注意!多个公众号被盗群发赌博广告,这次又是第三方平台授权的锅?

多个公众号遭恶意群发赌博广告
9月13日凌晨时分,“北京化工大学”、“五大连池”、“淮安民声”等多个公众号发布了同一条广告信息,其所呈现的链接和推广文字均含有赌博内容,链接更是疑似搭载木马病毒。
获悉后,公众号运营者们纷纷采取应急措施,把相关链接删除,并发布平台声明,向用户交代事实真相以防有人因此误点。
经果酱妹观察发现,这些公众号都绑定了第三方平台“微讯云端”,其官方微信号在9月15日早晨发布公告致歉并解释原因。
  
但令人意想不到的是,随后“微讯云端”公众号也惨遭“毒手”,“被”连发两条内容不同的灰黑产赌博广告信息。
 
该号在第一时间作出回应,同时也公开了微信官方安全助手的相关通知。通知显示,涉事公众号App id和开发者密码(App Secret)可能因无意间泄露后被黑灰产获取,利用其下发赌博类的文章内容,账号需重置开发者密码,否则仍存在巨大安全隐患。
被恶意群发是授权第三方的锅?
公众号被盗发早已不是什么新鲜事,微果酱此前就对相关事件进行过总结:
 

• 2015年12月31日,同属一家公司的三个公众号“福利电影院”、“18楼电影院” “抢先电影院”由于账号被盗发布了一则不雅文字消息;

• 2016年1月16-17日零点,“悦读”、“果然是个吃货”、“糗事速递”、“漂亮有约”在内的十余个公众号被盗,数百万粉丝收到相似内容的恶意信息;

 

• 2017年11月10日,“无锡生活网”、“腾讯光荣使命”、 “微宜春知宜春”等多个地域号被盗,用其群发淘宝客广告。

 

2017年时腾讯官方客服就曾回应称,“盗号者很有可能是通过API接口(即接入了第三方)直接群发的,不需要扫码也可以,建议运营者重置AppSecret”。
 
综合这次事件,基本可以锁定问题的症结所在——授权第三方平台导致的密钥泄露。
 
开发者密码(App Secret)就是我们所说的密钥,具有极高的安全性。一旦有人获取了你的密钥,那基本上就等于掌握了你的密码,而且群发不用扫码。
 
公众号在授权第三方时就包括了“群发与通知”等多种涉及账号隐私的权限。这一权限不需要通过管理员扫码确认就可以群发。一定程度上使接入了第三方的公众号处于未知的风险境地。
目前微信仍未彻底解决这个安全验证问题,为了保障公众号主在使用第三方平台时的权益和信息安全,微信亟需做到运营者通过任意渠道群发,都必须通过管理员扫码确认,这个问题或许就能迎刃而解了。
 
03
该如何应对这些风险?
目前已经有大批公众号发生了被盗发事件,为了避免“悲剧”重演,公众号主应及早重置开发者密钥。
 
在公众号后台左侧的「开发」模板下的基本设置里,公众号开发信息这一栏的开发者密码(App Secret)就是我们所说的密钥,运营者只需要点击“重置”,再按照系统引导便可完成。
至于未受波及者也应敲响警钟,提前做好预防工作。以免遭到不法分子的恶意群发和勒索。
 
1、授权群发需三思
运营者在使用第三方平台时不要一股脑地选择全部授权,尽可能只对所需的操作模块进行授权,比如你要使用卡券功能,那就授权卡券模块,群发等涉及账号隐私的功能还是得慎重再慎重。
 
2、有意识地取消第三方授权
对于信任度存疑或暂时没被使用的第三方平台可及时进行取消授权,将风险降到最低。

在公众号后台左侧的「设置」模板下的公众号设置里,选择“授权管理“这一栏,运营者便可查看自己已授权的平台,再点击右边的“查看平台详情”则可对第三方进行取消授权。

公众号被恶意群发广告信息从15年开始就发生不断,不定时的爆发让“中招”的公众号运营者们苦不堪言,即便幸免于难也难免人心惶惶。
高佣联盟邀请码:003355
除了运营者自身需谨慎使用第三方平台,微信开启诸如第三方群发权限扫码保护等措施也该提上日程,而作为此次事件导火线的第三方平台,必然得负起服务商的责任,加强平台数据库的安全保护,筑起用户信息安全的防火墙。
版权信息:文章作者:Ceci Ma   来源:微果酱 如有侵权联系v:yydfx1314删除

本文由 做淘客 作者:做淘客 发表,其版权均为 做淘客 所有,文章内容系作者个人观点,不代表 做淘客 对观点赞同或支持。如需转载,请注明文章来源。

5

发表评论