12306 脱库疑云:410 万用户数据仅售 20 美元!

640?wx_fmt=gif

640?wx_fmt=jpeg

年关了,幺蛾子格外多!

有微博用户称,12306用户登录信息被出售了!

640?wx_fmt=jpeg

被挂出来售卖的,不仅有用户的姓名和电话,还有身份证、和注册时设置的问题以及问题的答案。

640?wx_fmt=jpeg

笔者获悉、并打码的泄露出来的用户信息


640?wx_fmt=png


由下图帖子可知,这份等待售卖的数据,涉及60万账号、410万联系人信息。但卖家的“售价”却低得可怜,只要20美元、合计137元左右,就可以买到这份数据!

640?wx_fmt=png

640?wx_fmt=png

640?wx_fmt=jpeg

这份数据涉及的个人信息,不仅私密并且超级重要:ID、手机号、密码、姓名、身份证、邮箱、问题及答案等,都包含在里面。而安全问题,可用于通过申诉来获取其它平台账户的信息。

更要命的是,这份数据还包括每个账户中,添加的联系人信息、姓名和身份证号。

笔者随机用被泄露的用户的账号密码,登录12306,发现居然可以登上去!太可怕了!

近几年,12306数据泄露的新闻曝出不少,12306官方也曾澄清过。但是本次数据之详细,让许多人都非常惊讶!

就在刚刚,中国铁路发微博称:

“辟谣:网传信息不实,铁路12306网站未发生用户信息泄漏。铁路部门提醒广大旅客,请通过铁路12306官方网站(www.12306.cn)和“铁路12306”客户端(在“铁路12306”字体上方标有路徽和“中国铁路”字样的图标)购票,避免非正常渠道购票带来的风险。”

640?wx_fmt=png

CSDN 程序人生(ID:coder_life)就此事,采访了网易云安全(易盾)首席架构师沈明星,他表示,由于12306数据量远远大于400万,所以推断可能是第三方泄露的,比如一些抢票软件。而要保护安全,就得尽快修改12306密码,如果这个密码在其他网站使用,比如微博、支付宝等,也要一并修改。此外,不要把账号密码托管给其他三方软件平台,账号尽量开启二次验证机制。

有说法认为,可能是QQ邮箱泄密的,因为大部分中国人只(都)有QQ邮箱。

640?wx_fmt=png

不过沈明星表示,邮箱可能性不大,因为通过邮箱,拿不到密保问题的答案。


640?wx_fmt=png

12306已经不是第一次泄露数据了


早在2014年圣诞节,漏洞报告平台乌云网出现了一则关于12306的漏洞报告,危害等级显示为“高”,漏洞类型则是“用户资料大量泄漏”。

这意味着,这个漏洞将有可能导致所有注册了12306用户的账号、明文密码、身份证、邮箱等敏感信息泄露,而泄漏的途径目前还不知道。后来,该漏洞提交给了国家互联网应急中心进行处理。

640?wx_fmt=png


640?wx_fmt=png

那么,用户信息一般都是怎么被泄露的呢?


1. 安全维护不及时

平台为了节约成本等原因,使用相似的源代码进行更改,以至于网站的数据管理模式落后、或存在缺陷。

在这些使用相同源代码的网站中,只要有一个网站被爆出系统漏洞,作案者就可利用该系统漏洞,来获取到其他网站的相关数据。

2. 黑客进行撞库

通过收集互联网已泄露的用户和密码信息,生成对应的字典表,尝试批量登陆其他网站后,得到一系列可以登录的用户。

很多用户在不同网站,使用的是相同的帐号密码,因此黑客可以通过获取用户在A网站的账户,从而尝试登录B网址,这就可以理解为撞库攻击。

而不少用户隐私意识和数据安全意识不够强,总爱使用同一组用户名和密码,这些数据在一个网站被泄漏后,不法分子便可以通过这些公开的数据,对另一个网站上的数据进行撞库,借此很容易就能获取大量隐私数据。

3. 人为倒卖

服务商们为了针对用户做定制化服务,往往需要在 APP、软件、网站服务的各个环节,获取用户的个人信息。这些数据信息经公司内部人员收集之后倒卖出去,比如支付宝 2013年的用户信息泄密,就是由支付宝的技术员工,下载用户信息之后再倒卖的。


640?wx_fmt=png

我们该如何保护个人信息?


对大多数普通用户来说,并没有能力去制止网站的泄密行为,但在我们的能力范围内,可以采取以下办法,来降低风险:

1. 手机设置密码有讲究

现在的智能手机很多都标配了指纹识别,解锁还是很方便的(图形密码太简单,容易被陌生人瞄到)。

2. 重要网站、App 的密码要独立设置

不要设置简单的数字和单词密码,Password或者123456这种密码,是最容易被黑客破解。与其信任你的记忆,不如信任一个复杂组合密码。

3. 不要在连接公共无线网络时登录账号

连公共WiFi时,账号隐私(如 Cookies)会存在被监听盗取的可能性。这时有个技巧:用浏览器的隐身模式上网即可。   

4. 设置二次验证

不管是邮箱还是社交账号都能够绑定手机号进行二次验证,比如我们最常用的 QQ、微信。这样即便服务商出现漏洞,黑客也无法通过获取的账户信息登录你的账号。

最后,年关了,希望大家都不要遇到这样的糟心事,该买票还是要买票,过年可是大事!

参考链接

https://baijiahao.baidu.com/s?id=1568292504647313&wfr=spider&for=pc

 热 文 推 荐 

 36 岁捧走图灵碗!80 岁算法大师高德纳要在 105 岁完结《计算机程序设计艺术》

 算到怀疑人生!如何用并查集解决朋友圈个数问题?

 深度学习的发展可能已达极限!

特别策划 | 盘点区块链的2018:技术与工具演进篇

☞ 企业云存储建设之路

开除“野狗”式程序员,团队的效率提高了

AI in 美团:吃喝玩乐背后的黑科技

☞ 老程序员肺腑忠告:千万别一辈子靠技术生存!

print_r('点个好看吧!');
var_dump('点个好看吧!');
NSLog(@"点个好看吧!");
System.out.println("点个好看吧!");
console.log("点个好看吧!");
print("点个好看吧!");
printf("点个好看吧!\n");
cout << "点个好看吧!" << endl;
Console.WriteLine("点个好看吧!");
fmt.Println("点个好看吧!");
Response.Write("点个好看吧!");
alert("点个好看吧!")
echo "点个好看吧!"

640?wx_fmt=gif点击“阅读原文”,打开 CSDN App 阅读更贴心!
640?wx_fmt=png喜欢就点击“好看”吧!
©️2020 CSDN 皮肤主题: 代码科技 设计师: Amelia_0503 返回首页
实付0元
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值