上周五，有一群公众号主过了一个并不平静的中秋节，多个公众号“被群发”同一条**广告信息，到底是哪里出了问题？

作者 | Ceci

责编 | 大红

出品 | 微果酱

01
多个公众号遭恶意群发**广告

9月13日凌晨时分，“北京化工大学”、“五大连池”、“淮安民声”等多个公众号发布了同一条广告信息，其所呈现的链接和推广文字均含有**内容，链接更是疑似搭载木马病毒。
 
获悉后，公众号运营者们纷纷采取应急措施，把相关链接删除，并发布平台声明，向用户交代事实真相以防有人因此误点。
 
 
经果酱妹观察发现，这些公众号都绑定了第三方平台“微讯云端”，其官方微信号在9月15日早晨发布公告致歉并解释原因。
  
但令人意想不到的是，随后“微讯云端”公众号也惨遭“毒手”，“被”连发两条内容不同的灰黑产**广告信息。
 
 
该号在第一时间作出回应，同时也公开了微信官方安全助手的相关通知。通知显示，涉事公众号App id和开发者密码（App Secret）可能因无意间泄露后被黑灰产获取，利用其下发**类的文章内容，账号需重置开发者密码，否则仍存在巨大安全隐患。
 


02
被恶意群发是授权第三方的锅？
公众号被盗发早已不是什么新鲜事，微果酱此前就对相关事件进行过总结：
 

• 2015年12月31日，同属一家公司的三个公众号“福利电影院”、“18楼电影院” “抢先电影院”由于账号被盗发布了一则不雅文字消息；

• 2016年1月16-17日零点，“悦读”、“果然是个吃货”、“糗事速递”、“漂亮有约”在内的十余个公众号被盗，数百万粉丝收到相似内容的恶意信息；

 

• 2017年11月10日，“无锡生活网”、“腾讯光荣使命”、 “微宜春知宜春”等多个地域号被盗，用其群发淘宝客广告。

 

2017年时腾讯官方客服就曾回应称，“盗号者很有可能是通过API接口（即接入了第三方）直接群发的，不需要扫码也可以，建议运营者重置AppSecret”。
 
综合这次事件，基本可以锁定问题的症结所在——授权第三方平台导致的密钥泄露。
 
开发者密码（App Secret）就是我们所说的密钥，具有极高的安全性。一旦有人获取了你的密钥，那基本上就等于掌握了你的密码，而且群发不用扫码。
 
公众号在授权第三方时就包括了“群发与通知”等多种涉及账号隐私的权限。这一权限不需要通过管理员扫码确认就可以群发。一定程度上使接入了第三方的公众号处于未知的风险境地。
 

 
目前微信仍未彻底解决这个安全验证问题，为了保障公众号主在使用第三方平台时的权益和信息安全，微信亟需做到运营者通过任意渠道群发，都必须通过管理员扫码确认，这个问题或许就能迎刃而解了。
 
03
该如何应对这些风险？

目前已经有大批公众号发生了被盗发事件，为了避免“悲剧”重演，公众号主应及早重置开发者密钥。
 
在公众号后台左侧的「开发」模板下的基本设置里，公众号开发信息这一栏的开发者密码（App Secret）就是我们所说的密钥，运营者只需要点击“重置”，再按照系统引导便可完成。
 

至于未受波及者也应敲响警钟，提前做好预防工作。以免遭到不法分子的恶意群发和勒索。
 
1、授权群发需三思
运营者在使用第三方平台时不要一股脑地选择全部授权，尽可能只对所需的操作模块进行授权，比如你要使用卡券功能，那就授权卡券模块，群发等涉及账号隐私的功能还是得慎重再慎重。
 
2、有意识地取消第三方授权
对于信任度存疑或暂时没被使用的第三方平台可及时进行取消授权，将风险降到最低。

在公众号后台左侧的「设置」模板下的公众号设置里，选择“授权管理“这一栏，运营者便可查看自己已授权的平台，再点击右边的“查看平台详情”则可对第三方进行取消授权。

 

 
公众号被恶意群发广告信息从15年开始就发生不断，不定时的爆发让“中招”的公众号运营者们苦不堪言，即便幸免于难也难免人心惶惶。

除了运营者自身需谨慎使用第三方平台，微信开启诸如第三方群发权限扫码保护等措施也该提上日程，而作为此次事件导火线的第三方平台，必然得负起服务商的责任，加强平台数据库的安全保护，筑起用户信息安全的防火墙。

***

本文为微果酱原创，转载请在后台回复【授权】。

更多精品内容点击查看

微果酱
暗访抖音刷量产业：100万播放量只需100元，20元就能上热门
微果酱
微信又㕛叒更新！这个烦人的功能，终于可以一键关掉了

声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。