关于禁止大量扫描网站/APP账号信息的提醒

维护网络安全，Ken的学习之旅在行动

对大量网站扫描说“不”

简单来说

近期通过新闻发现，一个网站/APP服务器遭受“撞库攻击 (Credential Stuffing Attack)”。

该科技公司已通知有关部门，并已处置相关黑客（攻击者）。

为提高网络安全性，并根据相关法律和技术规范，网站/APP服务器会对每次账号登录等操作记录、留存日志。

更多安全信息请参考之前发布的相关公告。

亲爱的同学、用户和粉丝们，

感谢您选择和使用Ken的学习之旅服务！

某其它网站/APP网络安全事件

近期Ken的学习之旅通过新闻发现，一个网站/APP服务器遭受“撞库攻击 (Credential Stuffing Attack)”，尝试了短信验证码API接口超过1300,0000次，并成功匹配注册账号超过30,0000个。Ken的学习之旅对本次网络安全事件高度重视。

在发现日志后，该互联网/科技公司已通知有关部门（网警），并已找到攻击者（黑客）、追究其法律责任。

提醒：网站服务器会记录操作日志

Ken的学习之旅再次提醒，在每一次网站访问、数据更新、API接口调用等操作中，网站服务器都会记录操作日志。

每一次登录（无论失败还是成功；尤其是大量密码错误的尝试）、获取验证码等操作都将被系统记录。

在以下情况下，网络平台可能会查看相应日志（调查取证）：

• 发生网络安全事件时；
• 出现bug、宕机等服务中断事件时；
• 日常维护、巡查过程中；
• 有关部门要求提供时。

根据中国《网络安全法》（第二十一条第三款）及相关技术标准/规范，网络平台/运营者应当留存网络日志至少六个月。

记录日志会提高网站/网络安全性，以快速追踪、追查非法网络活动（如黑客入侵）、宕机事故、bug等相关原因。

需要注意的是：

• 该措施在其它境内的网站和APP（包括小程序）等同样适用；
• 日志一般不会包含密码等用户保密信息（会加密存储），只会包含日期时间、IP地址、访问的网址链接等基本信息。

至今为止，未发现大量扫描、暴力破解Ken的学习规划师登录账号信息的行为，但要注意该行为将被记录在服务器日志中。

注：无意输错用户名/密码可以理解。打击的主要是黑客威胁网站/网络安全的行为（如大量尝试弱密码、暴力破解、撞库攻击）。

自研网站安全新技术

Ken的学习之旅了解记录日志的重要性，利用该记录日志方法和技术规范，自研、首创了“威胁网站/网络安全（大量扫描网站隐藏模块）自动劝阻系统”技术。

该新系统于2023年8月1日正式启用，并新增“曝光台”，公开展示系统劝阻无效、持续扫描的行为。

在该系统启用后，除了新扫描者以外，网站隐藏模块被扫描次数得到了减少（部分扫描者劝阻成功，已立即停止扫描行为）。

之前的网络安全相关公告

在2023年4-11月，Ken的学习之旅曾发布过多个网络安全相关公告，包括：

更多信息请查看以上公告。

请大家共同监督，争做网络安全“志愿者”。

维护网络安全，Ken的学习之旅在行动！对大量网站扫描说“不”

感谢每位用户的理解。如有任何问题、意见或建议，可随时联系我咨询、提出意见/建议。

Ken的学习之旅

2023年12月24日

中国广州