傳媒

華住1.3億用戶信息黑市叫賣 誰之過?程序員還是內鬼

字號+ 作者:都市在線 來源:未知 2018-08-29 17:01 我要評論( )

來源:IT時報 作者:郝俊慧 章蔚瑋 昨天,又一起大用戶信息遭大規模泄露。所不同的是,信息是從黑市中發布的出售信息中流傳開來,截止昨天晚間,這則帖子已有近

  來源:IT時報

  作者:郝俊慧 章蔚瑋

  昨天,又一起大用戶信息遭大規模泄露。所不同的是,信息是從黑市中發布的出售信息中流傳開來,截止昨天晚間,這則帖子已有近4000瀏覽量。

  5年內最大規模數據泄露

  昨天上午,在暗網,一位ID名為helen250的用戶發帖出售1.3億名華住旗下酒店入住用戶數據包,從實際泄露數據規模,總數約在5億條(期間可能存在交叉重復)。

  從出售貼上發布的信息看,目前被泄露的信息包括:

  華住官網注冊資料,包括姓名、手機號、郵箱、身份證號、登錄密碼等,大約 1.23 億條記錄。

  酒店入住登記身份信息,包括姓名、身份證號、家庭住址、生日、內部ID號,約 1.3 億人身份證信息。

  酒店開房記錄,包括內部 ID號、同房間關聯號、姓名、卡號、手機號、郵箱、入住時間、離開時間、酒店ID號、房間號、消費金額等,約 2.4 億條記錄。

  華住集團是國內第一家多品牌酒店集團,根據其官網顯示,自2005年創立以來已在中國擁有3817家酒店,酒店品牌覆蓋高中低端市場,美爵、VUE、禧玥、諾富特、美居、漫心、全季、桔子水晶、桔子精選、CitiGO、星程、宜必思尚品及大眾市場的宜必思、漢庭優佳、漢庭、怡萊、海友等。此次的泄露幾乎將華住集團所有酒店數據一網打盡。

  根據華住的官方信息,華住會的會員在全球超過1億。在國內,每十人,就有一個是華住用戶。

  據了解,為了取信買家,出售者放出了一個包含10000條數據的測試包!禝T時報》記者獲得了這份測試數據,并嘗試撥打了其中多個“住店客人”的電話,他們均向記者確認,信息屬實。并稱已經接到多個核實信息的電話。

  “威脅獵人”運營方深圳永安在線科技有限公司創始人CEO畢裕告訴《IT時報》記者,根據賣家提供的10000條測試數據,“威脅獵人”用手頭已有一些舊數據庫進行了交叉驗證,結果顯示,此次測試的數據絕大多數是新泄露的數據,可以排除賣家在用老數據欺詐買家。

  “該份數據的真實性非常高,此次的數據泄露也可能成為近5年內國內最大最嚴重的個人信息泄露事件。” 畢裕告訴記者,他們正在對信息泄露的源頭進行測試,看究竟是哪些漏洞導致數據庫被拖,目前已有幾個推測的方向,但最終確認還需要一定時間。”

  是程序員?還是內鬼?

  發現這一暗網交易,并報警的白帽子網絡尖刀安全團隊紫豹科技,分析認為漏洞很有可能是華住公司程序員將數據庫連接方式上傳至GitHub導致其泄露。

  從紫豹科技公布的信息來看,該數據庫在20天前上傳至GitHub,與賣家在售賣信息中描述的數據庫是在8月14日被拖庫的時間相吻合。(拖庫:用特定技術獲取數據庫。)

  GitHub是一個面向開源及私有軟件項目的托管平臺,有人將GitHub稱為程序員版的MySpace或者網盤。

  此前,已經發生過不少起因程序員擅自把數據上傳到GitHub,導致信息、數據泄露,但考慮到此次事件的嚴重性和覆蓋面之廣,卻并不能如此簡單下結論。

  根據奇虎科技有限公司旗下的安全公號《安全客》的追蹤測試,發現被曝光的“疑似華住程序員”的github用戶在6月20號創建了賬號,并在20天前創建了項目名“DENGXIANGLONG001/CMS”酒店管理系統”項目,這一項目中應該就是包括了1.3億用戶信息的數據包。

  但疑點在于,從6月20日至今,這個github用戶僅創建了這一個項目(目前,這個項目已經被刪除)。加上黑市售賣帖中提及:“如果權限不丟失,后續數據還可以免費發給已購買的大佬”。

  難免不讓人懷疑是否為有人蓄意上傳后讓人“拖庫”?對此,網友提出了相同的疑惑。

  黑市中已啟動交易

  此外,網上有傳說稱,這些泄露的數據已經被37萬的高價出售?

  奇虎某實驗室研究員潛入黑產群中發現,黑產交易市場中的確已經開始“瘋狂”的討論是否要進行購買,甚至提出了“團購”提議。但價格如何目前尚不能下定論。

  通過一些技術追蹤后,安全員發現,他們的交易流程已進行到telegram溝通交易地步。(telegram是一款俄羅斯的加密聊天軟件,具有極高的安全性,很難被監控,經常被高級黑產用來進行聊天交易)但結果如何,目前不得而知。

  但,可以想象的是,一旦落入到有目的的欺詐團伙手中,這些數據可能威脅到大批用戶個人賬號、密碼安全,同時為電話詐騙提供了更多可利用素材,后果不堪設想。

  信息安全為何屢屢受到挑戰

  消息曝出后,華住集團的股價出現了下跌。

  8月28日下午,記者撥打華住的官方客服電話,提出采訪確認需求,客服表示將盡快轉交公關部,截至下午5點,尚未收到回音。稍晚點時間,華住就此事發出了官方聲明。最新消息是,上海警方已啟動了調查。

  但這并不是華住第一次被卷入“開房記錄泄露門”。2013年,華住旗下的如家、漢庭等經濟型酒店便被曝出過2000萬條開房記錄被泄露,原因是消費者連接酒店Wi-Fi上網提交用戶記錄進行網頁認證時,其信息并不在酒店服務器上認證,而是被為酒店提供服務器的公司——浙江慧達驛站網絡有限公司第三方服務器實時存儲,并因系統漏洞被黑客攻擊,最終導致客戶信息被泄露。

  同時,記者留意到,華住酒店公布2018 年第二季度財報中顯示,華住酒店營業凈收入25.2 億元,增長25.9%,凈利潤增長39%,其中,人事費用占收入比重16.7%,用于公司提高清潔女工薪酬;而包含信息技術在內的管理費用率則僅占7.1%,這一比例還并不完全是用于信息技術開發。

  無論,此次泄露事件的根源是程序員缺乏安全意識,還是有內鬼,信息安全技術在中國企業中地位低,不被重視是事實。而保護用戶信息安全難的話題其實已經是老生常談,“在一家企業,安全只能作為成本支出部門,而非盈利部門。” 這在行業內是公開的秘密。卻不知,用戶信息安全保障往往會成為決定一家企業生死成敗的關鍵所在。

----分隔線----東方都市網----分隔線----投稿:975981118@qq.com 歡迎投稿
東方都市網,上海東方都市網,中國都市網,東方都市網財經頻道站http://www.marocmaths.com

本網站資訊內容,均來源于合作媒體和企業機構,屬作者個人觀點,僅供讀者參考。 本網站對站內所有資訊的內容、觀點保持中立,不對內容的準確性、可靠性或完整性提供任何明示或暗示的保證。咨詢聯系3455677927@qq.com

相關文章
  • 華住1.3億用戶開房信息黑市叫賣,誰之過?程序員?內鬼?

    華住1.3億用戶開房信息黑市叫賣,誰之過?程序員?內鬼?

    2018-08-29 17:08

  • 重慶渝北十大場所明年底免費WiFi覆蓋-東方都市網

    重慶渝北十大場所明年底免費WiFi覆蓋-東方都市網

    2018-08-11 17:44

  • 道音傳媒發布能摸的廣告 提高廣告與用戶互動性-上海東方都市網

    道音傳媒發布能摸的廣告 提高廣告與用戶互動性-上海東方都市網

    2018-07-26 17:54

  • Uber司機殺人后 創始人被逼下臺 十萬用戶組團告發

    Uber司機殺人后 創始人被逼下臺 十萬用戶組團告發

    2018-08-29 09:39

網友點評