“双12”警惕扫号软件 黑客利用软件能入侵用户支付宝账户

据《新闻晨报》报道，“双11”刚走，“双12”又来，在一个接一个的促销诱惑下，网民们不断向支付宝账户充值。而里面大量的资金，正成为不法分子最渴望的猎物。晨报记者经数周调查发现，有一些不法分子通过黑客买来用户数据，再将其输入专门设计的“扫号软件”，便能轻而易举入侵用户的支付宝账户，进而转移资金，或者进行其他类型的犯罪。

支付宝绑定银行卡被盗刷

家住宝山的周先生就是“扫号软件”的受害者。11月10日23时40分到23时44分，短短4分钟内，他的工商银行(601398,股吧)储蓄卡被人通过支付宝盗刷3万元。经查，周先生的支付宝账号和密码被不法分子盗取，此后不法分子又通过定向快捷支付方式，将周先生支付宝绑定的工行卡内资金盗刷。

支付宝调查发现，不仅用户的支付宝密码被盗，所绑定的银行卡卡号、户名等相关信息也被盗。而支付宝账户被盗的原因，很可能是周先生在其他网站、论坛使用了同样的账户密码，被不法分子利用了，进行了“扫号”。

与一般点对点的“盗号”直接获取目标账户密码不同，“扫号”是通过曲折迂回方式获得账户密码。打个比方，一个人的账户、密码就好比家里的大门和钥匙，“盗号”就是不法分子盯上了你，一心一意窃取你家的钥匙从而实施盗窃。而“扫号”则不同，不法分子批量窃取成百上千户居民家中的各类钥匙，一旦你家某扇门与批量钥匙中的一把匹配，那么不法分子就能从批量钥匙中试探出开启你家大门的那一把。

实为自动批量登录工具

扫号软件究竟是一个怎么样的软件？360资深安全专家安扬向记者揭开其真实面目。

“说白了，扫号软件其实就是个自动批量登录工具。”安扬解释，“由于很多网站被黑客盗取用户密码库，如此前的CSDN、天涯等多网站用户数据泄露事件，而且有不少网友习惯在不同网站设置相同的注册邮箱和密码，扫号软件就是利用网站泄露的数据库，针对QQ、微博、电商、游戏等平台进行自动批量登录操作，找到能够成功登录的账号。”

举例来说，CSDN网站数据库泄露了600余万个注册邮箱和密码，其中包括很多QQ邮箱注册用户。黑客想知道这些QQ号是否使用了和CSDN相同的密码，逐个手工验证是非常麻烦的，于是就会使用扫号软件自动尝试登录，把能够成功登录的QQ号全部扫出来。

“一般来说，扫号器都是针对某个网站或程序制作的，比如对QQ的扫号器，对微博的扫号器，对淘宝、京东等电商网站的扫号器。”而根据网站防范措施的不同，扫号器的技术含量和制作成本也有很大差别。

［记者体验］

通过扫号软件真能成功登录他人账户

数据正确但无法登录

为了一窥“扫号软件”的真面目，记者进入名为“扫号器数据互换交流群”的QQ群中，并联系到了卖家“小何”，提出要购买淘宝主题的扫号器，对方开价500元，并附赠一个数据包。

付款后，对方很快通过QQ发来一个近9000个账密的数据包文本文档和“阿里和淘宝晒密1.03”扫号器。按照卖家示范的操作步骤，记者开始亲自“扫号”。几分钟后操作完毕，8971个账号中有183个显示“淘宝登录成功”，并明文显示账户密码。不过记者发现用其中的一些账号并不能成功登录淘宝，而是出现了“您的账户可能被盗用，暂时限制使用，请按步骤自助开通”的页面提示，页面跳转后显示需要手机接收并通过验证码。