壞事傳千里。
昨日突然爆出12306泄密事件:一份私下流傳的文件中,包含13萬(wàn)用戶的賬號(hào)、明文密碼、身份證、郵箱、手機(jī)號(hào)等敏感信息。一時(shí)之間,人心惶惶。
12306隨后在回應(yīng)中表示:泄露的用戶信息系經(jīng)其他網(wǎng)站渠道流出;也即否認(rèn)與這次泄密有關(guān)。這是真的么?如果不是12306又該怪誰(shuí)呢?
所以新浪科技決定,展開一次人肉調(diào)查:
從昨天下午開始,新浪科技根據(jù)泄密信息,隨機(jī)抽查訪問了80位有效用戶,一一打電話過去詢問、核實(shí)相關(guān)情況,并提示對(duì)方及時(shí)修改12306密碼。
首先,我們要確認(rèn)對(duì)方是不是12306的注冊(cè)用戶,有沒有使用第三方購(gòu)票服務(wù)。
結(jié)果顯示在我們調(diào)查的80位用戶中,只有11位用戶確認(rèn)使用過第三方軟件進(jìn)行過火車票預(yù)訂,而絕大部分人使用的還是12306的官方網(wǎng)站或客戶端訂票。進(jìn)一步,大約90%的受訪用戶表示,最近并沒有登錄過12306網(wǎng)站,也沒有使用過第三方的搶票軟件。
從這個(gè)抽樣數(shù)據(jù)來看,很難得出第三方搶票軟件泄密的結(jié)論。那么是12306自己的泄密?我們的調(diào)查同樣也不支持得到這個(gè)結(jié)論。
不可否認(rèn),受訪用戶的手機(jī)號(hào)碼和姓名都是一一對(duì)應(yīng)的,這份泄密文件的真實(shí)度非常高。然而在我們的調(diào)查中,有用戶向新浪科技表示,名單泄露的密碼并不是自己最新的密碼。一位用戶明確告訴新浪科技,至少1個(gè)月前已修改過密碼。還有5位用戶的手機(jī)號(hào)碼已經(jīng)成為空號(hào)。
這些信息顯示,此次的外泄的用戶信息,肯定不是最新的。
還有一位用戶的情況更值得注意。這位用戶的相關(guān)信息就在此次12306泄密的文件中,據(jù)其回憶從未使用過第三方購(gòu)票軟件,而且他提供了一個(gè)重要的信息:此前“開房門”數(shù)據(jù)泄密事件時(shí),自己的用戶名和密碼就曾暴露過,而12306的賬戶是那次事件后,他唯一沒有修改密碼的賬戶。
基于上述統(tǒng)計(jì)信息,我們產(chǎn)生了一個(gè)猜想:有黑客拿到之前泄露的賬戶和密碼,到12306上進(jìn)行登錄測(cè)試,如果恰巧用戶使用了同樣的用戶名和密碼,那么黑客就進(jìn)入到這個(gè)賬戶,進(jìn)而獲得身份證和電話等相關(guān)信息。實(shí)際上,后來也有其他機(jī)構(gòu)發(fā)出同樣的猜想。后面我們會(huì)提到。
所以,新浪科技根據(jù)抽查的樣本,大致能得出這樣幾個(gè)結(jié)論:
1、已經(jīng)泄密的數(shù)據(jù)庫(kù)絕大部分?jǐn)?shù)據(jù)都是真實(shí)的。
2、數(shù)據(jù)庫(kù)肯定不是最新的。
3、這部分?jǐn)?shù)據(jù)很可能是有人通過“撞庫(kù)攻擊”獲得。也就是利用以前泄露的賬號(hào)信息,嘗試登錄12306網(wǎng)站,并最終獲得身份證號(hào)碼、手機(jī)號(hào)等信息。
4、泄露的信息規(guī)??赡懿⒉淮?,用戶并不需要恐慌,但是出于安全考慮,還是建議修改一下密碼。
在這次的調(diào)查中,我們還附帶統(tǒng)計(jì)到一些有趣的數(shù)據(jù):哪些第三方的購(gòu)票服務(wù)用戶較多。結(jié)果顯示80位受訪者中,11個(gè)使用過第三方服務(wù),其中:5個(gè)使用360提供的火車票購(gòu)票服務(wù)、2個(gè)用高鐵管家、2個(gè)用獵豹瀏覽器、1個(gè)用攜程,1個(gè)用去那兒。
剛才提到有機(jī)構(gòu)也作出了結(jié)論,如下所述。
關(guān)于12306用戶帳號(hào)、密碼等敏感數(shù)據(jù)信息泄露問題,烏云方面通過抽查部分帳號(hào)驗(yàn)證后發(fā)現(xiàn)確實(shí)可以登錄。烏云官方表示,目前通過白帽子分析,數(shù)據(jù)疑似黑客撞庫(kù)后整理得到而并非12306直接泄漏,請(qǐng)用戶及時(shí)修改密碼同時(shí)慎用搶票工具。
安全公司——知道創(chuàng)宇的安全研究團(tuán)隊(duì)也與新浪科技得出了相同的結(jié)論,所謂的12306數(shù)據(jù)泄露事件實(shí)際是“撞庫(kù)攻擊”。
據(jù)報(bào)道,知道創(chuàng)宇隨機(jī)抽取了一批帳號(hào)(約50個(gè))均成功登陸12306,證明了該批數(shù)據(jù)是準(zhǔn)確的;隨機(jī)聯(lián)系了該批數(shù)據(jù)中的多個(gè)qq用戶,均反饋沒有使用過搶票軟件且近期沒有購(gòu)票行為;經(jīng)與群中人員進(jìn)行交流,普遍認(rèn)為該批數(shù)據(jù)為撞庫(kù)所得,并不存在12306全部數(shù)據(jù)。
最后,安全人員搜索以往互聯(lián)網(wǎng)上的數(shù)據(jù)進(jìn)行了匹配,從17173、7k7k、uuu9等網(wǎng)站泄露流傳的數(shù)據(jù)中搜索到了該批13.15萬(wàn)條用戶數(shù)據(jù),可以確認(rèn)該批數(shù)據(jù)全部是通過撞庫(kù)獲得。
不知道這個(gè)結(jié)論是否已被官方認(rèn)可。在昨日新浪科技的調(diào)查中,80位用戶中有兩位表示收到過12306提示修改密碼的短信,也就是說大部分用戶沒有得到這個(gè)提示。究竟什么樣的用戶能夠得到12306的提示呢?似乎找不到一個(gè)恰當(dāng)?shù)慕忉尅?/p>
新浪科技昨天下午致電北京12306客服,在溝通中客服顯然已經(jīng)知悉此次泄密風(fēng)波,并對(duì)新浪科技表示,所有12306的注冊(cè)用戶都會(huì)得到修改密碼的提示,并已經(jīng)委托運(yùn)營(yíng)商發(fā)送提示短信,用戶收到時(shí)間會(huì)有不同。顯然,這更像是一個(gè)托詞般的解釋。
風(fēng)波過后,值得反思的是,一場(chǎng)不應(yīng)被高估的泄密事件,為何演變成小小的恐慌?
回顧這個(gè)事件。烏云首先爆出漏洞,12306迅速作出回應(yīng),指責(zé)網(wǎng)上泄露的用戶信息系經(jīng)其他網(wǎng)站或渠道流出。不僅如此,12306在聲明中建議“不要使用第三方搶票軟件購(gòu)票,或委托第三方網(wǎng)站購(gòu)票”,暗示泄露數(shù)據(jù)的就是第三方搶票軟件或者網(wǎng)站。
昨天下午這些第三方軟件紛紛對(duì)新浪科技表示無辜中槍。
從我們和其他機(jī)構(gòu)的分析來看,似乎的確與第三方無關(guān)。由此我們進(jìn)一步大開腦洞猜想,也許這次的事件,會(huì)引發(fā)對(duì)第三方插件和網(wǎng)站的新一輪監(jiān)管。一直以來,第三方的火車購(gòu)票服務(wù)就存在爭(zhēng)議,未來究竟會(huì)怎樣?一切還不得而知。