3月19日，南方都市报在其相关文章《微博5亿用户手机号疑在暗网出售！惊动微博高层》（bc1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8W2y4J5e0V1g2Z5e0r3R3K6K9@1&6Y4x3h3y4Q4y4h3k6E0z5s2k6$3c8q4N6K9f1g2!0q4c8W2!0n7b7#2)9^5z5g2!0q4y4q4!0n7z5q4!0m8c8q4!0q4c8W2!0n7b7#2)9^5b7#2!0q4y4q4!0n7b7W2)9^5b7W2!0q4y4#2!0n7b7W2)9^5c8q4!0q4y4q4!0n7b7g2)9^5y4W2!0q4y4W2)9&6b7g2)9&6y4#2!0q4y4#2!0n7c8q4)9&6x3g2!0q4y4g2)9^5y4#2!0n7b7g2!0q4y4#2)9^5c8g2!0n7x3q4!0q4x3W2)9^5x3q4)9&6b7K6g2Q4x3X3f1K6z5q4!0q4y4q4!0n7b7g2!0n7c8W2!0q4y4g2!0n7c8g2!0m8c8g2!0q4y4g2)9^5c8q4)9&6b7g2!0q4y4#2)9&6y4q4!0m8z5q4!0q4y4W2)9^5z5q4!0n7y4#2!0q4y4#2!0n7b7W2)9&6x3g2!0q4y4g2!0m8c8g2)9&6b7g2!0q4y4W2)9^5z5g2)9^5b7W2!0q4y4W2)9&6b7#2!0n7b7g2!0q4y4g2)9^5c8W2!0n7y4#2!0q4y4W2)9&6y4g2!0n7x3q4!0q4y4W2)9^5c8q4!0m8c8g2!0q4c8W2!0n7b7#2)9^5b7#2!0q4y4g2)9^5y4g2!0n7y4W2!0q4y4q4!0n7z5q4!0m8c8o6q4Q4x3X3f1%4x3W2!0q4y4q4!0n7b7g2!0n7c8W2!0q4y4W2)9&6b7#2)9^5z5g2!0q4z5q4!0n7y4q4!0m8y4W2!0q4y4g2)9^5c8W2!0n7y4#2!0q4y4g2)9&6c8W2!0n7b7g2!0q4y4W2)9&6b7#2!0m8b7#2!0q4y4q4!0n7c8W2!0m8x3g2!0q4y4W2)9^5x3g2!0m8c8W2!0q4x3W2)9^5x3q4)9&6c8q4!0q4y4q4!0n7b7g2!0m8y4q4!0q4y4W2)9&6z5q4)9&6x3#2!0q4c8W2!0n7b7#2)9^5b7#2!0q4y4q4!0n7b7W2!0m8y4g2!0q4y4g2)9^5c8W2)9^5b7g2!0q4y4g2!0n7c8g2!0m8c8g2!0q4y4g2)9^5c8q4)9&6b7g2!0q4y4g2!0m8c8W2!0n7z5g2!0q4y4W2!0m8c8q4!0m8y4q4!0q4y4q4!0n7b7g2)9^5b7W2!0q4y4g2)9^5x3g2)9&6b7g2!0q4y4g2)9^5y4#2!0n7b7g2!0q4x3W2)9^5x3q4)9&6b7#2!0q4y4W2!0m8c8q4!0m8y4q4!0q4y4W2!0m8b7#2!0m8x3g2!0q4y4W2!0n7x3#2)9^5y4q4!0q4z5g2)9&6b7#2!0n7x3W2!0q4y4#2)9&6b7g2)9^5y4q4!0q4y4W2)9^5z5g2)9^5b7W2!0q4y4W2)9&6b7#2!0n7b7g2!0q4y4g2)9^5c8W2!0n7y4#2!0q4y4W2)9&6z5q4!0m8c8U0t1H3x3e0W2Q4c8e0g2Q4b7U0W2Q4b7U0c8Q4c8e0W2Q4z5o6m8Q4z5f1q4Q4c8e0S2Q4b7V1k6Q4z5o6N6Q4c8e0W2Q4z5o6m8Q4z5f1q4Q4c8e0S2Q4b7f1g2Q4b7f1k6Q4c8e0g2Q4b7V1c8Q4z5e0g2Q4c8e0c8Q4b7U0S2Q4z5p5q4Q4c8e0c8Q4b7V1y4Q4b7e0m8Q4c8e0k6Q4z5p5g2Q4b7e0g2Q4c8e0g2Q4z5p5k6Q4b7e0y4Q4c8e0S2Q4b7e0u0Q4b7f1u0Q4c8e0k6Q4z5f1q4Q4b7U0c8Q4c8e0g2Q4z5p5q4Q4z5f1u0Q4c8e0g2Q4z5p5y4Q4b7U0W2Q4c8e0W2Q4z5o6g2Q4z5p5c8Q4c8e0N6Q4z5f1q4Q4z5o6c8Q4c8f1k6Q4b7V1y4Q4z5p5y4Q4c8e0g2Q4z5o6g2Q4b7U0k6Q4c8e0c8Q4b7V1c8Q4z5e0W2Q4c8e0g2Q4z5o6g2Q4b7f1y4Q4c8e0g2Q4b7V1y4Q4z5o6m8Q4c8e0c8Q4b7V1k6Q4b7e0q4Q4c8e0k6Q4z5o6q4Q4b7f1k6Q4c8e0W2Q4z5o6y4Q4b7V1c8Q4c8e0k6Q4z5e0S2Q4b7f1k6Q4c8e0N6Q4b7V1c8Q4z5e0q4Q4c8e0c8Q4b7U0S2Q4z5p5q4Q4c8e0k6Q4z5p5q4Q4z5e0y4Q4c8e0k6Q4z5f1c8Q4b7e0g2Q4c8e0N6Q4z5f1q4Q4z5o6c8Q4c8f1k6Q4b7V1y4Q4z5p5y4Q4c8e0g2Q4b7U0W2Q4b7U0k6Q4c8e0g2Q4z5e0m8Q4b7e0k6Q4c8e0S2Q4b7f1g2Q4b7e0c8Q4c8e0k6Q4z5e0S2Q4b7f1k6Q4c8e0S2Q4z5o6c8Q4b7U0q4Q4c8e0g2Q4b7V1q4Q4z5e0y4Q4c8e0u0Q4z5o6m8Q4z5f1c8Q4c8e0N6Q4z5f1q4Q4z5o6c8Q4c8e0g2Q4z5f1u0Q4z5f1g2Q4c8e0g2Q4b7V1q4Q4z5e0c8Q4c8e0y4Q4z5o6m8Q4z5o6t1`.

该文还引述了一位匿名资深安全人士的观点：通讯录匹配可以看做变相的爬虫行为。新浪微博可能没有对这个接口做监控和风控，导致个人信息的泄露。防范此类事情的发生，应该是企业的业务。

从数据泄露到暗网交易，中间少不了黑灰产的支持。众多安全自媒体的文章，也把大量的笔墨放在了对匿名聊天工具 Telegram ，以及如何从其上的“社工库”中获取这批被泄微博数据，并验证交易的真实存在。但是，作为企业背后提供专业安全能力的网络安全公司，这起突发事件中更值得我们关注的，是如何更有效的帮助客户，防范 API 接口可能引入的安全威胁，从而保护企业客户的C 端用户应享有的权益。

API 三大安全威胁与防护思路

绿盟科技认为，下面三种API 接口的安全风险需要我们予以重视：

1、API 的未授权访问

API业务逻辑漏洞难以在测试时被发现，业务场景复杂、迭代升级频繁，API权限控制较难做到万无一失，一旦某个接口权限控制出现问题带来的后果难以预料。

绿盟科技推荐采用代理API的API网关产品，对API进行全生命周期的权限管理，在API发布过程中实行审计、注册机制，运行中进行监测、异常熔断，在下线过程中及时注销对应权限，防止未授权访问，及时监控API风险。

2、API 参数的非法篡改

API参数的篡改和参数拼接已经成为API攻击中的一种主流方式，各类试探性攻击也通常采用此方式发起攻击，一旦服务端参数校验存在逻辑漏洞，API参数篡改很容易带来数据泄露、信息化资产损失甚至资金风险。

绿盟科技推荐采用支持API 防护的WAF产品，通过对 API 参数进行自学习，创建 API 参数规范，对不符合参数范式或者偏离值较大的请求进行异常告警。结合动态令牌，对通过篡改和拼接API参数发起的非法请求进行阻断。

3、接口滥用

有国际调研机构曾指出，2022年，API 滥用将成为最常见的攻击方式之一。短信、电邮等 API 接口被滥用，不仅给服务提供商带来了经济损失，同时影响了正常用户的业务办理。

绿盟科技推荐采用支持机器人管理的Bot产品，因为这类攻击往往是机器人流量发起的，才可以实现批量自动化。防护思路上，可以通过人机校验，有效感知并实时拦截自动化工具发起的批量攻击请求，对API进行基于用户行为的多维防护。

绿盟业务安全网关系统（BMG）聚焦于业务安全市场，主要用于业务系统的安全防护，补齐传统 WAF 设备的能力缺失。在防止自动化工具方面，绿盟业务安全网关系统可以通过通过机器人缓解、API 防护等功能，对请求流量进行识别，过滤出自动化工具的请求流量，同时针对关键 API 进行监控，防止其请求流量异常，来防止攻击者通过 API 资源滥 用获取到隐私数据，保障网站的数据安全和完整性。