当心！昨夜十余个公号集体被盗，覆盖粉丝高达千万

来源|新榜

近日,“新榜指数800交流群”有运营者爆料称,多个微信公众号几乎同时推送了同一则文字消息,涉及淫秽信息,疑似公众号集体被黑。

今天早上,相关运营者向新榜确认这些账号全部被盗,他们已向警方报案。微信官方也已经介入,对相关涉事账号进行了删除信息、封号等处理,并表示将对此事进行深入调查。

● ● ●

昨晚发生了什么?

十余个账号同时发送违法广告信息

“养颜瑜伽”等公众号的运营者王某昨晚遭遇午夜惊魂,刚过12点,就有朋友打来电话,告知他们旗下的几个账号同时推送了一条包含链接的广告文字信息。这并不在日常运营的计划内,更令王某震惊的是,这条广告信息中的链接导向某不知名催情香水,明显是非法商品。这让整个团队如坠云里雾里,经过分析,他们确认账号被盗,已经在今天早上第一时间到当地公安机关报案。

据王某向新榜确认,此次他们旗下共有9个账号被盗之后推送了违法广告信息,分别是“养颜瑜伽”、“全球爆笑搞笑排行榜”、“全球健身指南”、“逗逼女王”、“魅力上海”、“一起神回复”、“月寒书社”、“逗唠坊”、“内裤都笑湿了”。

昨晚还有两个微信公众号运营团队也遭遇了类似情形。据新榜向这些账号的运营方了解,王某团队的9个账号粉丝总数在500万,其余两个团队被盗账号,粉丝也达到一百多万和三百多万。据此来算,此次被盗账号覆盖粉丝高达上千万。

而根据更多新榜旗下微信群所提供的信息,类似事件在2015年最后一天就曾发生过,手法类似,且发布的是同一则色情广告信息,极有可能是同一团队所为。

如果以目前微信公众号的一般广告报价来计算,此次给相关方造成的损失数以十万计。更严重的是对这些公众号声誉造成的恶劣影响,除了给不清楚实际情况的粉丝带来错误印象外,对于后续的发展和商业化也有极大负面影响。这也是运营方选择第一时间向警方报案的重要原因。

在此之前,微信公众号被盗事件也有发生,据其中一位受害者爆料称,号被盗后对方每天疯狂发广告以谋取非法利益,在所发广告被删除后,盗号者更是报复性地将订阅号升级为服务号,造成不可挽回的损失,多年辛苦一夕之间付诸东流。

微信公众号盗号事情频发,令人心惊。更让人忧虑的是,此次十余个账号几乎是在同一时间发布同一条违法广告信息,而且导流之后商品的交易流程十分隐蔽。

盗号后发布的广告链接,并不是指向某个固定的交易平台,而是导向另外几个发布具体商品信息的公众号页面,在极尽吹嘘之后,阅读原文链接导向一个购买信息登记页面,承诺货到付款。至于货从何来,何人操作,售后服务等信息,一概不知。

● ● ●

为什么被盗号?

可能与第三方平台方有关

虽然相关运营者告诉新榜,此次被盗账号并非全部都有授权给第三方的经历,但按目前分析来看,盗号可能与公众号的秘钥泄露有关,而第三方仍然有较大嫌疑。具体原因微信方面还在追查当中。

公众号第三方平台是开发者针对各行各业公众号的共性需求,在熟悉的行业和领域内所搭建的平台,主要为公众号提供行业解决方案或功能优化方案,如电商行业的公众号商城解决方案、图文消息的功能优化方案等。公众号运营者可以通过公众号授权机制接入第三方平台。

为了便于管理,也为了帮助公众号运营者快速理解所授权接口和功能权限,微信开放平台将权限集细分列举如下:

消息与菜单权限集

用户管理权限集

帐号管理权限集

网页授权权限集

微信小店权限集

多客服权限集

业务通知权限集

微信卡券权限集

素材管理权限集

摇一摇周边权限集

线下门店权限集

微信连WIFI权限集

授权之后,除第三方平台代公众号发起网页授权的过程中,需要用到公众号App ID之外,其他接口的调用,一般是根据第三方平台方的开发凭据(授权公众号的令牌)来完成,当然第三方平台方在获得开发凭据时,需要公众号的App ID等信息。由于获取公众号的App ID信息后,开发者具有极高权限,可以越过管理员进行很多操作,所以其中也隐藏了不少风险。

在2015年12月29日,微信团队曾发布《关于公众号第三方平台安全风险管理的公告》,对存在安全隐患的公众号第三方平台进行管理,主要措施为对存在风险的公众号第三方平台进行安全警告,以及对存在高风险的公众号第三方平台进行限期接入。微信方面今天也表示,接下来微信还将继续加强对第三方平台的监管。

● ● ●

微信方面怎么说?

协助追查盗号者并提醒

盗号事件发生后,微信官方对此也非常关注。新榜从腾讯微信风控总监郑立鹏处了解到,目前微信已主动介入,正在协助追查盗号的人或者公司,并优先给上述被盗账号进行安全升级。另外,盗号后发布的色情广告链接都已经被删除,且发布非法色情广告的相关账号都已经被永久封号。

微信方面表示,建议所有公众号运营者开启风险操作保护。开启微信保护后,除管理员和运营者可直接扫码验证登录和群发操作外,其他风险操作都需管理员微信号进行验证以保护公众号安全。此项操作可以在微信公众号后台的安全中心内开启。

防止被盗号的另一个建议是,取消不信任的第三方授权。因为账号被黑也有可能是因为第三方平台被黑。

此外,微信运营者不要轻易将登录账户、密码等给自己不熟悉的人。此前曾有运营者反映,有人在账号被封之后听信来历不明者可以帮忙解封的许诺,将账户、密码及主体资料全部拱手奉上,结果从被短期封号变成被盗号,最后因为推送违规非法信息等以至被永久封号。

2016年伊始,新榜希望新媒体运营朋友们提高警惕,不要让自己苦心经营的账号遭遇类似风险。