某數(shù)據(jù)網(wǎng)站用戶(hù)12月10日晚8點(diǎn)22分發(fā)帖稱(chēng)，可下載遭泄露的用戶(hù)信息，并配有用戶(hù)信息截圖。網(wǎng)絡(luò)截圖

 

 

　　昨天上午，第三方漏洞報(bào)告平臺(tái)“烏云網(wǎng)”披露，大量12306網(wǎng)站用戶(hù)信息遭泄露，已知公開(kāi)傳播的數(shù)據(jù)庫(kù)涉及的用戶(hù)數(shù)據(jù)超過(guò)13萬(wàn)條，泄露信息包括用戶(hù)賬號(hào)、明文密碼、身份証、郵箱等。12306官網(wǎng)回應(yīng)稱(chēng)，網(wǎng)泄用戶(hù)信息經(jīng)其他網(wǎng)站或其他渠道流出，并提醒旅客不要使用第三方搶票軟件購(gòu)票。隨后，百度、獵豹、360等多家第三方購(gòu)票平臺(tái)發(fā)聲稱(chēng)與此次用戶(hù)信息泄露事件無(wú)關(guān)。目前，公安機(jī)關(guān)已介入調(diào)查。

 

　　■網(wǎng)曝

 

　　超13萬(wàn)旅客信息遭外泄

 

　　昨天上午，第三方漏洞報(bào)告平臺(tái)“烏云網(wǎng)”發(fā)布檢測(cè)信息稱(chēng)，大量12306用戶(hù)數(shù)據(jù)在互聯(lián)網(wǎng)傳播售賣(mài)，已知公開(kāi)傳播的數(shù)據(jù)庫(kù)涉及用戶(hù)數(shù)超過(guò)13萬(wàn)條，包括用戶(hù)賬號(hào)、明文密碼、身份証、郵箱、信用卡信息、購(gòu)買(mǎi)記錄等。

 

　　信息稱(chēng)，泄露途徑目前未知，無(wú)法確認(rèn)是12306官方還是第三方搶票平臺(tái)泄露，漏洞已提交至國(guó)家互聯(lián)網(wǎng)應(yīng)急中心處理。

 

　　“烏云網(wǎng)”合伙人鄔迪表示，網(wǎng)站發(fā)現(xiàn)漏洞后，召集多名“白帽子”（正面黑客，可識(shí)別計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)中的安全漏洞并公布）對(duì)遭泄露的數(shù)據(jù)庫(kù)隨機(jī)選取多組數(shù)據(jù)在12306官網(wǎng)進(jìn)行驗(yàn)証，竟均能登錄。

 

　　記者從相關(guān)網(wǎng)站了解到，泄露數(shù)據(jù)信息的文件標(biāo)題為《12306郵箱-密碼-姓名-身份証-手機(jī)（售后群：31109xxxx）.txt》，共計(jì)131653條記錄、文件約14M。

 

　　■回應(yīng)

 

　　12306官網(wǎng)

 

　　泄露信息系其他網(wǎng)站流出

 

　　對(duì)此，12306官方網(wǎng)站昨天發(fā)布公告稱(chēng)，經(jīng)網(wǎng)站認(rèn)真核查，此泄露信息全部含有用戶(hù)的明文密碼，并稱(chēng)12306網(wǎng)站數(shù)據(jù)庫(kù)所有用戶(hù)密碼均為多次加密的非明文轉(zhuǎn)換碼，網(wǎng)上泄露的用戶(hù)信息系經(jīng)其他網(wǎng)站渠道流出。目前，公安機(jī)關(guān)已介入調(diào)查。

 

　　12306網(wǎng)站提醒，為保障信息安全，請(qǐng)旅客通過(guò)12306官網(wǎng)購(gòu)票，不要使用第三方搶票軟件購(gòu)票，或委托第三方網(wǎng)站購(gòu)票，以防止旅客個(gè)人身份信息外泄。

 

　　同時(shí)，12306官網(wǎng)還提醒旅客，部分第三方網(wǎng)站開(kāi)發(fā)的搶票神器中，有捆綁式銷(xiāo)售保險(xiǎn)功能，請(qǐng)廣大旅客注意。

 

　　第三方購(gòu)票平臺(tái)

 

　　多家搶票平臺(tái)發(fā)聲“表清白”

 

　　昨天，12306網(wǎng)站發(fā)表聲明后，多家第三方搶票平臺(tái)紛紛發(fā)聲“以表清白”。

 

　　百度表示，百度安全衛(wèi)士將搶票功能集成到安全軟件的安裝包中進(jìn)行保護(hù)，用戶(hù)信息僅在安裝客戶(hù)端的電腦上，百度沒(méi)有存儲(chǔ)個(gè)人信息，不存在泄露情況。

 

　　獵豹也表示，此次事件與獵豹移動(dòng)無(wú)關(guān)，獵豹移動(dòng)既不存在保存用戶(hù)數(shù)據(jù)行為，也從未推出必須使用明文密碼的離線(xiàn)搶票功能。

 

　　“360瀏覽器搶票軟件具有業(yè)界最嚴(yán)格的安全防護(hù)機(jī)制，從沒(méi)有發(fā)生數(shù)據(jù)泄露。”奇虎360安全工程師表示，此次12306數(shù)據(jù)泄露與搶票軟件無(wú)關(guān)，而是與其自身網(wǎng)站存在漏洞被黑客撞庫(kù)。360方面通過(guò)對(duì)涉及此次信息泄露用戶(hù)進(jìn)行抽樣調(diào)查后發(fā)現(xiàn)，有用戶(hù)沒(méi)有使用過(guò)搶票軟件或者採(cǎi)用了不同的搶票軟件。

 

　　此外，UC瀏覽器、攜程網(wǎng)、高鐵管家APP等搶票平臺(tái)也均表示與此次用戶(hù)信息泄露事件無(wú)關(guān)。

 

　　■探因

 

　　疑為黑客“撞庫(kù)”獲取信息

 

　　獵豹安全專(zhuān)家李鐵軍認(rèn)為，撞庫(kù)攻擊造成12306信息泄露的可能性較大。導(dǎo)致此次12306網(wǎng)站用戶(hù)數(shù)據(jù)泄露有可能是以下幾種原因：一是12306被入侵，數(shù)據(jù)被盜﹔二是第三方搶票軟件存儲(chǔ)了12306的數(shù)據(jù)，被黑客入侵后被盜﹔三是黑客通過(guò)其他已泄露的郵箱數(shù)據(jù)庫(kù)，進(jìn)行撞庫(kù)攻擊。

 

　　“烏云網(wǎng)”合伙人鄔迪也表示，初步推斷可能是黑客通過(guò)“撞庫(kù)方式”獲得。

 

　　何為“撞庫(kù)”？鄔迪介紹，網(wǎng)友在網(wǎng)站注冊(cè)時(shí)，網(wǎng)站會(huì)將注冊(cè)用戶(hù)的數(shù)據(jù)保存在一個(gè)數(shù)據(jù)庫(kù)中。一些黑客會(huì)通過(guò)相關(guān)手段獲得并積累多個(gè)網(wǎng)站的數(shù)據(jù)庫(kù)，然后用積累數(shù)據(jù)庫(kù)的信息對(duì)某網(wǎng)站進(jìn)行逐個(gè)測(cè)試，當(dāng)撞到積累的信息可進(jìn)入某網(wǎng)站時(shí)，就獲得了該網(wǎng)站的注冊(cè)信息，這就是“撞庫(kù)”。

 

　　■影響

 

　　旅客購(gòu)票信息可能遭篡改

 

　　鄔迪稱(chēng)，12306官網(wǎng)的用戶(hù)信息遭到泄露可能造成三方面影響。一，由于網(wǎng)友可能在多網(wǎng)站共用同一個(gè)用戶(hù)名或密碼，因此遭泄露信息用戶(hù)的其它網(wǎng)站賬號(hào)可能會(huì)被盜用，更多個(gè)人信息因此被泄露﹔二，由于遭泄露信息涉及用戶(hù)的姓名、身份証號(hào)、手機(jī)號(hào)等敏感個(gè)人信息，因此會(huì)滋生各種不安全因素，比如遭遇網(wǎng)絡(luò)詐騙、信息詐騙等﹔三，泄露信息可能遭到黑客利用，旅客購(gòu)票信息可能會(huì)遭到篡改。昨天，記者在微博上發(fā)現(xiàn)，已有一些網(wǎng)友吐槽自己訂的火車(chē)票居然被退掉了。

 

　　相關(guān)網(wǎng)絡(luò)安全專(zhuān)家建議，用戶(hù)應(yīng)盡快修改12306登錄密碼﹔修改登錄12306時(shí)使用的郵箱密碼，郵箱和12306網(wǎng)站不要使用相同的登錄密碼。同時(shí)，切勿使用離線(xiàn)搶票功能。因?yàn)殡x線(xiàn)搶票就是第三方托管服務(wù)，必須明文存密碼，且沒(méi)法加密。

 

　　對(duì)此，鐵路部門(mén)也提示旅客，一定要通過(guò)官網(wǎng)或官方APP購(gòu)買(mǎi)車(chē)票，避免不必要的損失。

 

　　■鏈接

 

　　12306官網(wǎng)多次被曝存漏洞

 

　　◎2014年7月17日，“烏云網(wǎng)”曝光12306購(gòu)票軟件存漏洞，正常一部手機(jī)同一時(shí)間隻能有一個(gè)賬號(hào)登錄來(lái)購(gòu)票，票販子利用漏洞可使用一臺(tái)電腦模擬多部手機(jī)多賬號(hào)鏈接12306的售票系統(tǒng)，一人就可無(wú)限買(mǎi)一車(chē)廂的票。

 

 

　　◎2014年7月，網(wǎng)友稱(chēng)利用12306官網(wǎng)漏洞購(gòu)票可選上下鋪，該漏洞隨后被修復(fù)。

 

　　◎2014年1月2日，網(wǎng)友稱(chēng)可用假護(hù)照、假身份証隨意訂票。用身份証生成器做假身份証號(hào)，用號(hào)碼可在12306網(wǎng)站上訂票。12306工作人員稱(chēng)，因網(wǎng)站未與公安系統(tǒng)聯(lián)網(wǎng)，故無(wú)法辨別身份証真?zhèn)巍?/div>