致命的大数据泄密

致命的大数据泄密

有句墨西哥谚语说“别跑得太快了，你会把灵魂跑丢的”。
　　中国高速发展的互联网企业，不幸被这句谚语说中。
　　日前，国内在线旅游行业巨头携程旅行网陷入“泄密门”，携程用户信用卡信息面临泄露风险，引发数用户的恐慌。此后，更

多的问题暴露出来(如携程还在用户不知情的情况下存储了用户信用卡的C V V码等)，让用户对安全漏洞忧心忡忡。
　　进入大数据时代，信息安全受到用户的高度重视。然而，这两三年以来，不断传出互联网企业信息泄露事故，特别是前年密集

的快递公司用户资料泄露事故，去年10月份的“酒店开房信息遭泄露”事件，以及这次的携程“泄密门”，泄露的信息越来越

逼近用户的核心利益。
　　世界上没有完全可靠的安全防护措施，各种技术层面上的和管理层面上的安全漏洞，加上无孔不入的入侵，使得信息安全

如同高悬在用户头上的达摩克利斯之剑，随时都有落下来的可能，谁也不知道下一次更严重的泄露事故何时会发生……
　　携程陷“泄密门”
　　“各位注册过携程的，在携程用信用卡支付过的，赶紧关掉信用卡网上支付吧，出大事了……”3月22日晚间，这条微信被疯转

，并快速引发连锁反应，汹涌的电话涌向农业银行、交通银行等携程合作银行，电话的主题只有一个：换卡或者解除捆绑。
　　这里所谓的“出大事”，就是有了携程的安全漏洞。3月22日傍晚18点18分，一个编号为54302的漏洞报告，被在

互联网安全问题反馈平台乌云(w***)之上，发布者是乌云的核心白帽子“猪猪侠”。乌云平台这两年因多次发布知名互

联网公司的安全漏洞，受到互联网公司信息技术部门和专业人士的高度重视。但是，对于绝大多数普通人来说，乌云平台完全是个

陌生的词汇，乌云平台上发布的漏洞报告，也是与自己的生活八竿子也打不着。
　　然而，这次的漏洞报告却是个例外。
　　“猪猪侠”在报告中指出，携程的一个漏洞会导致大量用户(包含持卡人姓名、身份证、号、卡C V V码

、6位卡Bin)泄露，而这些信息可能直接引发等问题。携程有着数千万会员用户，而携程的漏洞可能导致信用卡，事关“钱

袋子”，兹事体大！很快，各种版本的传言，借助微信、微博以几何倍增的速度传开，“换卡”一时间成为传播为频繁的热词。
　　“晚上回到家，打开微信一看，朋友圈里炒翻了天，都是说携程泄露的事，都在提醒朋友们换卡。我在携程上也捆绑了几张信

用卡，当时就慌了，马上致电几家银行要求解除与携程的捆绑。事关资金安全，宁可信其有，不可信其无。”家住广州番禺南国奥

园的潘小姐告诉南都。
　　据了解，携程合作的银行包括工商银行、中国银行、招商银行、浦发银行等十余家，第三方支付机构包括支付宝、财付通、银

联在线等。在22日当晚，与携程合作的上述银行客服电话几乎被打爆。
　　在漏洞报告挂出来两个小时后，携程方面做出回应称，这是在技术调试过程中出现了短时漏洞，携程在两小时内修复了这个漏

洞。携程声明，除了漏洞发现人做了少量的测试下载并已全部删除外，没有出现恶意下载有关数据的情况。携程同时承诺，未来如

果因安全漏洞引起用户损失，将承担全部责任并给予赔付，并强调“用户在携程的交易仍旧是安全的，用户的信息安全没有受到影

响”。第二天，针对漏洞事件，携程再次发表声明，此次漏洞共涉及93名存在潜在风险的携程用户，客服已通知相关用户更换信用

卡。
　　然而，携程的这份回应，并没有打消用户的顾虑。且随着更多信息的披露(包括携程用户的被案例，技术专家的分析等

)，携程更多的问题被，特别是携程擅自保存用户信用卡C V V码(又叫用户识别码，是进行非面对面交易时用于确认用户

身份的识别码，作用类似于密码)等信息，更是违反了中国人民银行颁发的《收单业务管理办法》。
　　此后，携程方面承认了非法存储C V V码一事。其补救措施是“我们将在交易完成后删除客户的CV V信息，不再保存。以前保存

的那些CV V信息，正在予以删除”。另外，客户信用卡信息的传输和保存始终处于加密状态，任何未经授权的人员都无法取得这些

资料。携程部相关负责人在接受南都采访时强调：“我们已建立了信用卡安全服务小组，将协助客户与银行沟通。未来如

果因携程安全漏洞引起用户损失，携程将承担全部责任并给予赔付。”
　　携程漏洞的发现者“猪猪侠”在接受南都采访时，对携程的事都说不方便提，对携程漏洞的危害性大不大这个问题，更是

直言“不回答”。不过，知道创宇的研究部总监余弦告诉南都，这次携程用户反应过度了，绝大多数人都是技术门外汉，对信

用卡安全的担忧，造成了一种恐慌情绪。“乌云是在携程对漏洞及时修复后才发布漏洞报告的，并没有泄露信息，威胁没想的那么

大”。
　　被称为“中国教父”的龚蔚在接受南都采访时则强调，从乌云方面的说法看，是把携程这个漏洞的危害级别列为高级

；从携程方面披露的情况看，影响的用户是93个，身份证号和姓名是明文，信用卡和C V V码是强加密。如果携程说的是真的话，这

对一般来说，破解是有难度的。
　　互联网公司“命门”
　　“每一次数据泄密，都是的一次狂欢。”在广州开了家小型工作室的郑阳告诉南都。郑阳的工作室对外号称专注

数据挖掘业务，其实主要业务就是为客户获取竞争对手的商业数据资料。“客户资料数据是很多企业梦寐以求的东西，互联网公司

的，动辄千万级上亿级，拿到手就能到地下黑市换钱。”
　　携程“泄密门”，是近两三年来诸多互联网公司———包括那些深度融入互联网的传统公司，如连锁酒店、快递公司等———

信息泄露事故的新版本。在携程“泄密门”之前，影响较大的信息泄露事件，就包括去年10月份的“酒店开房信息遭泄露”事件

，2012年年底发生的快递公司用户资料泄露事故，以及2011年底发生的中国互联网史上大泄密事件：由国内大的程序员社区C

SD N上600万用户资料被公开拉开序幕，天涯社区、猫扑、开心网、多玩等多家知名互联网公司先后被爆客户注册信息库被泄密等。
　　在郑阳看来，大数据时代，才是的“黄金时代”，而高速发展的互联网企业数据信息，则是盘中的“美味佳肴”。“

互联网公司发展太快，各种安全机制根本跟不上。特别是那些中小互联网公司，留下了大量的漏洞。”相对而言，大公司的信息安

全配置相对较为靠谱，但老虎也有打盹的时候。“大公司一旦出现一些人为失误，产生安全漏洞，们就会像秃鹫一样扑上去。

当然，这一切常人都看不见。”
　　所幸的是，这次发现携程安全漏洞的是白帽子，这些白帽子一般都会在发现漏洞后立即向相关公司发出警报，在公司

修补好漏洞之后再向公众公布。如果是被不怀好意的发现了这个漏洞，那么，携程“泄密门”的影响，绝不是现在这个局面。

因为从目前披露的信息来看，携程不但会保存客户的信用卡卡号，连背后的三位C V V码都会一并保存。后果自然是严重的：在境外

，很多网站是不需要额外的密码，只需要获得这两样信息就能轻易地将信用卡里的钱划走。
　　互联网企业对信息安全投入的不足，给狂欢创造了便利条件。
　　以广州某知名电商公司为例，该公司年销售规模近百亿人民币，但公司在信息安全上的投入明显不足，其负责信息安全的团队

不足十人。“欧美互联网公司在信息安全方面的投入，往往占到IT总支出的8%～10%左右，而中国互联网公司在信息安全方面的投入

只占到IT总投入的1%左右。相比而言，国内金融机构在信息安全上的投入往往会占到整体IT投入的10%以上。”在信息安全领域打拼

了十余年的华夏创技有限公司副总裁卢德利告诉南都，“同样是数亿用户，金融机构有着严格的信息安全管理机制，很少

出人为失误。但互联网公司则有很多的人为安全漏洞，在这方面互联网公司需要大补课。”
　　互联网企业之所以成为信息泄露的重灾区，在余弦看来，还有一个重要原因，就是以前线下的坑蒙拐骗都搬到了互联网上，利

用互联网的各种漏洞进行违法犯罪活动。“互联网打破了空间和区域的限制，又大大缩短了时间成本，这就让骗子们的犯罪成本变

得比以前低很多。而且现在互联网的监管力度都比较松散，法律法规也比较复杂，导致这样提供犯罪的机会就更多了。”
　　层出不穷的泄密
　　陈冠希“艳照门”已成往事，斯诺登泄密事件也只是老百姓茶余饭后的谈资。然而，这两三年不断发生的快递公司用户资料泄

密、连锁酒店用户资料泄密、信用卡资料泄密，则与普通老百姓的生活密切相关，自然备受关注。
　　用户资料信息泄密的危害有多大？深圳的张雪女士(化名)谈到这个话题仍然心有余悸。张雪是个淘宝迷，接收快递是家常便饭

。2011年国庆过后，有快递人员给张女士打电话，说有快递包裹送上门，让张女士收一下。当时张女士和丈夫都在上班，家里只有

婆婆一个人。张女士就打电话给婆婆让婆婆开门签收。“开门后，一个自称是快递公司工作人员的人径直闯进房内，婆婆拼命想拦

住也没用，只有大声呼叫。幸亏当时小区保安在附近巡逻，闻声赶来，才将那个人抓住。后来经警察审讯，才知道这个人背后有一

个团伙，专门从快递公司购买用户资料，然后根据用户资料上的信息，要么欺骗用户骗取钱财，要么就趁用户家里人少干脆强行绑

架抢夺。”
　　南都查询发现，这两年以来，国内多个地方都发生过假冒快递人员上门送货，实施抢劫、杀人、强奸等恶性犯罪的案件，

信息泄露已经严重威胁到人们的生命财产安全。而连锁酒店“开房信息泄露”事件，则因为涉及到很多人的隐私问题，让很多人寝

食难安。这次携程“泄密门”事件引发公众恐慌，则是因为公众担心自己捆绑的信用卡被。
　　乌云平台携程的漏洞之后，很多携程用户在微信和微博上吐槽，讲述自己信用卡被的惨痛经历。新浪微博实名认证为

“广西易搜科技有限公司C E O”的“严茂军”在微博上爆料称，早在2月25日，他绑定在携程的两张双币种信用卡就被人在境外盗

刷了1万多元人民币，共84笔。“我办了6张信用卡，其中3张与携程绑定，另外3张没有绑定。出问题的交行信用卡和农行信用卡都

是绑定的信用卡。看来携程的漏洞此前一直都存在，只不过这次被乌云了而已。”严茂军告诉南都。
　　不过，独立电商分析师李成东在接受南都采访时却表示，不应该片面夸大携程“泄密门”对整个互联网行业的负面影响。

“这次的漏洞仅限于支付领域，并且是携程自身的问题，不会引申到整个行业。携程自己已经在做了，竞争对手也不会煽

风点火，毕竟蔓延开来对整个行业都不好。”
　　链
　　数据泄露之所以可怕，是因为天上有这只秃鹫在盘旋。不会放过稍纵即逝的机会。
　　大数据时代，用户数据更是成为各大商家争夺的香饽饽。而获得用户数据“便捷”的方式，无疑就是通过入侵。当然，

对于那些“主动”暴露出来的数据，自然是喜逢甘露，照单全收。
　　郑阳的工作室，主要贩卖两类数据。一类就是网络上到处都在挂牌销售的所谓的“数据库大全”，包括、保险用

户资料、信用卡用户资料、手机用户资料等等，这类数据需求量大，价格也便宜。广州、深圳、东莞等重点城市超过10 0万的车主

资料，5万个资料起卖。以前一个资料收费要1元，现在5毛、3毛都卖。金山公司安全专家李铁军告诉南都，自互联网诞生之日

起，互联网用户数据的交易就开始了。不少数据经过多次贩卖，其中相当一部分都已经成了无效数据。不过，这并不妨碍有客户继

续花钱购买这些信息。
　　另一类数据，就是根据客户需求找到的“个性化数据资料”。“有些客户想获取竞争对手的用户资料，或者公司的商业机密，

这就需要通过技术手段进入对方的数据库。大公司的网络安全会严格一些，入侵难度较大。中小公司的数据库在我眼里就是裸体。

”郑阳告诉南都。郑阳表示，帮客户找“个性化数据资料”的费用，相对要贵很多，“一般搞定一家中型企业的数据库，会向

客户收几万的费用，这要视客户的具体需求而定，几千块的也有。如果客户要得急，难度又较高，十多万的也有。”
　　华夏创新的卢德利告诉南都，数据泄露背后的产业链已经十分成熟，大家分工明确，有专门负责盗数据的，有负责贩卖的

。“交易主要集中在论坛、社交网站、网站，就像一个菜市场，明码标价，等着客户上门。”
　　南都在Q Q上查找“”群，仅广州地区就有7个相应的Q Q群。一位群主告诉，“我们有新的广州，

包括：车主、初登日期、发动机号、车架号等等，资料真实可靠，如果有意可以先发几个样品让你看看。”询问这些

资料的来源，对方以“商业机密”为由拒绝透露。见问得多了，就给回了句“考虑清楚了再联系我”。
　　余弦告诉南都，地下数据交易异常活跃，主要是需求旺盛。“哪些人会需要这些数据，小的电商？不，任何一个公司都会

想要这些数据，因为这些用户数据拿来了，通过用户属性分析是可以提高生产力和工作效率的，这就是现在大数据时代，每个公司

对数据的大量需求，这种需求本身是好的，但如果靠盗取、买卖数据的话就属于偏门了。”
　　下一个桶
　　互联网公司一次又一次的数据泄露事故，不断敲打着广大网民脆弱的神经，不安全感就如同高悬在网民头上的达摩克利斯之剑

，随时都有落下来的可能。而这次的携程“泄密门”，更是让网民切实体验到危险就在身边，恐慌在所难免。
　　在“中国教父”龚蔚看来，这次携程“泄密门”事件之所以引发网民高度关注，重要的原因，是因为涉及信用卡资金安

全。随着互联网企业与金融业联系日益紧密，特别是这两年互联网金融大行其道，互联网公司的用户信息资料往往直接与用户的资

金安全相连，使得网民对互联网公司的信息安全有着更高的要求。
　　相对于客户信息资料这些“间接资产”，客户支付宝、余额宝等等账户里的现金，对而言诱惑力自然更大。这也是为什么

钓鱼网站、短信欺诈长盛不衰的原因所在。互联网金融高速发展，但相关的安全防护却与传统金融机构不可同日而语。对于互联网

金融来说，便捷和安全是博弈的两方，如何平衡是值得网络公司深思的问题。其实，包括支付宝、财付通在内的网上支付平台，都

会推广绑定的快捷支付功能，这就埋下了巨大的安全隐患。因此，互联网金融很有可能成为下一个数据泄露的“桶”，

而这个桶一旦被点燃，后果几乎不敢想象。
　　以阿里的余额宝为例，如今的余额宝开户数超过8000万户，规模已经接近5000亿元人民币。如果支付宝、余额宝这样的互联网

金融产品出现安全问题，那将是致命的问题。“现在不少支付宝、余额宝账户里的现金都是几万几十万的，如果这些账户资料被第

三方获取，那风险就太大了。”龚蔚表示，“整个状况还是令人担忧的。这次携程的“泄密门”引发了恐慌，影响很大。不过反过

来这种大反应也是好的，对一些互联网安全，第三方支付的企业敲响了警钟，更督促企业在安全方面的投入会更重视。”
　　监管层显然也意识到问题的严重性。早在今年初举办的2014年中国互联网金融高层论坛上，中国银监会副郭利根就明确要

求，互联网金融要牢牢守住信息安全底线，增强互联网金融的风险抵御能力，真正促进互联网金融行业健康发展。郭利根的话音刚

落不久，携程就出事，加强互联网金融安全监管的呼声日高，互联网金融产业压力陡增。可以预见的是，未来互联网安全将会上升

到一个前所未有的高度。
　　风控小失误致客户资料网上“裸奔”
　　中国电子商务研究中心发布新研究报告指出，携程发生信息泄露原因如下：根本原因一：违反银联规定本地保存

。携程用于处理用户支付的安全支付服务器接口存在调试功能，将用户支付的记录用文本保存了下来。而根据《银联卡收单机构账

户信息安全管理标准》中明令禁止本地保存；根本原因二：服务器安全配臵不严格。携程用于保存支付日志的服务器未

做较严格的基线安全配臵，存在目录遍历漏洞，导致所有支付过程中的调试信息可被任意读取。
　　显然，条原因说明携程为了达到自己的商业目的；而第二条原因则更说明携程在内部风控上缺乏严格的机制，工作人员的

小小失误，就让客户资料在网络上“裸奔”。“并没有入侵，携程这次泄露事故，更多是管理层面的原因而不是技术层面的问

题。”IT评论员贾敬华分析指出。
　　中国数据拥有丰富的带宽资源,全国主要服务商均访问速度均衡，包括教育网在内的国内各大运营商实现多路互连。
　　数据大厦核心网络采用多线光纤接入，中国联通、中国电信线路出口带宽达到40G，教育网、中国移动、中国铁通线路带宽达到

10G。各线路均有冗余备份，无单线路故障。核心交换层采用H3C的高端产品，汇聚层交换设备采用华为系列产品，核心层与汇聚层

间采用万兆光纤连接。
　　网络控制中心可根据用户需求，对网络路由进行灵活设置，提供与特定计算机系统、外部的特定数据中心、网点的专网连接。

各客户之间的网络物理隔离，确保数据传输和网络通讯安全可靠。让用户享用高速接入、高性价比、扩展升级方便、易于维护管理

的产品及服务的同时，更放心、更安心。
　　

  详情可咨询——中国数据 小陶
  直线：025-86883420-8026
  手机：15298376052
  Q Q：2329088640
  网站：www.zgs***