3月24日，工信部網站發布消息，3月21日，因新浪微博被爆出用戶查詢接口被惡意調用導致App數據洩露問題，工信部網絡安全管理局對新浪微博相關負責人進行了問詢約談，要求其進一步採取有效措施，消除數據安全隱患。
一位金融行業的安全工程師告訴澎湃新聞（www.thepaper.cn）記者，在暗網發布「5.38億微博用戶綁定手機號數據」的賣家最後在線時間是3月24日，目前該商品的成交量是0單，無人下單。「賣家已經警惕，在暗網上，商品頁面標註了『當前交易處於修正中，暫時不能交易』。」該安全工程師說。
對於工信部的約談，新浪微博方面表示，公司高度重視數據安全和個人信息保護，針對此次事件已採取了升級接口安全策略等措施，後續將按照工信部要求，落實企業數據安全主體責任，切實做好用戶個人信息保護工作。
暗網無人交易，Telegram查詢火熱
「微博數據洩露」的討論起源是，3月19日，微博網友@安全_雲舒轉發一條微博（已刪除）稱：「很多人的手機號被洩露，根據微博帳號就能查找手機號，相信包括明星、企業家、公務員等人在內，也包括我的手機號，來總的（微博CEO 王高飛），也包括各位的。」
隨後媒體爆出，在暗網上，有人以「5.38億微博用戶綁定手機號數據，其中1.72億有帳號基本信息」的名義，對個人信息進行售賣。同時，Telegram也在售賣隱私數據，用戶通過比特幣/ETH數字貨幣充值後，可以利用微博ID反查出手機號碼。
「Telegram並非暗網，但裡面是匿名且使用虛擬貨幣交易，在微博數據被指洩露之後，過來測試湊熱鬧的人變多了。」另一位網際網路企業的安全專家告訴澎湃新聞記者，加入Telegram平臺的社工群後，提供查詢服務的是機器人，用戶既可以根據微博ID查詢手機號碼，也可以根據姓名、身份證號、QQ來查詢。
「社工庫可以認為是所有已洩露數據的集合，在這個庫裡，微博暱稱並不是唯一的查詢方式，不過，姓名查詢更不正確，因為存在重名的情況。」該人士說，但對於陌生人而言，他可以先通過微博ID匹配出你的手機號，再利用手機號進一步關聯查詢，匹配出更多的信息。當關聯信息足夠多，一個虛擬世界「完整的你」就很可能被匹配出來。
3月23日，上述兩位安全人士對Telegram上的數據做查詢測試，其中一位通過微博ID，在Telegram上成功查詢到自己及記者的手機號碼。另一位安全專家則以自己為例進行查詢，結果顯示並不準確，匹配出的信息並非自己的個人信息。
相較於Telegram的火熱，暗網的帖子則「看的多，買的少」。
3月5日，國內的一些安全公司通過監控，發現暗網上有人兜售微博用戶數據的帖子，這條暗網帖子在近日微博爆出用戶數據洩露後進一步發酵。
暗網上關於兜售微博用戶數據的帖子
「暗網上，5.38億微博用戶綁定手機號數據的售價約合1900美元，商品頁面上是一些資料庫的欄位信息，比如，userid是用戶的唯一標誌號碼，類型為text，phone代表手機號，此外，還有微博數、粉絲數、關注數、等級、性別、地理等基本信息欄位，但這些並非關鍵信息。」上述金融行業的安全工程師告訴澎湃新聞記者，截至3月24日，該帖子的交易量依然為「0」，頁面提示限制交易。
對於能否通過微博ID匹配出名人企業家的手機號碼，這位金融行業的安全工程師告訴澎湃新聞記者：「沒有必要，早在2018年10月，暗網上就有人降價處理全國17萬董事長的信息，數據欄位則包括姓名、職位、電話和公司名稱。為了取得買家信任，董明珠、雷軍、馬化騰等人的手機號被明文列出，不用花錢就看得到，這個帖子依然在暗網掛著。」
微博用戶暱稱曾被批量匹配
按照新浪微博方面3月21日的說法，自2011年以來，微博一直提供查詢通訊錄好友微博暱稱的服務，用戶授權後可以使用該服務。但用戶僅能查詢到相關帳號暱稱，也可以隨時取消授權。此前黑客通過手機號比對服務獲得多個平臺的用戶信息，例如通訊錄好友微博暱稱、QQ號、郵箱等，並抓取微博用戶個人主頁上的公開數據，以「5.38億微博用戶綁定手機號數據，其中1.72億有帳號基本信息」的名義進行售賣。對此，微博已加強安全策略，並將詳細情況上報給司法機關。
新浪微博方面人士告訴澎湃新聞，並非微博洩露數據，而是灰產非法竊取手機號後，又非法調用了微博數據。「理論上，如果你知道一個手機號，也可以通過查找功能，找到這個人的微信和QQ號，但不能說是微信和QQ洩露了他的手機號，在這件事上，微博也是受害者。」
據了解，在2018年底，曾有用戶通過微博相關接口通過批量手機批量上傳通訊錄，匹配出幾百萬個帳號暱稱，再加上通過其他渠道獲取的信息一起對外出售。
對此，極棒實驗室安全研究員宋宇昊告訴澎湃新聞記者，如果按照微博所述，黑產是通過大數據的方式，將不同渠道洩露的信息關聯匯總，那麼微博的失責在於洩露了暱稱與手機號的關聯，導致黑產拿到這些信息後，進一步關聯到其他渠道洩露的隱私信息，這完全是在微博的控制範圍以外了。「需要提醒的是，對於平臺來說，需要嚴格保護好用戶隱私，即使暱稱手機號關聯不算很敏感的個人信息，在洩露後通過黑產大數據也會導致嚴重的後果。」 宋宇昊說。
上述不願具名的金融業安全工程師也告訴澎湃新聞記者，雖然目前尚不能確定微博是隱私數據洩露源，但確實沒有保護好用戶數據。
「道理很簡單，有人拿少量的手機號碼來匹配微博暱稱，你可以說自己是受害者，但當別人用上百萬、千萬的手機號碼來匹配暱稱，如此令人吃驚的數量級，難道微博的風控沒有發現。」這位金融業工程師告訴記者，最終受害者還是普通用戶。
安全專家建議：勤修改密碼，為自己的帳戶分等級
據悉，在工信部對新浪微博相關負責人的問詢約談中，工信部要求其按照《網絡安全法》《電信和網際網路用戶個人信息保護規定》等法律法規要求，對照工信部等四部門制定的《App違法違規收集使用個人信息行為認定方法》，進一步採取有效措施，消除數據安全隱患：
一是要儘快完善隱私政策，規範用戶個人信息收集使用行為；
二是要加強用戶信息分類分級保護，強化用戶查詢接口風險控制等安全保護策略；
三是要加強企業內部數據安全管理，定期及新業務上線前要開展數據安全合規性自評估，及時防範數據安全風險；
四是要在發生重大數據安全事件時，及時告知用戶並向主管部門報告。
對於微博帳戶的密碼是否也會被洩露？
新浪微博在3月21的回覆中進一步表示，微博不存儲用戶明文密碼，而是採取單向加密存儲，用戶密碼並不會洩露。但是，當前安全形勢嚴峻，依然有部分用戶使用和其他平臺相同帳號密碼，可能導致其微博帳號面臨被盜的風險。站方將不斷強化安全策略，完善帳號安全設置服務，以幫助用戶提高帳號安全等級，我們同時呼籲用戶加強防範意識，保護好個人帳號。
平臺採取單向加密存儲，是否就能保證用戶密碼萬無一失？對此，上述網際網路行業安全專家告訴澎湃新聞記者，即使是加密儲存，對於攻擊者而言，也有「彩虹表」可查。「這個表是歷史上所有洩露的密碼字典集合，比如，如果一個平臺的伺服器被盜取，攻擊者並不能直接逆向得到你的密碼，但可以在彩虹表裡查到密文對應的明文，從而破解密碼。所以，平臺在做單向加密的存儲同時，要注重密碼的獨特性，也叫『加鹽』。」
上述金融行業安全工程師則建議用戶勤修改密碼，除了微博，應該為自己名下的各類帳戶分類。「涉及郵箱（綁定多個帳號）、網盤、學校（如學信網）、政府機構（如公積金）等帳戶密碼應作為特重要密碼，與普通帳戶密碼保持差異。」
(本文來自澎湃新聞，更多原創資訊請下載「澎湃新聞」APP)