黑灰產攻擊讓快手猝不及防。

“快手直播間出事了。”12月22日，接近午夜時分，類似的消息在網上流竄，大量網友在并不知曉詳情的情況下涌入快手直播間“吃瓜”。有網友告訴貝殼財經記者，自己只看到了不到一分鐘的“傳說中的內容”，直播間快速關閉。

幾乎在同一時間，正在直播的電商商家也被迫中斷，全平臺直播陷入宕機狀態，直播間一片寂靜。

23日凌晨，貝殼財經記者自快手獲悉，平臺于22日22時左右遭到黑灰產攻擊，已緊急處理修復中。“平臺堅決抵制違規內容，相應情況已上報給相關部門，并向公安機關報警。”

從攻擊發生到平臺做出“拉閘”的決斷，據記者采訪獲取的信息計算，大約經歷了漫長的兩個小時。

阻斷黑灰產攻擊為什么需要長達兩個小時？有網絡安全專家向貝殼財經記者表示，正常情況下平臺通常會有針對低俗、色情、暴力等內容的視頻審核服務。而一旦違規內容集中爆發，原本準備的視頻智能審核的云投入的并發不夠大，可能審核能力無法實時完成，也就造成了失控。而企業做出關停直播的決策也需要時間。

雖然快手按下了緊急制動“按鍵”，但互聯網的熱度卻不斷飆升。蘋果應用商店截圖顯示，截至12月23日午間，快手升至免費App（應用程序）排行榜第二名，快手極速版排名第15。

12月23日午間，快手再度發布公告稱，App直播功能已逐步恢復正常，其他服務未受影響。但資本市場仍舊用腳投票，截至記者發稿時，快手-W報每股64.35港元，下跌3.52%。

都有誰經歷了這“失控的兩小時”？黑灰產攻擊是如何找到漏洞的？平臺應如何從源頭加固防線？

01

有用戶目睹不到一分鐘的色情內容直播

在線人數達26萬

“快手直播間出事了。”

12月22日23時54分左右，一條來自朋友的消息，讓一位平時并不怎么看快手的網友點開了快手App。直播界面推薦的第一個直播間，讓他目睹了不到一分鐘的色情內容直播，隨后，畫面戛然而止。

該網友提供的截圖顯示，截至23時56分，直播間在線人數達26萬。隨后直播間關閉，他在23日0時6分左右再度點開快手直播頁面，頁面顯示“沒有內容”。

受訪者提供截圖顯示，當時直播間有26萬人。

風暴同樣掠過正在直播的主播。

一名快手電商商家向記者講述經歷時表示自己當時并不知道平臺遭遇了攻擊，“12時左右我們的直播被中斷后就直接下播了。因為全平臺都刷不出來直播內容，所以我們覺得這種情況一般都是平臺的問題，就沒有向運營反饋。”

另外，一位快手電商商家直播動態頁面顯示，其在22日20時29分至23時22分進行了直播，22日23時34分至23日0時9分再次進行直播，兩次直播短暫進行后均被中斷。

平臺知曉遭到黑灰產攻擊后，已緊急處理修復。但口子已被撕開，社交媒體網友熱議，甚至有傳言稱，違規直播間中隱藏著病毒鏈接，許多用戶點入后，微信賬號即被盜取，不法分子隨即向賬號好友發送借款請求，實施詐騙。

對此，微信在23日上午11時08分回應稱，經核實，上述信息不屬實。微信賬號有嚴格的安全保護機制，截至目前沒有發現相關問題和收到類似反饋。

23日，平臺直播間逐漸恢復正常，快手發布聲明稱，快手應用的直播功能已逐步恢復正常服務，其他服務未受影響。

輿論持續發酵，到23日中午時分，快手一度升至蘋果應用商店免費App排行榜第二名，而它前后分別都是老對手字節系產品，第一名是豆包，第三名是紅果短劇。

截至23日午間，記者查詢蘋果商店頁面發現，快手居免費App排行榜第二名，快手極速版居第15名。

02

當防線被沖垮：

算力擠兌與兩小時的決策困境

社交媒體上真假難辨的消息折射出快手此次遭遇黑灰產攻擊帶來給公眾的網絡安全憂慮。

根據今年9月國家互聯網信息辦公室公布的《國家網絡安全事件報告管理辦法》，地市級以上黨政機關、企事業單位門戶網站，省級以上重點新聞網站，大型以上網絡平臺等被攻擊篡改，導致違法有害信息大范圍傳播。以下情況之一，可認定為“大范圍”：（1）在主頁上出現并持續2小時以上，或在其他頁面出現并持續12小時以上；（2）通過社交平臺轉發1萬次以上；（3）瀏覽或點擊次數10萬以上；（4）省級以上網信部門、公安機關認定為是“大范圍傳播”的。

“從目前接收到的信息來看，（快手）大概率是被黑灰產集中利用開播導致的。幾萬個賬戶同時違規直播，占滿‘視頻AI審核’的算力，讓直播內容審核系統產生大量隊列甚至癱瘓，一定是這次攻擊實施的必經之路。”網絡安全專家曲子龍向貝殼財經記者解釋道。“快手這次的問題，很多人反饋出現了大量的新號開播，但是不是通過手機號注冊就能開播、沒做實名身份認證，還是實名認證被技術繞過導致這些群控用戶直接開播還未能確定。”

一位網絡安全行業從業者揭示了攻擊可能的起點：海量賬號注冊。黑灰產可能在一個存在大量手機SIM卡的“貓池”里以秒級為單位海量注冊以萬計的僵尸號。這些僵尸號注冊為平臺賬戶，再通過自動化腳本模擬真實用戶行為，例如在網頁上翻頁、點贊等，繞開平臺的風控模型，讓平臺誤以為它是真實用戶。而用戶IP地址敏感，或出現發表不良言論等異常行為才可能會引起平臺注意。

從快手宣稱遭遇攻擊到全平臺直播內容“拉閘”大約經歷了2個小時，背后可能是算力無法支撐大量違規內容并發審核，并且內部做出決策需要時間。顯然，這套日常運轉的防御機制，在當晚遭遇了極限壓力測試。

“這背后，是算力無法支撐大量違規內容的并發審核，以及內部做出重大決策所需的時間。”曲子龍解釋道。

他進一步解釋稱，在平臺正常運行、低俗、色情內容不多的情況下，上述工作流可以正常運行。一旦違規內容集中式爆發，原本準備的視頻智能審核的云投入的并發不夠大，一堆需要審核的內容同一時間瘋狂涌入智能AI審核任務里，造成審核能力無法實時完成，出現隊列和擁堵，審核無法第一時間直接快速給予業務反饋這個直播是否有問題，業務自然也不知道問題到底出在哪個直播間，要關閉哪個。

“即便是業務發現了集中式的情況，從發現問題，擴寬業務審核的‘通路’到發現涉及直播間數量太多完全失控，再換方案上報高層決策直接關閉整個直播間，對一家大公司來說一定時間是很正常的。停了直播間是重大事故，每分鐘都在創造經濟價值，這個決策不是安全團隊可以直接決策的。”他說。

企業網絡安全事故發生后擋不住的謠言更值得深思。平臺應如何從源頭加固防線？

前述網絡安全從業者認為，針對大量新賬號同步開播等異常場景，平臺需要提高風險評估機制敏感度，并具備時效性更高的中斷推流機制。另外短時間注冊大量新賬號的場景也需要一定的風控。

對于批量攻擊占滿審核資源的問題，他表示，一是加強算力，二是開設直播門檻，每個賬戶開播前都需要對比實名認證的身份與人臉核驗，顯然對黑灰產造成約束。

當下一次洪水來襲，堤壩是否已筑得更高、更智能？