爆12306用戶數據被泄露，官方確認為第三方渠道流出

雷鋒網消息，今天上午漏洞報告平臺烏云爆出，12306網站用戶數據被泄露。

漏洞作者稱，有大量12306網站的用戶數據在網絡上傳播，其中包括用戶ID、（明文）密碼、身份證、注冊郵箱等。目前僅看到有黑客在售賣，尚不能確定泄露環節是12306網站還是第三方搶票平臺。

（圖片來自鳳凰科技，下午雷鋒網去烏云查詢漏洞信息，發現該網站服務器宕機無法訪問，不知是否與爆出本次漏洞有關）

下午，12306網站發出公告，確認了泄露數據的真實性。12306官方稱，已核查網絡上流傳的用戶泄露數據，發現泄露信息系明文賬號密碼，12306相關數據均是經過多次加密的轉換碼，網上泄露信息應是從其它網站或渠道流出。

正式聲明如下：

針對互聯網上出現“12306網站用戶信息在互聯網上瘋傳”的報道，經我網站認真核查，此泄露信息全部含有用戶的明文密碼。我網站數據庫所有用戶密碼均為多次加密的非明文轉換碼，網上泄露的用戶信息系經其他網站或渠道流出。目前，公安機關已經介入調查。

我網站鄭重提醒廣大旅客，為保障廣大用戶的信息安全，請您通過12306官方網站購票，不要使用第三方搶票軟件購票，或委托第三方網站購票，以防止您的個人身份信息外泄。

同時，我網站提醒廣大旅客，部分第三方網站開發的搶票神器中，有捆綁式銷售保險功能，請廣大旅客注意。

雷鋒網了解到，本次泄露數據有多種說法，一是黑客撞庫得到相關信息；二是第三方搶票軟件泄露；三是12306許久前曾遭受攻擊。

不過這些說法并不能完全解釋此次事件。現在網絡上廣泛流傳的是14MB用戶數據（共計13萬余條），有網友下載到相關數據表示，里邊有用戶個人ID信息，可能不是撞庫產生，也有人就泄露信息打電話詢問，當事人稱最近并未購買過火車票。

14MB之外，網絡上還流傳有18GB、37GB兩種說法，但這兩種尚未有任何佐證信息。

目前，人民日報等國家媒體已在微博上發出警告，提醒用戶修改密碼。

更新：安全研究團隊知道創宇告訴雷鋒網，其通過分析現在網絡上流傳的13萬泄露信息，確認此批數據為撞庫引起。網上并未發現有18GB或其它版本數據的流轉跡象。

更新2：雷鋒網聯絡到獵豹移動的安全專家，對方針對本次事件給出了三個建議，大家可以參考一下。

更新3：@中國鐵路 微博公布，鐵路公安已于25日晚抓獲兩位涉事嫌疑人。

雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。