搜狗12306 12306网回应“13万用户数据泄露” 警方介入调查

网上流传的泄露数据显示了用户的电子邮件地址、明文密码、姓名、身份证号等个人信息。

12306网站回应“13万用户数据泄露”

信息通过其他网站或渠道流出，包括用户密码、身份证号、手机号等。警方已参与调查

新京报讯昨日上午10时59分，有网友在“黑云-漏洞举报平台”上发帖称，大量12306用户数据在网上传播和出售。根据平台披露的信息，已知公开传播数据涉及用户131653人，不清楚是否有更多用户数据被泄露。12306网站昨天对此进行了回应，称互联网上泄露的用户信息是通过其他网站或渠道流出的。

泄露的信息包括用户的明文密码、身份证号、电子邮件地址、手机号等。数据仅供销售，无法确认用户信息是12306官方还是第三方票务平台泄露的。

针对网上出现“12306网站用户信息在网上流传”的消息，昨日，12306网站回应称，经核实，所有泄露的信息均包含用户明文密码，12306网站数据库中所有用户密码均为多次加密的非明文转换码，网上泄露的用户信息通过其他网站或渠道流出。12306称已报警，警方已介入调查。

12306网站的公告也提醒旅客不要使用第三方票务软件购票或委托第三方网站购票，防止个人身份信息泄露。同时也提醒一些第三方网站有捆绑销售保险功能，请乘客注意。

■提问

用户数据是如何泄露的？

专家表示，密码可能是通过“碰撞攻击”泄露和整理的

据相关专家分析，正常情况下，注重安全性的网站是不会使用明文密码的。因此，这次泄露的13万条记录，极有可能是黑客通过其他数据库“撞进数据库”整理出来的。

360安全专家杨安也认为，12306的用户信息是“撞数据库”泄露的，就是利用黑客在网络上收集泄露的用户名和密码信息，生成一个庞大的密码数据库，然后在12306等网站尝试批量登录，获取一批可以登录的用户账号和密码。部分网络安全公司昨日也发布声明，并证实12306数据泄露事件是“数据库碰撞攻击”。

谁是“泄密者”？

专家表示，基本确认是黑客获得的，“12306网站账号安全系统存在缺陷”

12306在官方声明中表示，网上泄露的用户信息是通过其他网站或渠道流出的，并提醒用户不要使用第三方票务软件购票。

杨安表示，根据安全研究人员的分析，发现13万个账号密码几乎全部与此前一些游戏网站“泄密门”传来的账号密码完全匹配，基本确认该批数据是黑客获取的。据报道，这些信息可能在黑客中被“买卖”。12306网站被撞进了图书馆，这表明其账户安全系统存在缺陷，所以黑客试图使用自动程序登录图书馆。

如何避免密码泄露的风险？

快速更改您的密码。不同的网站使用不同的密码并定期修改

由于很多用户在不同的网站上使用相同的账号密码，可以实现“库冲突攻击”，因此黑客可以通过获取用户在A网站上的账号来尝试登录B网站。

12306的信息泄露可能会产生风险，比如邮箱被“撞库”，导致更多个人信息被窃取；因泄露手机号、身份证号及行程、电信诈骗等。，甚至有可能出现恶意退票预定火车票的情况。

360安全专家杨安提醒12306用户注意更改密码。如果其他重要帐户使用相同的注册电子邮件地址和密码，则应一起修改。

杨安表示，只要公安机关根据这10多万数据相关用户进行调查，很快就能挖掘出泄露数据的来源。这一事件再次为互联网信息安全敲响了警钟。安阳提醒用户对邮件、网上支付等重要账户单独设置高强度密码，并定期修改密码。新京报记者叶林·刘侠

■记者经历

抢票软件中存在“默认购买保险”的情况

新京报讯昨日，12306官网回应大量用户数据泄露时表示，“部分第三方网站有捆绑销售保险功能。”记者发现，在手机客户端票务软件中有一个默认绑定支付20元意外险。

记者通过搜索引擎查询了“抢票软件”，在网友“评价较高”的抢票软件中，如“360抢票王”、“百度抢票软件”、“搜狐抢票软件”等，均为免费浏览器插件抢票软件。

记者使用360浏览器下载抢票小部件，点击即可快速安装。点击“订票”开始订票，选择出发地点、目的地、出发日期和时间，点击绿色按钮“开始刷票”。同时，浏览器插件票务软件也可以在手机上使用。

显示购票成功刷卡后，需要在12306官网填写个人账号和密码，进入网站后进行支付。应付金额与票面金额相同，无销售保险。

之后，记者通过手机票务软件购买了门票。在安卓手机软件中，抢票软件的客户端种类繁多，百度移动助手显示“火车票抢票”“超级火车票”“火车票抢票软件”等近30条客户端信息。

记者随机下载了一款名为“超级火车票”的手机购票抢票软件客户端，进入主界面，选择了1月1日“北京-保定”的火车票查询。页面显示当日列车信息，硬座票价23.5元。填写个人信息后，点击进入支付界面，应付金额显示为43.5元，比票面价格高20元。

"付款金额是多少，20元？"记者回到订票界面，在乘客信息下找到了“购买交通意外险20元”的默认选项。点击进入内部界面，显示“购买交通意外险，20元报50万，订单处理快捷，享受人工退换服务。”也可以勾选“不买保险”，提示“不提供人工退换服务”。

而类似的手机票务软件客户端，如“12306票务助手”，在支付信息中也默认有“购买交通意外险20元”的信息，页面广告混杂，甚至带有低俗的广告信息。

律师李瑞丽在接受媒体采访时表示，“票务软件系统中设置的‘取消购买’选项相对隐蔽，违反了《消费者权益保护法》。消费者有权了解和选择自己的产品。这种模糊选择方式的抢票软件搭售保险，涉嫌欺诈。”

使用这些网站会有风险吗？

一些第三方网站回应了泄密事件

百度

据百度守护劫相关负责人介绍，百度守护劫本身是一款安全软件，用户的关键数据都存储在本地，即用户的电脑中，不具备云端同步功能，因此不会出现收集泄露用户12306账号、密码、身份证号等敏感信息的问题。

携程旅行网

此事与携程无关。携程火车票的用户账号、密码等相关数据是安全的，在传输和存储过程中始终是加密的。任何未经授权的人员都无法获得这些数据。

360

对于12306的信息泄露，360回应称，360浏览器票务软件拥有业内最严格的安全防护机制，从未出现过任何数据泄露。通过对互联网公开传播的12306条用户数据中的13万多条的调查分析，这件事与360无关。公安机关可以根据这些受害者的信息进行调查，很快就可以挖掘出泄露数据的来源。

腾讯

腾讯移动管家安全专家提醒用户通过12306官网购票，建议广大12306用户务必尽快更改12306网站密码。其他网站、网银、第三方支付软件等。使用与12306相同的注册电子邮件地址和密码的也应立即更改。需要提醒的是，这些数据可能被不法分子用于精准诈骗，所以近期要警惕诈骗短信和诈骗电话。

搜狗

针对12306数据泄露，搜狗浏览器官方微博声明:1。建议用户尽快修改12306账号密码，防止重要个人信息泄露，造成不必要的损失；2.请及时查看所购车票是否被恶意退票，确保回家一路平安。

新京报记者刘侠林绮玲