為什麼最近通過163郵箱註冊steam賬號容易被盜！？

01-27

最近dota2玩家都知道，大mu神通過163郵箱註冊的steam賬號被盜了。貼吧水友也常常有人發帖說自己賬號被盜，那麼問題來了，盜號人通過什麼手段盜號的，我們又該怎麼防範不幸的發生呢！

大家應該有這麼一個最基本的常識，私人郵箱以及涉及金錢的各種賬戶密碼應到做到密碼相互獨立不重複。

然而很多人並不在意，所以被盜號

另某良心企業

直接貼一個烏雲的鏈接吧，更多的大家可以點進去看

網易某重要介面撞庫泄露用戶登錄憑據(有批量賬號證明)

（【科普貼】科普一下steam怎麼盜號的來源SG稍微修改了下）

以前比較流行的就是鏈接盜號，就是你點一個跟steamcommunity差不多的鏈接，然後點進去讓你輸密碼，然後再按個插件，這種就是比較弱智的。

原理是什麼呢，首先你點進去了，輸入賬號和密碼他就知道你的賬號和密碼了。

但是光這樣還是不行，因為一換電腦就要郵箱驗證，沒有郵箱還是不行，而且就是驗證了也要等7天才能交易，他那個插件的作用呢就是把你steam用來判斷是否是同一台電腦的那個文件上傳到黑客哪裡了。

這樣他的steam就認定是他的電腦和是同一台電腦了，所以只要有賬號密碼就不用郵箱驗證也能隨便登錄無限制交易。

而這次的情況又略有不同，被盜的都是網易的163郵箱的賬號，這就要換個方向思考了，為什麼只盜網易的郵箱呢，會不會是因為他們只能盜網易的郵箱呢？

沒錯，他們就是只能盜163的郵箱，這裡呢就設計到一個術語了，叫撞庫。

撞庫是一種針對資料庫的攻擊方式，方法是通過攻擊者所擁有的資料庫的數據通攻擊目標資料庫可以理解為用戶在A網站被盜的賬戶密碼來登陸B網站，因為很多用戶在不同網站使用的是相同的賬號密碼因此可以起到獲取用戶在B網站的用戶賬戶從而達到目的。

就是我偷到一個網站的資料庫，裡面有一百萬個用戶的用戶名密碼，那我怎麼用這個東西賺錢呢？

實際上，很多網站註冊都要郵箱，許多人為了省事，就把用戶名和密碼設成和郵箱一樣的了，那麼如果我用這一百萬個用戶名密碼一個一個的試另一個網站的密碼，當我試到這種懶惰用戶的時候就會發現他在兩個網站的用戶名密碼完全一樣。

所以這次就是某個黑客搞到了163郵箱的部分資料庫（可能是盜的也可能是通過別的網站資料庫撞庫的來的），然後用這些用戶的資料來steam上登錄，因為是先盜取郵箱反向來的，有了郵箱就什麼問題都沒有了，並不需要你點什麼連接，所以也只能盜綁定網易郵箱的賬號。

我現在幾乎沒用的126郵箱最近幾年每個月至少收到2~3次的異地登錄提醒，我密碼改了不下10次，手機密保令什麼的都綁定過了，設置每次登陸都要求驗證，但是問題依舊，感覺網易郵箱的安全系統如同虛設，問題還不知道怎麼註銷。還好幾年前早就把主要郵箱轉換為gmail了，現在基本不敢用國內的郵箱註冊什麼重要的賬號了，什麼steam、Apple ID之類有金錢賬戶的賬號基本都用gmail註冊

我是最近被盜號的，也是163的郵箱。最近期末考試，一周沒上線，之後就發現密碼被改，郵箱被改。最蛋疼的是郵箱什麼都沒有，按道理steam會發送郵件提示其他電腦登錄什麼的，也有可能是被刪除了…不過後來提交客服，直接就幫我重置了郵箱和密碼，飾品也沒丟，真是好險

猜測應該是撞庫撞出來的。能撞出來說明他在其它網站的用戶名和密碼泄漏了，怎麼泄漏的？有人專門從事這種活動叫拖庫，就是利網站薄弱的地方進入伺服器把資料庫文件下載下來。

所以安全是一種意識，也是一種技術。