每經(jīng)記者 孟慶建 發(fā)自深圳

　　昨日（12月25日）上午，據(jù)烏雲(yún)漏洞平臺曝料，大量中國鐵路客服中心12306用戶數(shù)據(jù)在網(wǎng)際網(wǎng)路上被瘋傳販售，洩露資料包括用戶賬號、明文密碼、身份證、郵箱等敏感資訊，目前尚不清楚這些數(shù)據(jù)是從何途徑?jīng)兜摹?/p>

　　據(jù)該漏洞曝料者、名為“追尋”的白帽子披露，這批12306數(shù)據(jù)先是在網(wǎng)上售賣，目前已變成公開傳播。對此，中國鐵路客戶服務(wù)中心回應(yīng)稱，“經(jīng)我網(wǎng)站認證審核，網(wǎng)上洩露的用戶資訊係經(jīng)其他網(wǎng)站或渠道流出”，並提醒勿用搶票軟體。目前，公安機關(guān)已經(jīng)介入調(diào)查。

　　《每日經(jīng)濟新聞》記者從瑞星網(wǎng)際網(wǎng)路攻防實驗室獲悉，目前已經(jīng)獲得該文件完整資訊，14MB（兆）大小的文件中，洩露資訊約有131653條，且用戶資訊100%真實有效。同時，瑞星披露，在對12306網(wǎng)站安全監(jiān)測時，發(fā)現(xiàn)6個子網(wǎng)站存在Struts2遠端監(jiān)控漏洞，利用子網(wǎng)站入侵主站是一種慣用手段，但因許可權(quán)問題不能確認泄密路徑。

　　13萬條真實資訊遭洩露/

　　記者從烏雲(yún)平臺獲悉，這則關(guān)於12306網(wǎng)點的漏洞報告，危害等級顯示為“高”，漏洞類型則是“用戶資料大量泄漏”。報告描述在網(wǎng)際網(wǎng)路上瘋傳的資訊，包括用戶賬號、姓名、明文密碼、身份證號碼以及郵箱等。泄漏途徑未知，漏洞已經(jīng)提交給了國家網(wǎng)際網(wǎng)路應(yīng)急中心進行處理。

　　據(jù)瑞星完整獲取的遭到泄密的資料顯示，在14MB大小、名為《12306郵箱-密碼-姓名-身份證-手機（售後群31109xxxx）.txt》的文件中，洩露資訊有131653條，且用戶資訊100%真實有效。

　　瑞星高級工程師唐威向 《每日經(jīng)濟新聞》記者介紹，“13萬條用戶數(shù)據(jù)或許只是冰山一角，瑞星同時獲取了另外一份疑似12306網(wǎng)站的洩露文件，目前正在檢測，該文件大小為22GB（千兆）。如果資訊確認是用戶數(shù)據(jù)，初步推算泄密人數(shù)約為2億，不排除有人利用洩露資訊獲利的可能。”不過，截至記者發(fā)稿時，這些文件資訊尚未得到確認。

　　中國鐵路總公司相關(guān)人士表示，12306網(wǎng)站為中國鐵路總公司資訊技術(shù)中心主管，鐵總歷年均強調(diào)旅客不要使用第三方搶票軟體進行惡意刷票，但目前經(jīng)12306網(wǎng)站所出車票有80%是通過搶票軟體實現(xiàn)的，且該比例還在不斷提升。

　　中國鐵路客戶服務(wù)中心也提醒旅客，不要使用第三方搶票軟體購票，或委託第三方網(wǎng)站購票，以防止個人身份資訊外泄。部分第三方網(wǎng)站開發(fā)的搶票軟體中，有捆綁式銷售保險功能。

　　6個子網(wǎng)站存漏洞/

　　根據(jù)瑞星網(wǎng)際網(wǎng)路攻防實驗室研究，資訊洩露可能有三條路徑：一是12306網(wǎng)站自身出現(xiàn)問題；二是第三方搶票軟體或插件出現(xiàn)資訊漏洞；三是駭客用“撞庫”的方式獲取這部分用戶資訊。

　　“撞庫”是指駭客採用此前其他平臺洩露的用戶資訊，用自動化程式在12306大量登錄實驗，有相同賬號和密碼成功登錄即可獲取更多用戶資訊。

　　“國內(nèi)網(wǎng)際網(wǎng)路公司大多出現(xiàn)過資訊洩露事件，發(fā)生‘撞庫’並不意外?！碧仆硎?，瑞星在對12306網(wǎng)站安全監(jiān)測時發(fā)現(xiàn)，12306主網(wǎng)站下屬包括南方貨物快運服務(wù)站、東北貨物快運服務(wù)站等6個子網(wǎng)站發(fā)現(xiàn)了Struts2漏洞，利用該漏洞入侵者可以獲取子網(wǎng)站管理員許可權(quán)，並可以通過惡意代碼控制子網(wǎng)站伺服器對主站進行跳板入侵獲取資訊。

　　唐威進一步表示，“可以肯定的是漏洞存在，控制子網(wǎng)伺服器入侵主網(wǎng)站也是駭客慣用手段，理想狀態(tài)下可以通過該漏洞取得用戶資訊，但是因許可權(quán)不允許測試，瑞星也不能確定這是資訊泄密的路徑。”

　　2013年7月17日，烏雲(yún)漏洞報告平臺、SCANV網(wǎng)站安全中心等安全機構(gòu)紛紛發(fā)出紅色警報：Struts2再曝高危漏洞，該漏洞影響到Struts2.0-2.3.15版本，可直接導(dǎo)致伺服器被遠端控制，引起數(shù)據(jù)洩露。蘋果、淘寶、京東、民生銀行在內(nèi)的多家公司及金融機構(gòu)網(wǎng)站查出該漏洞。

　　彼時，國內(nèi)網(wǎng)站安全服務(wù)商SCANV.COM確認，攻擊者可以利用該漏洞，執(zhí)行惡意Java代碼，最終導(dǎo)致網(wǎng)站被完全入侵控制。

　　安全專家提示，12306網(wǎng)站數(shù)據(jù)洩露有可能出現(xiàn)衍生風(fēng)險：郵箱被“撞庫”，更多個人資訊因此被盜，手機號、身份證號被洩露，甚至包含親友資訊。

　　據(jù)唐威介紹，洩露文件中大部分用戶採用了QQ郵箱和163郵箱作為賬號，如果購票明文密碼與QQ一致，駭客同樣可以採用“撞庫”的方式登錄QQ或者微信，容易造成更大損失，因此提醒12306用戶儘快重設(shè)相關(guān)賬戶登錄密碼，保護資訊安全。