國中畢業駭客網攻電商 盜刷23萬

國中畢業的許嫌,以「撞庫」手法攻擊電商網站警方當場在他電腦中查獲攻擊網站的數位證據。(翻攝照片林鬱平臺北傳真)

新竹24歲許姓無業男子,今年2月從網路購買民衆帳號密碼,以「撞庫」攻擊方式登入電商網站,成功破解5名會員信用卡驗證碼後,大肆盜刷購買23萬元遊戲點數變賣牟利,電商資安人員察覺有異報警,刑事局循線將許嫌查緝到案,依妨害電腦使用、僞造文書詐欺罪嫌移送新竹地檢署偵辦。

撞庫攻擊網站國內罕見

警方表示,駭客通常有「拖庫洗庫、撞庫」三部曲,拖庫是指駭客入侵網站,將註冊用戶資料庫盜走;洗庫是把偷來的不同資料庫進行彙整;最後將所獲得的外泄帳密嘗試登入其他網站就叫撞庫。許嫌則是從網路上購買駭客兜售俗稱的「菜單」,省略前面兩步驟,直接撞庫攻擊電商網站,這種駭客手法國內並不常見。

警方上門查緝父母驚訝

警方調查,僅國中畢業的許嫌,高中沒讀幾天就輟學,平日都宅家中沉迷於日本動漫與網路遊戲,父母親見警方上門查緝時驚訝不已,不敢相信兒子整天躲在房間內竟是當駭客。

警方指出,許嫌以數千元代價買到民衆在各網站註冊的帳密後,連續撞庫攻擊東森購物網站看是否能登入,一旦成功,他就馬上竄改會員資料中的手機電子郵件等聯繫方式,然後再用自行編寫的暴力破解程式,破解會員綁定的信用卡驗證碼後,盜刷購買遊戲點數。

有5名東森會員事後收到帳單,赫然發現信用卡被盜刷向銀行要求止付,令東森無法請款,總共損失23萬元,東森資安人員確認資料庫並未遭到駭客入侵或外泄情形,立即報警將相關資料交給警方追查。

警方循線鎖定許嫌,發現他竟靠着網上自學,就能寫出破解程式,幹員佩服他電腦功力的確很厲害,卻也感嘆他用在錯誤地方

警方發現,許嫌的電腦前幾天才全部重灌,幸好仍從中找到攻擊東森電腦系統的相關數位證據,並懷疑他可能不只撞庫攻擊一家電商,將再擴大清查有無其他網站被駭。

警方表示,民衆常因圖方便,將所有網站設定相同的帳號與密碼,但只要資料一不小心外泄,就會讓駭客能撞庫輕易登入所有網站,因此最好要時常更換帳密,做好資安防護才能避免被駭。