昨天上午,第三方漏洞報告平臺“烏云網(wǎng)”披露,大量12306網(wǎng)站用戶信息遭泄露,已知公開傳播的數(shù)據(jù)庫涉及的用戶數(shù)據(jù)超過13萬條,泄露信息包括用戶賬號、明文密碼、身份證、郵箱等。12306官網(wǎng)回應(yīng)稱,網(wǎng)泄用戶信息經(jīng)其他網(wǎng)站或其他渠道流出,并提醒旅客不要使用第三方搶票軟件購票。隨后,百度、獵豹、360等多家第三方購票平臺發(fā)聲稱與此次用戶信息泄露事件無關(guān)。目前,公安機關(guān)已介入調(diào)查。
■網(wǎng)曝
超13萬旅客信息遭外泄
昨天上午,第三方漏洞報告平臺“烏云網(wǎng)”發(fā)布檢測信息稱,大量12306用戶數(shù)據(jù)在互聯(lián)網(wǎng)傳播售賣,已知公開傳播的數(shù)據(jù)庫涉及用戶數(shù)超過13萬條,包括用戶賬號、明文密碼、身份證、郵箱、信用卡信息、購買記錄等。
信息稱,泄露途徑目前未知,無法確認(rèn)是12306官方還是第三方搶票平臺泄露,漏洞已提交至國家互聯(lián)網(wǎng)應(yīng)急中心處理。
“烏云網(wǎng)”合伙人鄔迪表示,網(wǎng)站發(fā)現(xiàn)漏洞后,召集多名“白帽子”(正面黑客,可識別計算機系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)中的安全漏洞并公布)對遭泄露的數(shù)據(jù)庫隨機選取多組數(shù)據(jù)在12306官網(wǎng)進(jìn)行驗證,竟均能登錄。
記者從相關(guān)網(wǎng)站了解到,泄露數(shù)據(jù)信息的文件標(biāo)題為《12306郵箱-密碼-姓名-身份證-手機(售后群:31109xxxx).txt》,共計131653條記錄、文件約14M。
■回應(yīng)
123o6官網(wǎng)
泄露信息系其他網(wǎng)站流出
對此,12306官方網(wǎng)站昨天發(fā)布公告稱,經(jīng)網(wǎng)站認(rèn)真核查,此泄露信息全部含有用戶的明文密碼,并稱12306網(wǎng)站數(shù)據(jù)庫所有用戶密碼均為多次加密的非明文轉(zhuǎn)換碼,網(wǎng)上泄露的用戶信息系經(jīng)其他網(wǎng)站渠道流出。目前,公安機關(guān)已介入調(diào)查。
12306網(wǎng)站提醒,為保障信息安全,請旅客通過12306官網(wǎng)購票,不要使用第三方搶票軟件購票,或委托第三方網(wǎng)站購票,以防止旅客個人身份信息外泄。
同時,12306官網(wǎng)還提醒旅客,部分第三方網(wǎng)站開發(fā)的搶票神器中,有捆綁式銷售保險功能,請廣大旅客注意。
第三方購票平臺
多家搶票平臺發(fā)聲“表清白”
昨天,12306網(wǎng)站發(fā)表聲明后,多家第三方搶票平臺紛紛發(fā)聲“以表清白”。
百度表示,百度安全衛(wèi)士將搶票功能集成到安全軟件的安裝包中進(jìn)行保護(hù),用戶信息僅在安裝客戶端的電腦上,百度沒有存儲個人信息,不存在泄露情況。
獵豹也表示,此次事件與獵豹移動無關(guān),獵豹移動既不存在保存用戶數(shù)據(jù)行為,也從未推出必須使用明文密碼的離線搶票功能。
“360瀏覽器搶票軟件具有業(yè)界最嚴(yán)格的安全防護(hù)機制,從沒有發(fā)生數(shù)據(jù)泄露。”奇虎360安全工程師表示,此次12306數(shù)據(jù)泄露與搶票軟件無關(guān),而是與其自身網(wǎng)站存在漏洞被黑客撞庫。360方面通過對涉及此次信息泄露用戶進(jìn)行抽樣調(diào)查后發(fā)現(xiàn),有用戶沒有使用過搶票軟件或者采用了不同的搶票軟件。
此外,UC瀏覽器、攜程網(wǎng)、高鐵管家APP等搶票平臺也均表示與此次用戶信息泄露事件無關(guān)。
■探因
疑為黑客“撞庫”獲取信息
獵豹安全專家李鐵軍認(rèn)為,撞庫攻擊造成12306信息泄露的可能性較大。導(dǎo)致此次12306網(wǎng)站用戶數(shù)據(jù)泄露有可能是以下幾種原因:一是12306被入侵,數(shù)據(jù)被盜;二是第三方搶票軟件存儲了12306的數(shù)據(jù),被黑客入侵后被盜;三是黑客通過其他已泄露的郵箱數(shù)據(jù)庫,進(jìn)行撞庫攻擊。
“烏云網(wǎng)”合伙人鄔迪也表示,初步推斷可能是黑客通過“撞庫方式”獲得。
何為“撞庫”?鄔迪介紹,網(wǎng)友在網(wǎng)站注冊時,網(wǎng)站會將注冊用戶的數(shù)據(jù)保存在一個數(shù)據(jù)庫中。一些黑客會通過相關(guān)手段獲得并積累多個網(wǎng)站的數(shù)據(jù)庫,然后用積累數(shù)據(jù)庫的信息對某網(wǎng)站進(jìn)行逐個測試,當(dāng)撞到積累的信息可進(jìn)入某網(wǎng)站時,就獲得了該網(wǎng)站的注冊信息,這就是“撞庫”。
■影響
旅客購票信息可能遭篡改
鄔迪稱,12306官網(wǎng)的用戶信息遭到泄露可能造成三方面影響。一,由于網(wǎng)友可能在多網(wǎng)站共用同一個用戶名或密碼,因此遭泄露信息用戶的其它網(wǎng)站賬號可能會被盜用,更多個人信息因此被泄露;二,由于遭泄露信息涉及用戶的姓名、身份證號、手機號等敏感個人信息,因此會滋生各種不安全因素,比如遭遇網(wǎng)絡(luò)詐騙、信息詐騙等;三,泄露信息可能遭到黑客利用,旅客購票信息可能會遭到篡改。昨天,記者在微博上發(fā)現(xiàn),已有一些網(wǎng)友吐槽自己訂的火車票居然被退掉了。
相關(guān)網(wǎng)絡(luò)安全專家建議,用戶應(yīng)盡快修改12306登錄密碼;修改登錄12306時使用的郵箱密碼,郵箱和12306網(wǎng)站不要使用相同的登錄密碼。同時,切勿使用離線搶票功能。因為離線搶票就是第三方托管服務(wù),必須明文存密碼,且沒法加密。
對此,鐵路部門也提示旅客,一定要通過官網(wǎng)或官方APP購買車票,避免不必要的損失。
■鏈接
12306官網(wǎng)多次被曝存漏洞
◎2014年7月17日,“烏云網(wǎng)”曝光12306購票軟件存漏洞,正常一部手機同一時間只能有一個賬號登錄來購票,票販子利用漏洞可使用一臺電腦模擬多部手機多賬號鏈接12306的售票系統(tǒng),一人就可無限買一車廂的票。
◎2014年7月,網(wǎng)友稱利用12306官網(wǎng)漏洞購票可選上下鋪,該漏洞隨后被修復(fù)。
◎2014年1月2日,網(wǎng)友稱可用假護(hù)照、假身份證隨意訂票。用身份證生成器做假身份證號,用號碼可在12306網(wǎng)站上訂票。12306工作人員稱,因網(wǎng)站未與公安系統(tǒng)聯(lián)網(wǎng),故無法辨別身份證真?zhèn)巍?/p>
◎2013年12月6日,新版中國鐵路客戶服務(wù)中心12306網(wǎng)站上線,僅幾個小時后被“烏云網(wǎng)”指出存在漏洞,可能導(dǎo)致用戶信息泄露。
(記者 常鑫 韓旭 廖豐)