传骇客以仅1千美金网上兜售5亿笔微博用户个资

上周多家中国新闻网站报导，有骇客将5.38亿笔微博用户绑定的手机号码、用户ID等个资放在暗网市集兜售，不过仅卖不到0.2比特币（约1,050美元）。

上周四中国南方都市报报导，有多家安全厂商监测到，一名暗网市集用户张贴标题为“5.38亿微博用户绑定手机号数据，其中1.72亿有账号基本信息”的讯息。其中包括用户手机门号、微博用户ID、以及账号昵称、相片、性别、关注数、用户所在地等资讯，但不包含密码。该卖家宣称这些资讯均为2019年搜集到，还提供400笔手机门号及1,500笔账号资料，供有兴趣的买家测试。

这将近5.4亿笔用户的个资，售价仅为0.177 比特币。按现在1:5934的汇率，大约等于美金1,050元或新台币32,000元。

之后媒体引述一代号为“安全＿云舒”的微博用户指出，经过验证有数名友人，包括外号“来总”的微博CEO王高飞的手机号码遭到外泄。经由外泄账号ID也可以查到用户手机号码，他说已经有人利用他的手机号码加他为友人。经过媒体求证，这名用户为前阿里巴巴安全研究实验室总监魏兴国。

魏兴国推测骇客是于2019年，透过微博的API取得这批资讯。不过他随后已删除留言。

但有媒体报导指出，有数名用户也表示自己的手机号码或身份证字号、地址证实遭外泄。

另一家媒体引述微博安全总监罗诗尧说法指出，本次放在暗网市集的手机号码，是去年骇客透过暴力破解通讯录上传的API而取得，其他则是由网络上搜寻到的公开资讯，而微博也在去年发现时封锁外泄且报警调查。