12月19日，卡塔尔世界杯落幕，总决赛可以说是让观众一直紧绷神经。

梅西带领的阿根廷队与卫冕冠军法国队战成三比三平，最终阿根廷队通过点球大战取胜，成为世界杯冠军。

这是35岁的梅西第5次参加世界杯，也终于如愿捧回大力神杯。

这也是阿根廷队历史上第3次夺得世界杯冠军，上一次是在1986年由已故“球王”马拉多纳带队夺冠。

有人欢喜有人忧。

比如姆巴佩的粉丝，台湾就有这么一位工程师，直接****100万买法国队夺冠，结果可想而知。
除了心疼这位工程师朋友外，美国每日梦幻体育竞赛和体育博彩公司DraftKings的用户们最近也不怎么太平。

在一封12月16日的信中，有67,995用户的个人详细信息因违规而暴露给黑客，而上个月在另一起暴力黑客攻击中，一些特定账户还遭受到了不小的经济打击。
公司表示，用户的帐户名称、地址、电话号码、电子邮件地址等都有被泄露和记录的风险。此外，黑客还可以访问用户的个人资料照片、余额和支付卡的最后四位数字。
不过公司也说到，完整的个人卡号以及CVV代码和到期日期并未存储在主账户页面上。

泄露不来自DraftKings内部？

事情发生在一个平凡的周日。

当Justin White在度假时，妻子Lisa注意到他们的****账户不对劲，存在连续5次****500美元的记录。

****记录来自“DRAFTKINGS INC. BOSTON, MA”。

而且这是直接从“用于存款的****中提出来的”，随后White数次尝试登录自己的DraftKings账户，都没能成功。

于是他迅速申请修改了密码，也就是在那个时候，White意识到自己的账号可能被黑了。

登上账号修改了登录信息后，White尝试联系DraftKings的客服，但是最终他只是被要求填写一份承诺会回复他的表格。

DraftKings联合创始人Paul Liberman在一份声明中表示，大约有30万美元的客户资金受到影响，公司准备“补偿所有受到影响的用户”。

Liberman说到，“我们目前认为，这些客户的登录信息是在其他网站上被泄露的，只是这些登录信息和DraftKings登录信息是一样的”，“我们没有看到任何证据表明DraftKings的系统遭到破坏”。

最近，公司发言人James Chrisholm在一封邮件中写到，公司“在需要的司法管辖区向某些客户提供了关于凭证填充攻击的正式通知”，DraftKings也已经向所有受影响的用户补偿了损失的金额。同时重申到，目前仍然“没有证据”表明登录信息的泄露是来自DraftKings内部。

黑客还出了个教程，相关攻击逐渐增多

也就是说，黑客的攻击也是有迹可循的。这些被攻击的账户的共同点都是从5美元存款开始，然后更改密码，在不同的电话号码上启用双因素认证（2FA），然后尽可能地从这些账户的链接****中****。
DraftKings将这次黑客攻击称为“凭据冲浪攻击”（credential surfing attack），是由从“第三方来源”获得的用户名和密码造成的。该公司暗示，这次攻击是由于用户在不同的网站上应用了相同的用户名和密码，然后被用来访问DraftKings的账户。
在这类蛮力黑客攻击中，恶意行为者会使用垃圾邮件工具，使用从外部来源找到的密码，一次进行数百万次登录尝试。
在DraftKings宣布凭证填充攻击后，他们锁定了被攻击的账户，威胁者警告说他们的活动已不再有效。

DraftKings建议用户不要在多个在线服务中使用同一个密码，不要与第三方平台分享他们的凭证，同时立即在他们的账户上打开2FA，删除****信息或解除****账户的链接，以阻止未来的欺诈性****请求。
正如联邦调查局最近警告的那样，由于容易获得的自动化工具和泄露的凭证的汇总清单，凭证填充攻击的数量正在迅速增长。
9月，身份和访问管理公司Okta报告说，今年情况尤其严峻。公司在今年前三个月就记录了超过100亿次的凭证填充事件，这相当于Okta跟踪的整体认证流量的大约34%，这意味着每三次登录尝试中就有一次是恶意的和欺诈性的。
竞争对手体育博彩应用程序FanDuel也注意到，对系统的黑客攻击次数在近几个月有显著增加。
但是问题来了，在不同平台上设置了不同的密码，忘记了怎么办？
相关报道：

https://gizmodo.com/draftkings-hackers-sports-gambling-1849911810

https://www.bleepingcomputer.com/news/security/draftkings-warns-data-of-67k-people-was-exposed-in-account-hacks/

https://www.actionnetwork.com/legal-online-sports-betting/draftkings-users-hacked-money-in-account-cashed-out

专栏文章内容及配图由作者撰写发布，仅供工程师学习之用，如有侵权或者其他违规问题，请联系本站处理。 联系我们