13萬12306用戶數據遭兜售 官方提醒勿用搶票軟體

　　每經記者 孟慶建 發自深圳

　　昨日（12月25日）上午，據烏雲漏洞平臺曝料，大量中國鐵路客服中心12306用戶數據在網際網路上被瘋傳販售，洩露資料包括用戶賬號、明文密碼、身份證、郵箱等敏感資訊，目前尚不清楚這些數據是從何途徑洩露的。

　　據該漏洞曝料者、名為“追尋”的白帽子披露，這批12306數據先是在網上售賣，目前已變成公開傳播。對此，中國鐵路客戶服務中心回應稱，“經我網站認證審核，網上洩露的用戶資訊係經其他網站或渠道流出”，並提醒勿用搶票軟體。目前，公安機關已經介入調查。

　　《每日經濟新聞》記者從瑞星網際網路攻防實驗室獲悉，目前已經獲得該文件完整資訊，14MB（兆）大小的文件中，洩露資訊約有131653條，且用戶資訊100%真實有效。同時，瑞星披露，在對12306網站安全監測時，發現6個子網站存在Struts2遠端監控漏洞，利用子網站入侵主站是一種慣用手段，但因許可權問題不能確認泄密路徑。

　　13萬條真實資訊遭洩露/

　　記者從烏雲平臺獲悉，這則關於12306網點的漏洞報告，危害等級顯示為“高”，漏洞類型則是“用戶資料大量泄漏”。報告描述在網際網路上瘋傳的資訊，包括用戶賬號、姓名、明文密碼、身份證號碼以及郵箱等。泄漏途徑未知，漏洞已經提交給了國家網際網路應急中心進行處理。

　　據瑞星完整獲取的遭到泄密的資料顯示，在14MB大小、名為《12306郵箱-密碼-姓名-身份證-手機（售後群31109xxxx）.txt》的文件中，洩露資訊有131653條，且用戶資訊100%真實有效。

　　瑞星高級工程師唐威向 《每日經濟新聞》記者介紹，“13萬條用戶數據或許只是冰山一角，瑞星同時獲取了另外一份疑似12306網站的洩露文件，目前正在檢測，該文件大小為22GB（千兆）。如果資訊確認是用戶數據，初步推算泄密人數約為2億，不排除有人利用洩露資訊獲利的可能。”不過，截至記者發稿時，這些文件資訊尚未得到確認。

　　中國鐵路總公司相關人士表示，12306網站為中國鐵路總公司資訊技術中心主管，鐵總歷年均強調旅客不要使用第三方搶票軟體進行惡意刷票，但目前經12306網站所出車票有80%是通過搶票軟體實現的，且該比例還在不斷提升。

　　中國鐵路客戶服務中心也提醒旅客，不要使用第三方搶票軟體購票，或委託第三方網站購票，以防止個人身份資訊外泄。部分第三方網站開發的搶票軟體中，有捆綁式銷售保險功能。

　　6個子網站存漏洞/

　　根據瑞星網際網路攻防實驗室研究，資訊洩露可能有三條路徑：一是12306網站自身出現問題；二是第三方搶票軟體或插件出現資訊漏洞；三是駭客用“撞庫”的方式獲取這部分用戶資訊。

　　“撞庫”是指駭客採用此前其他平臺洩露的用戶資訊，用自動化程式在12306大量登錄實驗，有相同賬號和密碼成功登錄即可獲取更多用戶資訊。

　　“國內網際網路公司大多出現過資訊洩露事件，發生‘撞庫’並不意外。”唐威表示，瑞星在對12306網站安全監測時發現，12306主網站下屬包括南方貨物快運服務站、東北貨物快運服務站等6個子網站發現了Struts2漏洞，利用該漏洞入侵者可以獲取子網站管理員許可權，並可以通過惡意代碼控制子網站伺服器對主站進行跳板入侵獲取資訊。

　　唐威進一步表示，“可以肯定的是漏洞存在，控制子網伺服器入侵主網站也是駭客慣用手段，理想狀態下可以通過該漏洞取得用戶資訊，但是因許可權不允許測試，瑞星也不能確定這是資訊泄密的路徑。”

　　2013年7月17日，烏雲漏洞報告平臺、SCANV網站安全中心等安全機構紛紛發出紅色警報：Struts2再曝高危漏洞，該漏洞影響到Struts2.0-2.3.15版本，可直接導致伺服器被遠端控制，引起數據洩露。蘋果、淘寶、京東、民生銀行在內的多家公司及金融機構網站查出該漏洞。

　　彼時，國內網站安全服務商SCANV.COM確認，攻擊者可以利用該漏洞，執行惡意Java代碼，最終導致網站被完全入侵控制。

　　安全專家提示，12306網站數據洩露有可能出現衍生風險：郵箱被“撞庫”，更多個人資訊因此被盜，手機號、身份證號被洩露，甚至包含親友資訊。

　　據唐威介紹，洩露文件中大部分用戶採用了QQ郵箱和163郵箱作為賬號，如果購票明文密碼與QQ一致，駭客同樣可以採用“撞庫”的方式登錄QQ或者微信，容易造成更大損失，因此提醒12306用戶儘快重設相關賬戶登錄密碼，保護資訊安全。