12306官网用户信息遭泄露

12306官网用户信息遭泄露

12306官网用户信息泄露

京华时报 2014.12.2604:19

昨天上午，第三方漏洞报告平台“乌云网”披露，12306网站大量用户信息被泄露。 据了解，公开发布的数据库涉及超过13万条用户数据。 泄露的信息包括用户帐户、明文密码、身份证和电子邮件地址。 等待。 12306官网回应称，用户的用户信息通过其他网站或其他渠道流出，并提醒乘客不要使用第三方抢票软件购票。 随后，百度、猎豹、360等第三方票务平台纷纷发声声称与用户信息泄露事件无关。 目前，公安机关已介入调查。

■净暴露

超过13万乘客信息泄露

昨天上午，第三方漏洞报告平台“乌云网”发布检测信息称，大量12306用户数据在网络上传播、售卖。 电子邮件、信用卡信息、购买记录等。

信息显示，目前泄漏渠道不明，无法确认是12306官方还是第三方抢票平台。 该漏洞已提交国家互联网应急中心处理。

“乌云网”合伙人吴迪表示，该网站发现漏洞后，召集了一批“白帽子”（正向黑客，能够识别计算机系统或网络系统的安全漏洞并发布）从泄露的数据库中随机选取多组数据。 经过12306官网验证，他们能够登录。

记者从相关网站获悉，泄露的数据文件标题为“12306邮箱-密码-姓名-ID-ID-手机（售后群：）.txt”，共有记录和文件约14M 。

■ 回应

123o6官方网站

泄露的信息是从其他网站泄露的

对此，12306官方网站昨日发布公告称，经网站仔细核实，所有泄露的信息均包含用户的明文密码。 通过其他网站渠道流出。 目前，公安机关已介入调查。

12306网站提醒，为确保信息安全，请旅客通过12306官网购票，不要使用第三方抢票软件购票，或委托第三方网站购票，以免影响旅客出行。防止旅客个人身份信息泄露。

同时，12306官网还提醒乘客，一些第三方网站开发的抢票神器具有捆绑销售保险功能，请留意。

第三方票务平台

多家抢票平台发声“清白”

昨天，12306网站发表声明后，多家第三方抢票平台纷纷表白。

百度表示，百度安全卫士将抢票功能集成到安全软件安装包中进行防护。 用户信息仅存储在安装客户端的计算机上。 百度不存储个人信息，不存在泄露。

猎豹还表示，本次事件与猎豹移动无关。 猎豹移动既没有保存用户数据，也没有推出需要使用明文密码的离线抢票功能。

“360浏览器抢票软件拥有业界最严格的安全保护机制，从未出现过数据泄露的情况。” 奇虎360安全工程师表示，12306数据泄露与抢票软件无关，而是其自身网站的漏洞被黑客攻击的Hit库。 奇虎360对此次信息泄露涉及的用户进行了抽样调查，发现部分用户从未使用过抢票软件或使用过不同的抢票软件。

此外，UC浏览器、携程网、高铁管家APP等抢票平台也均表示与用户信息泄露事件无关。

■ 探头

疑似黑客“崩溃库”获取信息

猎豹安全专家李铁军认为，撞库攻击更有可能造成12306信息泄露。 12306网站用户数据泄露可能由以下原因造成：一是12306被黑客攻击，数据被盗； 其他因撞库攻击而泄露的邮箱数据库。

“乌云网”合伙人吴迪也表示，初步推断可能是黑客通过“崩溃数据库”获取的。

什么是“碰撞填充”？ 吴迪介绍，当网民在网站上注册时，网站会将注册用户的数据保存在数据库中。 有些黑客会通过相关手段获取并积累多个网站的数据库，然后利用数据库中积累的信息对某个网站进行一一测试。 这是“热门图书馆”。

■影响力

客票信息可能被篡改

吴迪表示，12306官网用户信息泄露可能会产生三个影响。 首先，由于网民可能在多个网站共享相同的用户名或密码，因此信息被泄露的用户的其他网站账户可能被盗，更多的个人信息可能被泄露； 其次，由于泄露的信息涉及用户姓名、身份、卡号、手机号码等敏感个人信息，会造成各种不安全因素，如遭遇网络诈骗、信息诈骗等； 第三，泄露的信息可能被黑客利用，旅客购票信息可能被篡改。 昨天，记者在微博上发现，有网友抱怨自己预订的火车票居然被退了。

相关网络安全专家建议用户尽快更改12306登录密码； 更改登录12306时使用的邮箱密码，不要使用与12306网站相同的登录密码。 同时，不要使用线下抢票功能。 由于离线抢票是第三方托管服务，因此密码必须以明文形式存储，无法加密。

对此，铁路部门也提醒旅客，一定要通过官方网站或官方APP购票，以免造成不必要的损失。

■ 链接

12306官方网站多次被曝漏洞

◎2014年7月17日，“五云网”曝出12306票务软件存在漏洞。 一般情况下，一部手机一次只能登录一个账号进行购票。 售票员可以用一台电脑模拟多部手机购买多张票。 该账号与12306购票系统挂钩，一人可无限次购买一节车厢的车票。

◎2014年7月，有网友声称利用12306官网漏洞购买上下铺自选车票，该漏洞随后被修复。

◎2014年1月2日，网友声称可以使用假护照、假身份证随意订票。 使用身份证生成器制作一个假身份证号码，并使用该号码在12306网站上订票。 12306工作人员表示，由于网站未接入公安系统，无法辨别身份证真伪。

◎2013年12月6日，新版中国铁路客户服务中心12306网站上线。 仅几个小时后，“乌云网”就指出存在漏洞，可能导致用户信息泄露。

京华时报记者 常欣 韩 徐 廖峰