利用撞库攻击，一尼日利亚黑客将他人工资据为己有

据Bleeping Computer网站消息，利用利亚一名叫查尔斯·奥努斯（Charles Onus）的撞库尼日利亚人侵入一家人力资源公司的用户账户并窃取工资存款，此案已在纽约南区地方法院接受审理。攻击工资

根据起诉书和在法庭上的尼日陈述，奥努斯从2017年7月开始，黑客陆续将这家公司的将人据为己用户工资窃取并转移到了自己的银行账户中，直到被捕时，利用利亚已累计入侵了5500个用户账户，撞库总共转移了80万美元。攻击工资

奥努斯使用了简单而又粗暴的尼日方式——撞库来窃取账户。通过凭证填充，黑客攻击者使用从以前的服务器租用将人据为己数据泄露中获取的用户名和密码组合来登录账户。该方法不同于暴力破解或猜测密码，利用利亚因为它不涉及破解，撞库而是攻击工资依赖于受害者往往在多个平台上重复使用相同的凭证。

奥努斯已于2021年4月14日在机场被捕，并承认了相关罪行，最终的裁决将在2022 年 5 月 12 日公布。

其实，阻止撞库攻击的一个简单方法是使用多因素认证（MFA），除了用户名和密码，还需要一个单独的b2b供应网验证码，这类验证码通常通过短信或使用身份验证应用程序发送给用户，因此即使攻击者的登录名和密码被盗，如果没有 MFA 一次性密码也无法登录。

除此以外，用户也尽量避免在多个平台上使用相同或过于相似的账户密码，也不要使用过于简单的密码，比如根据Nord Security发布的《2021世界密码排行》，123456依然是使用人数最多的密码，这类简单且连续的密码往往给网络犯罪分子提供了可乘之机。云服务器

参考来源：https://www.bleepingcomputer.com/news/security/nigerian-hacker-pleads-guilty-to-stealing-payroll-deposits/