12306信息泄露事件系撞库攻击 窃密者已经被抓获

据中国铁路官方微博报道，铁路公安机关于2014年12月25日晚，将涉嫌窃取并泄露他人电子信息的犯罪嫌疑人抓获。

经查，嫌疑人蒋某某、施某某通过收集互联网某游戏网站以及其他多个网站泄露的用户名加密码信息，尝试登陆其他网站进行“撞库”，非常获取用户的信息，并谋求非法信息。目前，案件正在审理中。

这不是12306网站第一次发生用户信息泄露事件了，但是最大的一次。

12306官方网站当日公告称，经认真核查，此泄露信息全部含有用户的明文密码。12306网站数据库所有用户密码均为多次加密的非明文转换码，网上泄露的用户信息系经其他网站或渠道流出。目前，公安机关已经介入调查。

12月25日上午10：59，乌云网发布漏洞报告称，大量12306用户数据在网络上疯狂传播。

而此时，正是春运购票的关键时刻，12306网站每天的访问量都很惊人。

乌云网创始人邬迪告诉21世纪经济报道记者，“这是乌云网历史上，第一次如此大规模的铁路用户数据泄露。”

据了解，本次泄露事件被泄露的数据达131653 条，包括用户账号、明文密码、身份证和邮箱等多种信息。

乌云网是一家专注于互联网安全漏洞报告的平台。邬迪介绍称，乌云网每天都会对各项数据进行监测，12306事件只是今天的一项内容。但此前，他们也曾报告过12306网站泄露用户信息的情况。

对这次用户信息泄露事件，网络议论热烈。有网友担心，这些泄露的信息是否包含购票过程使用的银行卡等信息等。专业人士建议，如果用户在其他网站也使用了12306网站同样的用户名和密码，应当修改密码。

多位接受21世纪经济报道记者采访的安全专家对此事件分析认为，这次很可能是黑客“撞库”行为造成的，而非12306网站直接泄露，但同样说明12306网站仍存在安全漏洞。不过，也有一些专家认为事件原因仍不明。

对于此事件的影响，中国政法大学传播法研究中心研究员朱巍分析称，如果12306是出于过失导致信息泄露，司法实践中会采用过错推定原则确定侵权责任，“即先推定12306存在过错，然后由12306举证，证明自己尽到了安保责任”，朱巍说。

泄露原因何在?

乌云网创始人邬迪告诉21世纪经济报道记者，12月25日上午10：59，在事件发生后，乌云网立刻进行了核查，在确认该消息的真实可靠性后对此事进行了发布。

不久后12306就在第一时间知道了此消息，并与乌云网取得联系，表示会认真调查此事，并在日后发布公告。

下午14：15，乌云网通过微博发布了消息称，数据疑似黑客撞库后整理得到，而并非12306直接泄漏，请用户及时修改密码同时慎用抢票工具。

邬迪也对21世纪经济报道记者称，所谓“撞库”就是黑客通过收集网络上已泄露的用户名及密码信息，生成对应的“字典表”，到其他网站尝试批量登录，得到一批可以登录的用户账号及密码。

登录用户的后台后，可能存在邮箱、手机号码、身份证号码被泄露、账务积分和账户余额流失等多种风险。

“如果用户及时修改原始密码就可以规避撞库风险。”邬迪说,“但这并不等于自己的信息就完全安全了。”

邬迪告诉记者，除了撞库，还有另一种方式叫做拖库。黑客通过技术直接下载某平台的全部数据库。“但本次12306泄露可以排除拖库的可能性。”

在业内人士看来，“拖库”是指入侵有价值的网络站点，把数据库全部盗走的行为。盗取数据后，黑客会通过一系列的技术手段清洗数据，并在黑市上将有价值的用户数据变现交易，此为“洗库”。最后黑客将得到的数据在其它网站上进行尝试登陆，叫做“撞库”。

浪潮电子信息安全事业部副总经理蔡一兵对21世纪经济报道记者称，“在互联网的黑市里有一个非常成熟的产业链，有一个非常成熟的形成利益过程：拖库、洗库和撞库。”

针对此次泄露事件的原因，360互联网安全中心的安全研究人员非常肯定地以书面方式回答21世纪经济报道经济的采访函时表示，“此次12306网站信息泄露是被黑客撞库造成的。”

其理由是，经过他们安全研究人员的调查发现，第一、几乎所有13万条12306账号密码，都可以在此前多家游戏网站泄露的密码库中匹配到相应的记录。说明黑客用多家游戏网站的密码库对12306发动“撞库”攻击，筛选出13万余条使用相同账号密码的用户数据。第二，通过对12306泄露数据中的相关用户进行抽样调查，超过半数没有使用任何抢票软件，其余则是使用不同的抢票软件。

在今天的泄露事件发生后，网上曾流传称，有18G的完整12306数据库被泄露，但是目前并没有人在网上找到过这个数据库。

泄露事件发生后，12306发布公告称网上泄露的用户信息系经其他网站或渠道流出，原因是12306网站使用的是多次加密的密码，而泄露的是明文密码。分析人士称，这也从另一个侧面说明，这些密码可能不是从12306网站泄露出去的。

据乌云官网发布的消息称，漏洞已交由第三方厂商国家互联网应急中心处理。12月25日，国家互联网应急中心人士对21世纪经济报道记者表示：“事件正在调查当中，结果以官网发布为准。”

一位网络安全研究人员对21世纪经济报道记者称，12306网站第一时间知道这个事情的，并发布了公告，但是几个小时过去了，那些用户名和密码还可以登录，并可能被用于更改他人密码、找到他人的电话号码，甚至帮人家退票，“他们为什么不紧急通过技术手段，短信通知用户，将泄露的用户密码强制更改或提醒客户更改?”