遊戲帳號又被盜了嗎？您想知道盜帳號的人如何盜您的帳號的嗎？想要知道如何避免的話，就要瞭解，盜帳號的流程，並各個流程加以防範。
盜帳號必須要有玩家的帳號密碼，並且用玩家的帳號密碼進入遊戲，盜取玩家的虛寶跟金幣，再將虛寶是遊戲裡賣成幣，然後再銷售出去，因此盜帳號的工作主要分為兩件工作，一.玩家帳號密碼的取得方式～此工作為駭客任務、二.如何將盜來的帳號變成幣再轉賣出去～此工作為洗貨商任務。
1. 取的玩家的帳號密碼：這部分為駭客所為，駭客將得到的帳號密碼，稱為信封，再將信封賣給洗貨商以供洗貨。
而駭客取得玩家的帳號密碼則分兩大途徑：1.入侵官方資料庫、2.放木馬。
1. 入侵官方資料庫：一旦入侵成功，就能順利取得所有此遊戲所有玩家的帳號密碼，之前各遊戲，幾乎都被洗劫過N次，就是以入侵官方資料庫的方法。而駭客如何入侵官方資料庫呢？方法筆者所知有三個方式：
1. 入侵官方網管、或程式設計師電腦取得資料庫帳號密碼：駭客利用官方提供的MAIL，寄送木馬信件使其取得客服人員的電腦權限，在由此電腦權限，想方設法尋找更多的公司內部人員，並用同樣方式，一步一步入侵，最後取得高階網管或工程師權限，則其對話記錄裡，可能有其資料庫密碼，或監控網管或程式設計師電腦，以取得資料庫權限。
2. 尋找官方主機或官方內部人員漏洞入侵：直接攻擊主機，以取得資料庫權限，但此方法較不易，然而官方公司人員通常習慣使用於一定區段之固定IP，因此要找出此段IP並非難事，雖然公司對外都設有有防火牆，但由於每個員工的電腦程度不一，再加上可能不當操作，或未做該有的更新，因此要利用WINDOWS本身漏洞，是有一定的機會，同上道理，以一步一步電腦，想方設法的入侵到網管或工程師電腦，雖然麻煩，但是那是比較有機會的方法。
3.利用網站程式設計之漏洞入侵：官方網站的網頁，必須要連結會員資料庫，會員才有辦法註冊、修改等作業，而官方的網站，通常以PHP或ASP等程式語言寫成，如非是非常有經驗的程式設計人員，設計出來的網頁，非常有可能產生漏洞，進而讓駭客從網頁程式進行探測與攻擊，如能上傳駭客程式，到網站主機內，則資料庫有很大可能被破解。
然而，之前因各遊戲廠商，幾乎都被駭客洗劫過，大為震驚，這兩年來各大遊戲廠商，在防駭安全性已經大幅提高安全性，但偶爾還是會聽見市場傳，賣XX遊戲資料庫。
針對上述所說的第一種駭客防範方式，建議MAIL SERVER完全獨立出來，並且對外使用的MAIL，跟對內使用的MAIL分開，則可有效防範，並且要求員工不得在MAIL、MSN等提到任何有關主機權限及帳號密碼。
第二種防範方式：教育訓練員工，隨時更新WINDWOS，並永續提升防火牆防護能力，網路上芳鄰只做部門連結，甚至不連結。
第三種方式防範方式：請高手吧，這是經驗，功力不足的程式設計師，做出來的程式碼，就是容易有漏洞，雖然基本道理簡單，但真的要注意到每個細節卻不容易，基本上只要是ASP或PHP程式設計高手，都能有效杜絕這個問題，並且主機採分離架構，DNS、IIS、SQL都分開管理，並且建置Proxy Server或偽主機，提升駭客攻擊難度。
防駭能力：在於兩點的提升，1.防駭技術的提升、2.防駭人事流程。
1.不管防駭的技術做的在怎麼好，如果有辦法從人事下手，通常網管跟程式設計師，不會認為自己會被當程目標，其實這是很錯誤的觀念，當防駭技術提昇到一定水準時，其實要硬闖是非常不容易的，大部分反而是利用人性的弱點，以上述兩種方式，很有耐心的慢慢入侵。
2.放木馬：隨著官方防駭能力的提升，很多駭客無法輕易得逞官方資料庫情況下，就改為放木馬，因為一般使用者電腦防護能力較差，比較容易得逞，而通常駭客放木馬的方式種類繁多，筆者依本身對資安的專業程度大致分析如下：
A.利用奇摩家族、或其他免費網頁或部落格。
B.將木馬與外掛程式結合在一起。
C.散發垃圾病毒郵件，夾帶木馬。
D.想辦法取得論壇、資訊站權限，虛擬主機等較易破解之主機再放木馬。
E.買廣告，實際夾帶木馬。
F.買流量，大陸有所謂的買賣臺灣流量，在流量中夾帶木馬。
G.討論區、論壇、流言版、部落格…等發佈假消息引導網友連結到惡意木馬網頁。
H.利用通訊軟體漏洞，傳木馬網頁，誘使網友點擊。
I.製作釣魚網站，使網友進入釣魚網站，而中木馬，甚至主動提供帳密。
因使用者對電腦使用程度不一，因此光靠網友資安知識防範，可以說很難的，目前大陸木馬製作技術進步，通常有心駭客，都會設計出不會被各大知名防毒軟體偵測出來之木馬，但由於木馬、病毒太氾濫，防毒軟體還是一定要用。要完全防範此點，除了網友本身要提高網路安全知識外，比較簡單的是有賴官方的輔助，例如設計：數位安全卡、USB金鑰、OPT機制…等各種方式加以輔助，唯獨目前市面遊戲商所售之安全防範卡機制等，價位實在偏高，遊戲廠商本身此安全防範不應該以獲利為主，而以服務為主，畢竟玩家不會被盜，就自然減少玩家的流失率。
如若駭下官方資料庫，在市場上有情報的較大的洗貨商則會收到情報，並且進行競標，若真的不性被拿下資料庫，此時官方應立刻發動平時就做好準備的危機處理作業流程。而駭客可能將同一個資料庫，賣給不同的洗貨商，這樣就照成玩家可能被洗劫多次，而若是木馬，則以封計價，例如一封0.7人民幣，最少量一次一千封，這樣的方式，而駭客同樣可能轉賣同一筆資料給洗幣商，那玩家一樣可能連續被打劫。
2.洗貨商：洗貨商買下駭客的信封（帳號密碼）後，則會開始進行洗貨，洗貨因為可能面臨迅速被官方凍結帳號的關係，因此流程需要相當快速完成，否則對洗貨商來講就容易賠本，但要快速洗貨需要大量人力，且員工也不易招聘，招聘來了也要時間才有辦法加快洗貨速度，而有時候洗貨商買到被別人洗過的信封時，洗了也是賠本，因此先不考量道德情況下，喜歡本身就是高風險與高獲利，買到好信封，並且能快速有效率洗貨，就大賺一筆，反之仍然會賠本，而洗貨商，而黑貨成本雖然比白貨低廉許多，但由於現在已經是黑貨天下，黑貨本身必須跟黑貨競爭，而有時候洗貨商可能買不到好信封必須停工，但因為人員不易招聘與訓練，洗貨商就必須隨時養著員工，並會做多款遊戲交叉進行洗貨，以降低空窗時期。
洗貨商的流程分為：1.瞭解何謂值錢裝備、2.搶登帳號、快速拔光玩家身上值錢裝備、3.快速瞭解此伺服器的物價行情、並以較低價格快速銷售成幣、4.快速銷售出去給其他貨商，或賣幣商。
1. 由於玩家身上的幣通常有限，因此洗貨是以搶奪裝備或道具變賣成幣，取得價值，但通常遊戲中會有重量或物品數量的限制，因此洗貨員工只會拔值錢的裝備，一些不值錢的裝備，則不會帶走，而洗貨員工在洗貨前，必須先瞭解這個遊戲中哪些屬於值錢的裝備，通常洗每款遊戲前，洗貨工作室，都會先叫員工背下值錢物品名稱，以加快洗貨流程。
2. 當洗貨員工知道要拔哪些裝備後，洗貨員工就會依照信封所記載的帳號密碼，一筆一筆搶奪玩家虛寶，而經常都會搶到在線玩家的虛寶，而這時候玩家很難強的贏洗貨工作室，原因在於，當有玩家跟著搶登的時候，洗貨工作室，會集合其他洗貨員工，很多人跟玩家搶登同一組帳號密碼，而若玩家發現有此情況的話，家中如有其他人可幫忙的話，一方面跟洗貨商搶登，一方面則要趕快跟官方申請帳號凍結，但通常可能大多都來不及，只是唯一的方法只能如此。
3. 由於每個遊戲值錢的裝備到局都高達上百種，而每個伺服器的物價卻不同，因此會有一組專門把專被賣成幣的員工，他們要負責迅速瞭解所有伺服器的寶物價格，然後再以市場較低的價格，快速賣出去，而當洗貨搶奪財寶的收寶帳號，累積到一定數量後，則交由販賣組，把這組身上的虛寶賣出去。
4. 賣出去的虛寶換成幣後，由於可能被官方凍結，因此需要盡快將此帳號的幣轉交出去，就會快速找買家，如本身具有臺灣銀行人頭帳戶的話，則一放面想辦法放給貨商，一方面自己快速在遊戲交易平臺銷售。如一天只能賣出5萬臺幣的幣，那基本上洗貨商本身就會盡量控制在只洗五萬，其餘的隔天在洗，因為被凍損失更大。
為何洗貨商員工難找，因為洗貨本身是一種偷竊行為，具有強烈的違反道德行為，因此通常洗貨工作室都不會對員工講這是偷竊犯法的行為而改以各種理由藉口，例如說明這是跟遊戲公司承接的業務，玩家才是偷幣的，誘拐員工，而當員工做一段時間後，就應該瞭解本身是在進行偷竊行為，這時洗貨工作室，則可能用兩岸情結，臺灣都是有錢人等等，在想辦法洗腦，而這些洗幣員工，因為已經洗一段時間，抗拒自然就不會很大，也就會慢慢接受，但整體來說，洗貨商不只對客戶偷竊，還要誘拐員工，算是黑心指數要夠高，才能作的到。
防範方式，當您確定被盜了後，消費者只能跟官方申請歷程記錄報案，但洗貨商幾乎清一色大陸工作室，通常玩家報案能有結果的比例很少，如果到這種地步，那玩家也只能自認倒楣，官方不理，遊戲幣商也不會理。
友善提醒：
筆者並不是真正的資安專家，如果有真正的專家願意提供意見與修正，歡迎提出。我只是將我所見到的與所知道的告訴各位。
目前通訊軟體盜帳號的事件頻傳，許多詐騙的連結也都在上面出現了。雖然我們國人已經算是「非常有防範」意識了，但難免有的時候精神不濟會不小心受騙。
最常見的盜帳號手法
關於被盜帳號這件事情，手段有很多種我們都覺得現在駭客神通廣大，防不勝防。
的確，高端的駭客可以透過一些奇淫巧技取得你的密碼甚至資訊設備的一切，但是技巧有高有低，低端的絕對比高端的多，駭客相關的黑色產業「盜號利用」算是最低端的操作行為了。
目前就筆者的了解，盜帳號目前最常見的依然是利用「虛弱密碼(弱口令)」入侵，換成白話來說，就是利用常見密碼來猜測。
例如：1234,5566 之類的很簡單猜到的密碼
當然現在在看這篇的你，一定覺得你的密碼超強的不是這種常見的密碼。那麼你的密碼是不是都是「同一套」呢?
弱口令除了簡單猜測的密碼嚴格的說起「重複使用的密碼」也算是弱口令的一種，實際上是不是這麼歸類的我並沒有研究，但這就交給真正的資安專家吧。
我們時常聽到「某大網站資料庫遭盜取」當然這對大多數人來說是個聽起來很無感的訊息，也許被盜取的網站是你註冊過的，但是可能很久沒使用了不是很在意，但真正該在意的並不是你在被盜網站的資料，而是你常用的密碼是不是就是「那個被盜的密碼」?
這個流程聽起來也許很夢幻或是很傻，但事實上許多時候程式上的工作，就是個「苦力活」，真正經營過大型網站的就知道，資料庫中擁有上百萬比客戶註冊資料，是很輕而易舉的事。
簡單的一個公式計算：
拿同一筆資料庫中的帳號密碼，拿去try各大網路遊戲、通訊軟體的帳密
的成功率假設是5%好了(現實應該更高)
1,000,000*0.05 = 50,000
也就是說每百萬筆的資料庫，能夠在「單一標的」的產值差不多是五萬組帳號
那麼接下來能做的事就多了。
網路遊戲偷裝備盜金幣、通訊軟體發廣告賺流量…..
只要把操作的流程簡化並且程式化之後，只需要把資料庫導進去，晚上睡個覺醒來就又有一大堆東西可以盜賣、寄送了。
資料庫有這麼好拿?
我不敢說有沒有這麼好拿，但是至少簡單 google 一下可以看到許多有趣的資訊
單純搜索出來的結果，若當真去買筆者沒辦法保証會不會有問題
這些若各位真的有空，可以加一下他們的QQ和他們聊聊，會發現有許多「臺灣站點」可以現貨供應。
資料庫這東西，並不像車子被偷了會感覺不見了，通常這種入侵是不知不覺的，資訊有「可複製性」，然而複製是不會通知你的。
臺灣有許多大站或是垂直網站東西可能都被偷了又偷，負責人也不自知。的確，站方有義務保持資料不被盜取，但是這不代表你不需要維護自己的資訊安全。
拿和臺灣比較切身相關的資料庫盜取的新聞有：
大公司如此，何況有些是完全無技術團隊的「大型垂直網站」?
那麼何解？
也許有些時候，真的要記起四五組密碼真的很難，那麼筆者提供一個比較簡單的方式，也許我寫出來之後，可能就沒用了，但就當是一種思考路徑自由發揮吧！
假設我常用的密碼是：geocube，我們可以將它設為幾個等級。
娛樂用：geocube
通訊用：Aageocube
銀行用：!Aageocube111
沒錯，都只有一組密碼，你變化的只有頭與尾的組合。
這方法也許非常容易理解，但是在「無腦重試」的破解方式中，可以有效的防範。
當然更好的解決方式，還是一個人在每個等級有不同的密碼。筆者只是提出方式，告訴你可以這樣設計你的密碼。
還是提醒這句話：站方有義務保持資料不被盜取，但是這不代表你不需要維護自己的資訊安全。
創作內容
[轉載][G]盜帳號全面流程手法大公開
巴哈About (74)
