密码的办法，肯定也进得去支付宝和绑定的银行卡。只要进去，就能像主人一样支配里面的钱了。细思极恐啊！

　　前卡主：大学时用的号码 换号后忘记解绑

　　“闹妈”通过手机卡上的信息，找到了一个常出现的号码，试着打了过去，希望能找到原号码的主人。当听完“闹妈”的电话，电话那头大吃一惊。很快，闹妈和手机号的原主人取得了联系。

　　这个手机号的前主人说，这是上大学用过的号码，工作后公司给了一个新号，旧号就不再用了，可是忘了它还绑定了微博、微信、支付宝还有两张银行卡。

　　“真是遇到好人了！解绑过程中，不断需要手机验证码，闹妈就不断发过来。”费了不少功夫，前卡主在闹妈的帮助下终于将支付宝等软件一一解绑。

　　原来，你停用的号码会被销号回收，二次放号给其他人用。如果你此前用它绑定了微博、微信、支付宝、银行卡等等等又没有取消，就很危险了！大部分人都未必意识到。

　　运营商：手机销号回收后 绑定其他公司的资料无法清理

　　通讯运营商的客服人员说，如果一个手机号欠费时间超过60天，就可能会销号回收，什么时候再放出来重新使用，时间可长可短，这个不一定。

　　为什么回收过的SIM卡里，还会绑定这么多个人信息？

　　客服回答说，这个是二次放号，与运营商公司相关的一些资料都会清理，但是别的公司的资料，没有办法清理。

　　攻略：手机丢失或号码停用咋办？

　　有些人的手机通讯录存有太多重要客户，但疏忽了，等扔了旧卡才知道晚了。此外，更换手机卡之后旧卡最好保存好了，以免被人利用。

　　2、手机号码不用及时注销

　　有些朋友在更换手机号码时直接把老的手机卡弃之不管，认为只要不用了就会自动关闭注销。事实上，虽然会自动注销，但是会耗费几个月的时间，在这段时间内，系统会自动扣除每个月的月租费，直到注销为止。手机与用户的信用度相连，为了以后的业务或者银行业务，请及时注销。

　　3、更改银行卡绑定

　　手机号码发生更改后，需尽快修改与之绑定的各种银行卡、信用卡密码。也可以登陆网银修改网银账号资料，更换手机号码。已经停机销号的只能带银行卡和身份证到银行营业厅办理。

　　4、更改QQ号、微信绑定

　　许多人通过手机号直接登录QQ和微信。建议更改手机号码前，在网上完成重新绑定。

　　5、更改淘宝、支付宝等应用绑定

　　可直接从网站更改直接更改绑定手机号。以淘宝为例更换新手机号需要原绑定手机的验证码才行，如果收不到验证码只能申请邮件更换或联系客服修改了。

　　8、更改12306铁道部火车票官网注册信息

　　一些超市积分卡、日化店积分卡，都是直接说手机号就可以享受折扣并累及积分的。也请记得及时更改。