閱讀提示

    ●一個木馬病毒能控制數百萬台被黑客操縱的“肉雞”電腦

    ●今年上半年，遭遇病毒攻擊的中國網民達2.17億

    ●網絡攻擊背後是一條黑色利益鏈：製造病毒，傳播病毒，竊取信息，銷贓洗錢

    一群活躍在網絡的非法“騎士”，通過木馬病毒攻擊網遊私人服務器，非法獲利7000萬元，而他們多是僅有高中、初中文化的“80後”。日前，重慶市公安局網絡安全監察總隊破獲的這起非法入侵計算機信息系統案已向法院提起公訴。

    這起網絡攻擊案件，只是我國嚴峻的互聯網安全狀況的一個縮影。隨著互聯網的發展，尤其是電子商務的高速崛起，我國網絡安全受到嚴重威脅，黑客的攻擊和收益甚至已經形成一個龐大的黑色産業鏈。

    上半年新增釣魚網站218萬個

    超五成是假銀行、假中獎網站

    據中國互聯網絡信息中心（CNNIC）發佈的《第28次中國互聯網絡發展狀況統計報告》顯示，2011年上半年，遇到過病毒攻擊的中國網民達到2.17億，佔44.7%；有過賬號或密碼被盜經歷的網民達到1.21億人，佔24.9%，較2010年增加3.1個百分點；有8%的網民遇到過網絡消費欺詐，該群體規模達到3880萬。

    瑞星公司日前發佈的2011年上半年互聯網安全報告顯示，我國互聯網上半年新增病毒同比增加25.2%，其中木馬病毒402.4499萬個，佔76.12%。新增釣魚網站218萬個，超過1億人次的網民受到侵襲，造成的直接經濟損失至少達百億元。

    此外，國家互聯網應急中心在近日舉行的“計算機網絡安全年會”上披露的數據顯示，中國遭受的黑客攻擊很多來源於境外。2010年，國家互聯網應急中心監測共發現近48萬個木馬控制端IP，其中有22.1萬個位於境外；監測發現13782個僵屍網絡控制端IP，有6531個位於境外。此外，工業和信息化部互聯網網絡安全信息通報成員單位報送的數據顯示，2010年在中國實施的網頁挂馬、網絡釣魚等不法行為所利用的惡意域名半數以上在境外註冊。

    據北龍中網（北京）科技有限責任公司網絡專家胡軍慶介紹，目前黑客對互聯網攻擊主要通過以下方式和手段。

    第一，釣魚攻擊：通過欺騙手段（例如製作虛假網站、攻入網站數據庫）獲取敏感個人信息，如口令、信用卡詳細信息等。主要集中于網絡交易、即時通信、金融證券這三個領域。第二，木馬病毒攻擊：潛伏客戶電腦，竊取用戶口令、信用卡等信息，這也是釣魚攻擊的一種。第三，直接攻擊企業網站數據庫：利用企業網站數據庫的安全漏洞，竊取客戶資料，賣給網站競爭對手。

    “中國反釣魚網站聯盟發佈的數據顯示，截至2011年2月底，聯盟秘書處累計認定並處理的釣魚網站39854個。釣魚網站已經成為繼病毒之後，又一大互聯網‘毒瘤’。”胡軍慶説。據悉，釣魚網站類型佔比排名依次為假銀行網站佔33%；假中獎網站佔29%；假購物網站佔19%；假遊戲網站佔7%。

    網絡攻擊商業目的突顯

    個別企業用“保護費”換平安

    值得注意的是，近年來，商業化、大規模、有預謀的網絡攻擊逐漸增多，並由此形成一條黑色産業鏈：製造病毒，傳播病毒，竊取信息，銷贓洗錢。

    “實際上，2000年以後，大規模的網絡攻擊逐漸增多。網絡攻擊表現出的商業目的也越來越明顯。”從事網絡安全法律領域研究多年的北京師範大學教授劉德良説。

    根據瑞星公司的報告，今年上半年針對企業的網絡攻擊有增無減，婚戀網站、電商網站、團購網站等成為黑客攻擊的重點對象。由於這些網站儲存了大量的用戶資料、購買行為信息、銀行和信用卡資料等，黑客可以借此獲利。“由於攻擊十分普遍，個別互聯網企業和許多自身防範力量較弱的中小企業甚至只有交‘保護費’才能免遭攻擊，換取網絡安全。”劉德良説。

    胡軍慶認為，網絡上現在已形成了分工明確的網上黑色産業鏈，並向著組織化、規模化、公開化的方向發展：首先，黑客製作出木馬病毒，然後出售給不法分子；不法分子通過各種手段散播，控制用戶的機器，有時候一個木馬病毒能控制數百萬台“肉雞”電腦（指被黑客攻破，種植了木馬病毒的電腦，黑客可以隨意操縱並利用它做任何事情），再將“肉雞”電腦的控制權出售給有需要的人，用於攻擊競爭對手的網站，搶奪客戶。此外，不法分子還利用木馬病毒，記錄用戶的登陸賬號、銀行賬號等信息，轉移用戶的虛擬財産和銀行存款。

    安全立法相對滯後

    很多非法入侵行為在刑法規制之外

    與日益嚴峻的網絡安全形勢相比，我國的網絡安全立法則相對滯後。

    “目前還沒有網絡安全的立法。如軟硬體的生産、採購、市場檢驗，網絡安全人員的意識，上網規範等內容都是網絡立法應該關注的。”劉德良認為，已有的法律中對網絡安全的重要性也重視不夠。

    “比如，刑法關於網絡犯罪的規範主要集中在第285、286、287三條規定上。其實，從第287條的表述來看，它是將網絡看做一種犯罪工具，並不是作為一種新的犯罪類型來看待的。按照現行刑法，除了非法入侵國家事務、國防建設、尖端科學技術領域的計算機信息系統，其他非法入侵行為基本上都游離于刑法規制之外。此外，既有的立法對絕大部分製作、傳播和買賣具有危害性或危險性程序的行為無法適用。”劉德良説。

    另一個比較突出的問題是，部門規章、意見比較多，譬如關於網絡暴力、網絡主體市場準入等，卻沒有上升到法律的層面。“2010年7月1日起實施的《侵權責任法》裏，網絡侵權基本沒有體現。”劉德良説。

    相關專家也指出，互聯網安全誠信問題需要政府相關管理部門、互聯網相關企業和全體網民共同行動起來，從完善網絡安全立法、完善域名安全保障機制等各環節出發，才能真正建立起綜合防範機制。