春運高潮未到，12306再曝“漏洞”背后的黑色產(chǎn)業(yè)鏈

申請免費試用、咨詢電話：400-8352-114

這不是12306網(wǎng)站第一次發(fā)生用戶信息泄露事件了，但是最大的一次。12月25日上午10：59，烏云網(wǎng)發(fā)布漏洞報告稱，大量12306用戶數(shù)據(jù)在網(wǎng)絡(luò)上瘋狂傳播。12306官方網(wǎng)站當日公告稱，經(jīng)認真核查，此泄露信息全部含有用戶的明文密碼。12306網(wǎng)站數(shù)據(jù)庫所有用戶密碼均為多次加密的非明文轉(zhuǎn)換碼，網(wǎng)上泄露的用戶信息系經(jīng)其他網(wǎng)站或渠道流出。目前，公安機關(guān)已經(jīng)介入調(diào)查。

據(jù)了解，本次泄露事件被泄露的數(shù)據(jù)達131653 條，包括用戶賬號、明文密碼、身份證和郵箱等多種信息。對這次用戶信息泄露事件，網(wǎng)絡(luò)議論熱烈。有網(wǎng)友擔心，這些泄露的信息是否包含購票過程使用的銀行卡等信息等。專業(yè)人士建議，如果用戶在其他網(wǎng)站也使用了12306網(wǎng)站同樣的用戶名和密碼，應(yīng)當修改密碼。

事實上有專業(yè)人士認為這次很可能是黑客“撞庫”行為造成的，而非12306網(wǎng)站直接泄露，但同樣說明12306網(wǎng)站仍存在安全漏洞。不過，也有一些專家認為事件原因仍不明。對于此事件的影響，如果12306是出于過失導致信息泄露，司法實踐中會采用過錯推定原則確定侵權(quán)責任，“即先推定12306存在過錯，然后由12306舉證，證明自己盡到了安保責任”。

下午14：15，烏云網(wǎng)通過新浪微博發(fā)布了消息稱，數(shù)據(jù)疑似黑客撞庫后整理得到，而并非12306直接泄漏，請用戶及時修改密碼同時慎用搶票工具。所謂“撞庫”就是黑客通過收集網(wǎng)絡(luò)上已泄露的用戶名及密碼信息，生成對應(yīng)的“字典表”，到其他網(wǎng)站嘗試批量登錄，得到一批可以登錄的用戶賬號及密碼。

登錄用戶的后臺后，可能存在郵箱、手機號碼、身份證號碼被泄露、賬務(wù)積分和賬戶余額流失等多種風險。除了撞庫，還有另一種方式叫做拖庫。黑客通過技術(shù)直接下載某平臺的全部數(shù)據(jù)庫。“但本次12306泄露可以排除拖庫的可能性。”

在業(yè)內(nèi)人士看來，“拖庫”是指入侵有價值的網(wǎng)絡(luò)站點，把數(shù)據(jù)庫全部盜走的行為。盜取數(shù)據(jù)后，黑客會通過一系列的技術(shù)手段清洗數(shù)據(jù)，并在黑市上將有價值的用戶數(shù)據(jù)變現(xiàn)交易，此為“洗庫”。最后黑客將得到的數(shù)據(jù)在其它網(wǎng)站上進行嘗試登陸，叫做“撞庫”。

針對此次泄露事件的原因，360互聯(lián)網(wǎng)安全中心的安全研究人員非?？隙ǖ匾詴娣绞交卮?1世紀經(jīng)濟報道經(jīng)濟的采訪函時表示，“此次12306網(wǎng)站信息泄露是被黑客撞庫造成的。”

其理由是，經(jīng)過他們安全研究人員的調(diào)查發(fā)現(xiàn)，第一、幾乎所有13萬條12306賬號密碼，都可以在此前多家游戲網(wǎng)站泄露的密碼庫中匹配到相應(yīng)的記錄。說明黑客用多家游戲網(wǎng)站的密碼庫對12306發(fā)動“撞庫”攻擊，篩選出13萬余條使用相同賬號密碼的用戶數(shù)據(jù)。第二，通過對12306泄露數(shù)據(jù)中的相關(guān)用戶進行抽樣調(diào)查，超過半數(shù)沒有使用任何搶票軟件，其余則是使用不同的搶票軟件。

中國的互聯(lián)網(wǎng)化進程非?？?，很多傳統(tǒng)行業(yè)，比如政府、醫(yī)療、航空、保險等等，都采用信息化開發(fā)業(yè)務(wù)。但是，這些企業(yè)的安全意識轉(zhuǎn)變并沒有跟上，企業(yè)的安全管理、安全人才儲備不足，很容易被攻擊，造成信息泄露。“所以，有的客戶剛剛訂了機票，就收到機票相關(guān)的詐騙電話、短信。”

對于絕大多數(shù)的數(shù)據(jù)泄露來講是因為網(wǎng)站自身存在安全漏洞引起的。目前很多非金融類的網(wǎng)站也進行實名制，但這些網(wǎng)站未必采取了很好的安全措施，一旦這類網(wǎng)站存在漏洞，用戶身份證的關(guān)鍵信息必然泄露。

相關(guān)鏈接：

企業(yè)管理 培訓課程

從優(yōu)秀專才走向管理者

怎么才是好的企業(yè)管理者？