內地網絡安全疑問反饋平臺烏云漏洞平臺發表稱，由于攜程網系統存專業漏洞，用戶個人信息、銀行卡信息可能會遭泄露。業內解析人士稱，攜程并沒有支付執照，按制定不許可存儲用戶銀行卡信息，此次事件曝光出相關企業內控機制方面的短板以及部門第三方支付機構風險控制存在隱患，發起有關部分盡快出臺保衛個人隱私的法律律例，同時對泄露客戶信息的機構進行處罰，為在線支付把好安全閥門。
□事件
買賣網站違規存CVV碼
攜程將用于處理用戶支付的服務接口開啟了調試性能，使部門向銀行驗證持卡所有者接口傳輸的數據包直接保留在本地服務器，有可能被黑客所讀取。攜程沒有支付執照，依照制定不許可存儲用戶銀行卡信息，尤其是CVV碼(又叫用戶辨別碼，是銀行卡進行非面臨面買賣時用于確定用戶地位的辨別碼，作用雷同于暗碼)。而上述調試接口，通常是攜程需要和合作公司調試時才打開，數據包通常會有多種加密性能，即便被下載也很難破譯。
據了解，攜程合作的銀行包含有工商銀行、中國銀行、招商銀行、浦發銀行等十余家，第三方支付機構包含有支付寶、財付通、銀聯在線等。
攜程作為納斯達克上市的在線第三方支付企業，必要遵守《第三方支付行業數據安全尺度》，此中明確制定了如何實施數據保衛，以及哪些信息可以保留、哪些信息不能保留，CVV碼屬于不許可存儲的敏百家樂機率公式感數據。
買賣網站存CVV碼，相當于小時工偷偷配了你家的鑰匙，同時，他還知道關于你家所有的信息。新浪認證微博、汽車之家創始人李想說，需要輸入CVV碼和存儲CVV碼是兩個概念。有些信息可以存，有些信息無論如何也不能存，攜程存了無論如何也不該存的CVV碼，這相當于把你信用卡的暗碼存儲并泄露了。
□揭秘
旅游產品支付手段較寬松
烏云曝出的攜程支付漏洞事件讓不少人極度詫異：攜程為什麼要保留信用卡的CVV碼？查訪發明，這跟旅游產品預訂的特性有關。
以機票和旅店為典型的旅游產品，代價跟著庫存、預訂時間即時變化。網購一張機票的流程是，用戶查詢到一個航班以后，比如看到一張400元3折的機票，用戶輸入伺機人姓名和地位證點擊下一步，然后完工支付，代理商在看到用戶完工支付后會憑借這個完整的訂單進行出票。但用戶填寫信息需要一定時間，對網購認識的用戶完工支付最快會花30秒，慢的則需要1-2分鐘，在這過程中，此前的3折票很可能已被航空公司取消或者變價，代價可能漲到了45百家樂大眼仔0元，這就出現了支付勝利但不出票。
所以說并不是填寫完個人信息，點擊下一步票就預訂勝利。假如消費者預訂時相關產品庫存和代價數據與即時場合相匹配，則預訂勝利，相關款項也會支付出去。然而，當消費者的預訂指令發出后，后臺處理往往會出現各種場合，如庫存沒有了，或者代價漲了，這時候，預訂平臺就會反饋消費者是否做其他選擇或繼續預訂。為了優化消費者的體驗，對于在線旅游網站而言，將消費者的姓名、地位證、信用卡號、CVV碼等儲存起來，在這種場合下預訂反映機制會更敏捷，后臺系統拜訪相關數據庫回轉機制的頻率比買實體商品要高。
第三方支付也存儲用戶信息
從專業上看，旅游產品支付前提更寬松，預訂旅游產品是不是比平凡網購更不安全？一位資深專業人士通知，事實上，包含有第三方支付平臺也會將消費者的相關數據儲存起來。正規的網購平臺儲存數據后會進行加密，之后數據進入一個密封的管道中，只有和銀行對賬時，相關數據才會解密。
在預訂勝利后，數據是如何保留下來的呢？實在相關數據此時已在預訂后臺被刪掉，進入到另一個加密的信息儲存庫(非VCC)中，以便用戶日后預訂時調出。攜程這百家樂下注法次的數據泄露事件，不是信息儲存庫里的數據泄露了。而是由於攜程專業人員將用于處理用戶支付的服務接口開啟了調試性能，也便是說對預訂后臺的部門數據解密(包含有CVV)進行排查專業上的疑問，原來這些數據應該下載到本地日志服務器中(安全性極強，外界無法拜訪)，但這些數據卻被放在Web服務器中，可以說是不應該發作的低級過錯。該資深專業人士說。
□叮囑
不要在不信任網站填寫要點信息
中國黑客教父龔蔚表示，攜程的本次系統漏洞是由一些小漏洞構成的，單看每一個小漏洞都不嚴重，但聯在一起就變成了安全事故。
事實上，(網站存儲)CVV信息是強加密的，即就是黑客也不一定能破解。龔蔚說，黑客在竊取此類信息時需要知足三個前提：加暗碼可破解、長期紀實、漏洞沒有修復。
百家樂 ai龔蔚表示，第三方支付機構為了能夠紀實、追蹤、調試用戶的買入環節，會在程序運行過程中紀實用戶的個人信息，這是合法行為，可是這樣的信息不是每個人都能看到，而且需要加密。一般調試過程都是在虛擬的前提下完工的，并在開闢或調試完工之后、上線之前查抄所有數據端口是否關閉。
在線填寫的個人信息并不是都加密的，像姓名、地位證號便是明文，銀行卡號、CVV碼就會強加密。龔蔚說，之所以一部門個人信息不加密，是出于資本採用效率和用戶體驗的考慮，加密要消耗系統資本，并且還需要解密、還原的過程，這樣採用起來程序紛繁、速度很慢。
龔蔚發起，企業一定要有安全意識，不能輕忽小漏洞。而作為消費者，在選擇買入支付網站、填寫個人信息時一定要謹嚴。當提交含有地位證號、銀行卡號、暗碼等要點個人信息時，一定不要提交給不信任的網站。一般來說，著名的大網站專業相對成熟，不會出現黑客在網站中直接參加代碼，獲取用戶信息的現象。而諸如小的代購網站，安全性就減低許多。
此外，龔蔚表示，除非必須，否則不要採用真實的地位，能採用虛擬地位就盡量採用，這樣可以減少個人信息泄露。在網上支付的時候一定要慎重，最好給銀行卡建置網購限額、支付短信告訴等安全級別保衛，一旦銀行卡被盜用，可以馬上發明，減少損失。
□發起
監管部分需強力參與
盡管攜程網及時回應了公共質疑，但公共的憂慮好像并未消減。廣州一家外貿公司的陳女士是攜程網的忠實用戶：攜程網允諾，未來假如因安全漏洞引起用戶損失，將蒙受全部責任并給予賠付。如何界定損失，企業說了算嗎？陳女士很迷惑。
公然信息顯示，到事發為止所有的查訪和損失認定工作均由攜程網一方進行，并未引入第三方監管機構。業內解析人士坦言，現在內地還沒有相關立法對第三方支付機構獲取用戶信息進行規范控制。
此次攜程泄露用戶信息反應出在線支付行業不僅要加強行業自律、更需要監管部分強力參與，亟待通過出臺明文律例、進行合規性、正當性查抄的方式將在線支付納入到行業監管的大局之下。
百家樂 倍壓法 中心財經大學銀行研究中央主任郭田勇以為，攜程泄露用戶信息事件曝光出部門第三方支付機構風險控制存在隱患，發起有關部分盡快出臺保衛個人隱私的法律律例，同時對泄露客戶信息的機構進行處罰，嚴把第三方支付的安全閥。
|
2025-04-30
|
