今天下午，已經(jīng)順利度過放票時的流量高峰的12306，又迎來另一個流量高峰——得知12306大量用戶密碼身份證等信息泄露的網(wǎng)民，蜂擁登陸修改密碼！是的，12306被指出現(xiàn)“漏洞”。
今天上午11點(diǎn)整，來自第三方漏洞報告平臺烏云網(wǎng)的一則漏洞報告稱，12306（中國鐵路客戶服務(wù)中心網(wǎng)站）出現(xiàn)“高危漏洞”，大量12306用戶數(shù)據(jù)在互聯(lián)網(wǎng)瘋傳包括用戶帳號、明文密碼、身份證郵箱等。
烏云網(wǎng)漏洞報告者稱，數(shù)據(jù)只是在傳播售賣，目前無法確認(rèn)是12306官方還是第三方搶票平臺泄漏。
這意味著，這個漏洞將有可能導(dǎo)致所有注冊了12306用戶的賬號、明文密碼、身份證、郵箱等敏感信息泄露，而泄漏的途徑目前還不知道。
不過，該漏洞已經(jīng)提交給了國家互聯(lián)網(wǎng)應(yīng)急中心進(jìn)行處理，公安機(jī)關(guān)已介入調(diào)查，暫無進(jìn)一步消息。
除此之外，12360在其官方網(wǎng)站發(fā)布公告，提醒廣大用戶及時修改密碼，警惕第三方“搶票神器”，并否認(rèn)用戶信息泄露由該網(wǎng)站流出，而是經(jīng)其他網(wǎng)站或渠道流出。
關(guān)于提醒廣大旅客使用12306官方網(wǎng)站購票的公告
針對互聯(lián)網(wǎng)上出現(xiàn)“12306網(wǎng)站用戶信息在互聯(lián)網(wǎng)上瘋傳”的報道，經(jīng)我網(wǎng)站認(rèn)真核查，此泄露信息全部含有用戶的明文密碼。我網(wǎng)站數(shù)據(jù)庫所有用戶密碼均為多次加密的非明文轉(zhuǎn)換碼，網(wǎng)上泄露的用戶信息系經(jīng)其他網(wǎng)站或渠道流出。目前，公安機(jī)關(guān)已經(jīng)介入調(diào)查。
我網(wǎng)站鄭重提醒廣大旅客，為保障廣大用戶的信息安全，請您通過12306官方網(wǎng)站購票，不要使用第三方搶票軟件購票，或委托第三方網(wǎng)站購票，以防止您的個人身份信息外泄。
同時，我網(wǎng)站提醒廣大旅客，部分第三方網(wǎng)站開發(fā)的搶票神器中，有捆綁式銷售保險功能，請廣大旅客注意。
中國鐵路客戶服務(wù)中心
2014年12月25日
根據(jù)12306的公告，用戶信息泄露是”系他網(wǎng)站或渠道流出“，那么其他網(wǎng)站對此又如何表態(tài)？（該部分內(nèi)容部分來源于：我在現(xiàn)場）
360公司：從未發(fā)生數(shù)據(jù)泄露
針對今天上午12306網(wǎng)站用戶資料大量泄露一事，360公司回應(yīng)稱，360瀏覽器搶票軟件具有業(yè)界最嚴(yán)格的安全防護(hù)機(jī)制，從沒有發(fā)生數(shù)據(jù)泄露情況。
知道創(chuàng)宇：黑客“撞庫攻擊”獲得數(shù)據(jù)
事件發(fā)生后，知道創(chuàng)宇安全研究團(tuán)隊立刻獲取了該文中提到的樣本數(shù)據(jù)，經(jīng)過初步推測該批數(shù)據(jù)的來源有3種可能性：黑客直接攻擊網(wǎng)站；散播刷票軟件等木馬程序；利用現(xiàn)有用戶數(shù)據(jù)進(jìn)行“撞庫攻擊”。
經(jīng)過 3個小時的調(diào)查，團(tuán)隊得出如下結(jié)論：
該批131653條的12306用戶數(shù)據(jù)是真實(shí)的。
該批數(shù)據(jù)基本確認(rèn)為黑客通過“撞庫攻擊”所獲得。
當(dāng)前網(wǎng)上并無18G的12306數(shù)據(jù)的流轉(zhuǎn)跡象。
撞庫攻擊
黑客入侵有價值的網(wǎng)站，把注冊用戶的資料數(shù)據(jù)庫全部盜走，俗稱“拖庫”。收集到用戶名+密碼信息后，黑客再嘗試批量登陸其他網(wǎng)站，也就是進(jìn)行“撞庫”，由此得到一系列可以登陸的用戶。
以京東之前的撞庫舉例，京東的數(shù)據(jù)庫并沒有泄漏，但黑客通過“撞庫”的手法，“湊巧”獲取到了一些京東用戶的數(shù)據(jù)（用戶名+密碼），而這樣的手法，幾乎可以對付任何網(wǎng)站登錄系統(tǒng)，用戶在不同網(wǎng)站登錄時使用相同的用戶名和密碼，就相當(dāng)于給自己配了一把“萬能鑰匙”。
也就是說，假如現(xiàn)場君習(xí)慣用“我在現(xiàn)場”這個用戶名和“123456”這個密碼申請郵箱、注冊論壇、上網(wǎng)購物、QQ聊天……如果現(xiàn)場君注冊過的其中一個網(wǎng)站安全比較薄弱，黑客從網(wǎng)站獲取現(xiàn)場君的用戶名和密碼后，就可以用這套用戶名和密碼去其他網(wǎng)站“碰碰運(yùn)氣”。以現(xiàn)場君的注冊習(xí)慣，黑客將連連得手！
12306究竟有沒有責(zé)任？
那么，黑客到底攻擊了哪個（或哪些）使用明文密碼的網(wǎng)站，進(jìn)行了“拖庫”，然后通過“撞庫攻擊”獲取了13多萬條的數(shù)據(jù)呢？
責(zé)任究竟在誰？12306究竟有沒有責(zé)任呢？目前還不明朗?，F(xiàn)場君的分析是，假如黑客從別處“拖庫”，那應(yīng)該與12306沒有關(guān)系。
知道創(chuàng)宇團(tuán)隊通過隨機(jī)訪問用戶，目前已排除了搶票軟件泄漏的可能。團(tuán)隊還隨機(jī)聯(lián)系了該批數(shù)據(jù)中的多個qq用戶，均反饋沒有使用過搶票軟件且近期沒有購票行為；團(tuán)隊專家余弦表示，這是目前推理出的最符合的結(jié)論，但是黑客世界水深且風(fēng)云變幻，說不定爆出另一種掉下巴結(jié)論。大家只要知道：“我們是在做盡可能嚴(yán)謹(jǐn)?shù)耐评砭秃??！?br/>
12306官方網(wǎng)站在聲明中表示，公安機(jī)關(guān)已經(jīng)介入調(diào)查。
火速更改12306等網(wǎng)站的登錄密碼
余弦表示，目前網(wǎng)上還可以下載到這些泄露的用戶數(shù)據(jù)。
在微博上看到了網(wǎng)友獲得數(shù)據(jù)后的截圖，所以——
廣大12306用戶務(wù)必盡快修改12306網(wǎng)站密碼，其他網(wǎng)站、網(wǎng)銀、第三方支付軟件等利用與12306注冊郵箱、密碼一致的也應(yīng)立即修改。更需要提醒的是，這些數(shù)據(jù)有可能被犯罪分子用作精準(zhǔn)詐騙，近期應(yīng)謹(jǐn)防詐騙短信、詐騙電話等。
應(yīng)在官網(wǎng)購買火車票
在聲明中，12306網(wǎng)站還提醒廣大旅客，應(yīng)通過12306官方網(wǎng)站購票，不要使用第三方搶票軟件購票，或委托第三方網(wǎng)站購票，以防止個人身份信息外泄。
另外，12306網(wǎng)站還提醒旅客，部分第三方網(wǎng)站開發(fā)的搶票神器中，有捆綁式銷售保險功能。
騰訊手機(jī)管家安全專家提醒，用戶最好通過12306官方站點(diǎn)購買車票，“搶票軟件”可能是本次用戶數(shù)據(jù)泄露的元兇。
搶票平臺可能泄露用戶數(shù)據(jù)
盡管這次可能性不大
專家介紹，第三方平臺為了讓購票更迅捷，運(yùn)行時可能省去了一些步驟。而這些軟件大多未經(jīng)安全檢測，安全性難以保障。
除了12306外，CSDN、攜程、天涯、當(dāng)當(dāng)?shù)榷荚缓诳凸テ?，?dǎo)致用戶個人信息泄露。騰訊手機(jī)管家安全專家提醒各大站點(diǎn)務(wù)必做好數(shù)據(jù)加密工作，杜絕使用明文密碼行為，確保用戶數(shù)據(jù)安全。
90%以上電信詐騙源于個人信息泄露
據(jù)天下無賊-反信息詐騙聯(lián)盟統(tǒng)計，目前90%以上的電信詐騙源頭都是“個人信息泄露”，直接導(dǎo)致的結(jié)果是電信詐騙從撒網(wǎng)式詐騙向精準(zhǔn)詐騙升級，再配合網(wǎng)絡(luò)改號軟件、偽基站、釣魚網(wǎng)址、木馬病毒等高科技手段，讓電信詐騙更容易得手，單個案件的金額越來越大。
安全專家支招防詐騙
學(xué)會設(shè)置密碼丨很多用戶設(shè)置密碼過于簡單，最規(guī)范的密碼設(shè)置方式是“大寫字母+小寫字母+數(shù)字+符號”，重要的賬號要設(shè)置單獨(dú)的密碼，不要與其他賬號重復(fù)。
保護(hù)好手機(jī)丨萬一手機(jī)被盜，個人身份信息又存在手機(jī)中，比如身份證照片，犯罪分子可以直接通過手機(jī)修改支付寶、淘寶等各類網(wǎng)購支付賬號密碼，導(dǎo)致資金被盜刷。
學(xué)會防范電信詐騙丨目前，電信詐騙招數(shù)五花八門，廣大手機(jī)用戶當(dāng)遇到公檢法、航班改簽、網(wǎng)購?fù)丝睢?0086積分等短信、電話時千萬當(dāng)心，絕大多數(shù)都是詐騙。同時，警方不會打電話辦案，更不存在任何“安全賬戶”，不要向任何陌生賬號轉(zhuǎn)賬，不要打開任何陌生網(wǎng)址。安裝專業(yè)手機(jī)安全軟件，比如，騰訊手機(jī)管家可實(shí)現(xiàn)對詐騙短信的精準(zhǔn)攔截，可識別各類詐騙電話。
創(chuàng)投分享會對12306用戶信息泄露的觀察：
回顧12306網(wǎng)站多年的運(yùn)營情況，2012年底該網(wǎng)站就曾因故障兩次發(fā)公告暫停網(wǎng)上售票。值得一提的是，差不多也是在去年的這個時間段，第三方漏洞平臺烏云網(wǎng)也曾曝出“12306某接口CDN問題導(dǎo)致用戶信息泄露”。
近一點(diǎn)，在今年十一國慶假期即將來臨之際，也有安全機(jī)構(gòu)曝出，12306網(wǎng)站的賬號密碼找回機(jī)制存在較嚴(yán)重的安全隱患，易被他人盜號，12306網(wǎng)站中記錄的大量個人及常用聯(lián)系人的身份證號、手機(jī)號碼等敏感信息，均存在泄露的風(fēng)險。
12306網(wǎng)站從2011年6月投入以來，已有3年半的時間，如果說是網(wǎng)站運(yùn)營經(jīng)驗和技術(shù)水平不成熟，那只能怒其不爭。且你要知道，12306的造價不菲，在2013年一年，12306網(wǎng)站的花費(fèi)就超過5億元。
但客觀來講，12306是在努力改善服務(wù)水平。中國鐵路總公司實(shí)施了新的火車票管理方案后，從今年12月6日起互聯(lián)網(wǎng)售票提前日前將由20天延至60天。
并在12月19日，開售臘月28的火車票當(dāng)天，12306網(wǎng)站經(jīng)受了流量峰值和交易峰值的考驗，訪問量(PV值)達(dá)297億達(dá)次，發(fā)售火車票發(fā)售563.9萬張，占比59%，均創(chuàng)歷年新高。
正因為12306在中國鐵路運(yùn)輸中有著無可代替的作用，所以“用戶信息安全“是一個亟需解決的問題。如果經(jīng)過調(diào)查，有相關(guān)證據(jù)證明12306用戶信息泄露真是其他網(wǎng)站所為，那么國內(nèi)互聯(lián)網(wǎng)公司們的”搶票神器“將被封殺！
