上周末乐高官网遭遇了一次奇特的黑客攻击。与传统的网络攻击不同，这位技术高超的黑客成功“拿下”全球知名品牌的官网后并未大肆窃取用户信息（例如信用卡号）或植入恶意软件在暗网套现谋取暴利，而是“精心策划”了一场加密货币骗局，但结局令人啼笑皆非，黑客最终仅获利几百美元。

乐高官网挂出大幅网络诈骗广告

上周五晚9点，黑客成功入侵了乐高的官网，并替换了网站的主题横幅图片，推出所谓的“乐高币”（LEGO Coin）。这张占据乐高官网最显著位置的横幅展示了一个任何一位乐高用户都不可能怀疑的，极具吸引力的广告（下图）：“全新乐高币正式推出！立即购买乐高币，解锁神秘奖励！”

黑客入侵乐高官网后将主横幅替换成加密货币诈骗广告 来源：Mescad

不过，这次攻击与大多数加密货币骗局有所不同。通常，加密币骗局会诱导受害者点击链接，连接钱包后立即清空受害者钱包。但这次，黑客似乎缺乏这方面的“野心”。点击“立即购买”的链接后，用户被重定向到Uniswap，一个合法的加密货币交易平台，黑客希望借此出售所谓的“乐高币”，并以以太坊（Ethereum）作为支付手段。

乐高很快意识到了这次攻击，并在75分钟内将其修复，网站在当地时间晚间10:15 PM左右恢复正常。根据乐高Reddit社区管理员“mescad”的描述，整个攻击期间没有乐高用户账户受到影响，也没有用户数据被泄露。

据BleepingComputer报道，乐高官方随后也确认了这次入侵，并表示：“2024年10月5日，我们官网上短暂出现了未经授权的横幅。问题已迅速得到解决，没有用户账户受到影响，客户可以继续正常购物。我们已查明问题原因，并正在实施措施以防此类事件再次发生。”

令人哭笑不得的是，这场高调的攻击几乎没有带来任何实际收益。据报道，黑客仅仅通过售卖“乐高币”赚取了几百美元。

高调入侵背后的“低调”收益

大多数黑客在获得大品牌官网的访问权限后，往往会选择更加“精明”的手段，如植入恶意JavaScript代码，窃取用户的支付信息或个人资料。然后，这些敏感数据会被黑客用于敲诈勒索、在暗网交易中出售获取暴利，或者直接进行欺诈性在线购物。

骗子兜售的“乐高币”历史交易记录 来源：coinmarketcap.com

与这些“高回报”操作相比，乐高黑客的这次攻击看起来更像是一次缺乏“商业头脑”的草率行为。攻击者似乎并没有最大化利用他们的“机会”，反而选择了一个轻松且相对“无害”的方式——推销假冒的加密货币。最终只带来几百美元的微薄收益。

相比之下，其他零售品牌的官网遭遇黑客攻击后就没有那么幸运，往往造成数百万甚至数千万美元的损失。

例如，2013年Target零售商的官网遭遇黑客攻击，导致了4000多万信用卡信息被盗，Target因此不得不支付1.8亿美元的和解费用。再比如，2020年，英国服装零售商Debenhams遭遇了一次恶意JavaScript注入攻击，黑客通过窃取用户的支付信息造成了数百万英镑的损失。

当然，乐高官网遭受的攻击损失如此轻微，还得益于其安全团队高效快速的响应措施。

最后，针对乐高官网的这次黑客攻击，虽然没有造成重大损失，但为其他零售品牌敲响了警钟。网站安全不仅仅是防范用户信息泄露的问题，还包括防止品牌形象和用户信任的受损。毕竟，大多数入侵者并不会像乐高这次的攻击者那样“手下留情”。

参考链接：

• https://www.reddit.com/r/lego/comments/1fwfp1z/comment/lqeagw6/
• https://www.bleepingcomputer.com/news/security/legos-website-hacked-to-push-cryptocurrency-scam/

声明：本文来自GoUpSec，稿件和图片版权均归原作者所有。所涉观点不代表东方安全立场，转载目的在于传递更多信息。如有侵权，请联系rhliu@skdlabs.com，我们将及时按原作者或权利人的意愿予以更正。