据外媒报道,安全研究人员本周发布了一款工具,可让用户使用面部识别功能收集大量人员的社交媒体资料。虽然这可能听起来像一个糟糕的主意,但该工具的创建者表示,它将帮助为安全专业人员提供与坏人使用的相同工具。 Social Mapper 工具是开源的,可以从LinkedIn、Facebook、Twitter、Instagram、Google +和中国 网站 微博和豆瓣以及俄罗斯社交媒体服务VKontakte收集个人的信息。 Social Mapper是由Trustwave的研究人员创建的。Trustwave是一家安全公司,主要 开发 用于渗透测试的工具,或用于测试系统安全性的授权模拟攻击。 业余互联网“侦探”可以轻松找到某人的社交媒体资料,特别是如果他们有这些人的名字和照片信息。 Social Mapper通过基于其名字的最多搜索结果对“目标”的个人资料照片执行面部识别检查来扫描大规模的个人资料。研究人员估计,1000人的名单可能需要超过15个小时 - 但它使用一种自动化和有效的方式来处理人们的社交媒体资料。 然后,程序生成合并所有数据的报告,其中包括指向目标社交媒体资料文件的链接。研究人员在博客文章中详细说明了该工具,它还可以为每个社交媒体网站检查的目标名称创建列表,以及可能的工作电子邮件。 此工具的既定目的是简化道德黑客的社交媒体网络钓鱼活动 - 这意味着,通过有效收集和生成目标列表,他们通过网络钓鱼活动以测试其客户的安全性,从而获得报酬。研究人员举了几个例子,说明渗透测试工程师可以用他们的工具做什么,例如在社交媒体上用虚假的个人资料建立目标,然后向他们发送恶意软件链接。 不难想象,这样一个可供公众使用的工具如何被恶意行为者利用,他们可以利用它来更有效地进行网络钓鱼和勒索软件攻击。Trustwave的一位发言人抨击了这一批评,称Social Mapper的目的是“渗透测试工程师和红色团队”,他们的责任是“利用黑帽黑客已经使用或最有可能使用的工具和技术来发现漏洞”。