天磊卫士(UGUARD)

广东省教育厅群发淫秽短信？API 安全问题不容忽视！

10月12日，有不少网友在朋友圈转发，在凌晨收到了来自广东省教育厅的淫秽短信，短信中还附带一个非法链接。

10月12日9点51分36秒，广东省教育厅发布声明：近日，发现有不法分子入侵我厅短信平台，以“广东省教育厅”名义向师生和家长发送包含非法链接的短信。我厅已第一时间向公安机关报案，并配合开展调查。请广大师生和家长提高警惕，切勿点击短信中的非法链接，避免个人信息泄露或遭受财产损失。

通过对附带网址链接x.lx2.com进行访问会跳转至dl2-4.ds.51daba.com.cn网址，2个域名均在工信部有备案，可能域名被出租。

通过短信方式进行群发通知，首先要和短信服务平台公司合作。系统需要与短信平台建立有效的通信连接，通常是通过API接口完成。接着，系统需要通过短信平台提供的API接口实现发送短信、查询短信状态等功能。在调用接口时，系统需要传递必要的参数，如短信内容、手机号码等。短信平台会返回相应的结果，如发送成功或失败的状态码。系统可以根据接口返回的结果进行相应的处理，如更新短信发送记录。

通过广东省政府采购网查询公开招标信息，政府单位，教育厅考试院的短信服务平台均由中国移动集团广东省分公司中标。造成此次安全事件的原因可能如下：

短信平台API被攻击

攻击者捕捉API接口流量，通过篡改报文内容进行攻击，短信服务平台接收到API接口的数据进行群发。需要对电话号码、短信内容进行加密传输，这个解释权在中国移动公司。

系统平台被攻击

教育厅与移动公司短信服务平台对接的相关系统平台被黑客攻击，通过系统平台群发违规短信。

网络钓鱼

教育厅工作人员被网络钓鱼，下载带有木马的文件，终端电脑被植入后门，从而访问教育厅相关的系统平台编辑发送违规内容。

网络安全形势日益严峻，网络钓鱼和API攻击已成为黑产的常见攻击方式。网络钓鱼通过伪装可信的电子邮件或消息，诱使用户泄露敏感信息，导致数据泄露或账户被盗。而API攻击则利用接口漏洞，进行数据窃取或破坏业务系统。因此，必须加强API安全措施，如身份验证、访问控制、数据加密、接口审计等。同时，提升员工安全意识，定期进行培训，防范网络钓鱼攻击，有效减少安全事件发生。网络安全无小事，防护工作需持续加强。

普法时刻

《中华人民共和国网络安全法》第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；

（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；

（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；

（四）采取数据分类、重要数据备份和加密等措施；

（五）法律、行政法规规定的其他义务。

第二十五条 网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险;在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。

第五十九条 网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。

天磊卫士提供一站式等级保护服务，网站安全检测，APP安全检测等，保障您的系统安全，预防不法分子入侵，欢迎讨论交流~