天蚕土豆,盗墓笔记第二季,琅琊榜海宴小说

攜程深陷“漏洞門” 信息安全原罪或成定時炸彈

文旅界 2014.03.28 09:58 閱讀量：69628

業內人士表示，在信息爆炸和大數據時代，信息安全原罪或許會成為一枚定時炸彈，不斷引爆大眾對個人信息安全

　　近日，國內著名在線票務服務公司攜程旅行網(以下簡稱攜程)被烏云爆出信息安全漏洞，可能導致多項個人隱私信息泄露，引發攜程用戶的巨大恐慌和大眾對信息安全的再次強烈關注。

　　有業內人士告訴記者，“在信息爆炸和大數據時代，信息安全原罪或許會成為一枚定時炸彈，不斷引爆大眾對個人信息安全深重的憂慮，引發對企業道德責任感的拷問。”

　　中國經濟網記者就此采訪了攜程公共事業部的李先生，李先生稱攜程承諾“將在交易完成后立即刪除用戶的敏感信息，不再保存”，至于何時能把已存的用戶隱私信息刪除完畢，暫時還不能確定。

　　“烏云”壓攜程攜程“誠”欲摧

　　3月22日，著名漏洞報告平臺烏云連續披露攜程的兩個安全漏洞，漏洞發現者稱，由于攜程開啟了用戶支付服務接口的調試功能，支付過程中的調試信息可被任意駭客讀取。該發現者還列出了可能泄露的用戶信息，包括“持卡人姓名、身份證、銀行卡類別、銀行卡卡號、銀行卡CVV碼、銀行卡6位Bin”。得知消息后，許多攜程用戶紛紛準備換卡。

　　據悉，烏云曾因2011年連續披露國內多個著名網站的用戶賬號密碼外泄事件而聲名大噪。烏云在其官方介紹中的一句誓言或許表明了其心跡：“我們堅信它是匯聚互聯網安全研究者力量的，將帶來暴風雨清洗一切的烏云。”

　　這樣的一團“烏云”，3月22日帶來了一場轟動網絡的暴風雨，澆透了攜程。攜程樹立“誠信”形象的大廈在一些用戶的心中轟然倒塌，“攜程在手，說走就走”的廣告語也被網友調侃為“攜程在手，密碼說走就走”。

　　對于深陷“漏洞門”的攜程來說，這次所面對的確是一場暴風雨。

　　攜程多次發聲明難解部分用戶疑問

　　3月22日晚9點，攜程在其官方微博發表了第一條聲明：“我相關部門已經在第一時間展開技術排查并在消息發布兩個小時內進行了漏洞彌補工作。目前沒有用戶受到該漏洞的影響而造成相應財產損失的情況發現。”

　　面對某用戶“被盜刷的話，你們負責嗎”的疑問，攜程回復：“用戶因為該漏洞造成的財產損失，攜程將給予賠償。”但有用戶提示，“知道如何賠付嗎?用戶必須舉證：1、交易非本人發起;2、證明盜用者是從攜程而非其他地方獲取的交易敏感信息”。

　　在巨大的輿論壓力下，攜程再度發表聲明：“經攜程排查，僅漏洞發現人做了測試下載，內容含有極少量加密卡號信息，共涉及93名存在潛在風險的攜程用戶。攜程客服于今日通知相關用戶更換信用卡”，而且“經各銀行反饋，截至目前，沒有發生攜程用戶信用卡被盜刷的情況”。

　　對此，也有用戶連發三問：“請問攜程如何判斷只有漏洞發現人下載了?如何判斷他確實把數據刪除了?如何判斷他刪除后不能再恢復了?”這些問題，恐怕只有攜程能夠回答。

　　保存CVV信息疑違規攜程承認做法不對

　　用戶集中提出了一個重要的問題——攜程為什么保存用戶的CVV信息?

　　所謂CVV信息，是指銀行信用卡背后的三位驗證碼。在“離線交易”環節，用戶只需提供卡號和CVV信息即可完成支付。因此可以說，CVV信息掌握著卡的交易授權，屬于高度機密的用戶隱私信息。

　　有用戶指出，“CVV碼只能用于交易時驗證，不允許商家交易后存儲。這個設計就是為了在數據不幸泄露時避免對持卡用戶造成經濟損失。所以攜程為什么要存這個信息呢?”

　　對于這些疑問，攜程的工作人員給記者做了解釋，“由于旅游行業的特殊性，以機票和酒店為代表的旅游產品，價格會隨著庫存、預訂時間實時變化。對于在線旅游網站而言，將用戶的姓名、身份證、信用卡號、CVV碼等儲存起來，預訂反應機制會更加靈活，能優化消費者體驗，這或許可稱為是該行業的一種潛規則。”不過，該工作人員也承認，“這種做法確實是錯誤的。”

　　經記者調查了解，根據中國銀聯風險管理委員會于2008年發布的《銀聯卡收單機構賬戶信息安全管理標準》，各收單機構系統只能存儲用于交易清分、差錯處理所必須的最基本的賬戶信息，不得存儲銀行卡磁道信息、卡片驗證碼、個人標識代碼(PIN)及卡片有效期。

　　顯然，攜程保存的用戶信息已經超過了該標準的允許范圍，違反了上述標準的規定。有攜程用戶如此描述這種行為，“這叫好比我把鑰匙給你，請你幫忙去我家里取個東西，回來你卻偷著配了把鑰匙放你自己兜里。”

　　諷刺的是，僅僅兩個月前，攜程在面對某媒體對其支付安全性的質疑時，明確回復“攜程網的后臺不會記錄用戶的支付信息”。

　　承諾不再保存CVV 信息安全警鐘長鳴

　　面對洶涌襲來的輿論大潮，攜程在其官網發表最新聲明稱，將會嚴格按照監管部門的要求，對支付流程進行整改，取消對用戶CVV信息的詢問和登記，不再保存用戶的CVV信息，以前保存的CVV信息正在刪除。

　　3月27日，在記者問到“何時能將已存的CVV信息完全刪除”時，攜程的工作人員表示暫時還不能確定。

　　目前，攜程正采取一系列補救措施，比如啟動CFCA和PCI的認證程序等，試圖挽回因此失去的市場和信譽。

　　針對此事，有專家指出，“移動互聯網應用的迅猛發展將助推在線旅游服務的“蛋糕”越做越大，但其中隱含的問題也會隨之浮出水面。攜程此次泄露信息事件反映出在線支付行業不僅要加強行業自律，也需要監管部門強力介入，通過出臺明文法規，將在線支付納入到行業監管的大局之下。”

　　至此，從上周六開始“發酵”的攜程“漏洞門”，似乎將告一段落。然而，有業內人士指出，“攜程是行業巨頭，又是上市公司，居然也在安全問題上犯這樣的錯誤，只能說沒有把用戶的利益放在第一位，同時也反映出當前互聯網界整體安全意識淡薄的現狀。”

　　另有業內人士提醒，“攜程如果處理不好此事，面對的不僅僅是短期內企業形象受損和信任度下降，而且可能面臨用戶的大量流失、集體賠償訴訟乃至有關機構的巨額罰金。”可以肯定的是，此次事件會對其它在線支付平臺起到警示作用。

在線旅游攜程支付安全