國(guó)內(nèi)網(wǎng)絡(luò)安全問(wèn)題反饋平臺(tái)——烏云漏洞平臺(tái)發(fā)布消息稱(chēng)，由于攜程網(wǎng)系統(tǒng)存技術(shù)漏洞，用戶(hù)個(gè)人信息、銀行卡信息可能會(huì)遭泄露。業(yè)內(nèi)分析人士稱(chēng)，攜程并沒(méi)有支付牌照，按規(guī)定不允許存儲(chǔ)用戶(hù)銀行卡信息，此次事件暴露出相關(guān)企業(yè)內(nèi)控機(jī)制方面的短板以及部分第三方支付機(jī)構(gòu)風(fēng)險(xiǎn)管理存在隱患，建議有關(guān)部門(mén)盡快出臺(tái)保護(hù)個(gè)人隱私的法律法規(guī)，同時(shí)對(duì)泄露客戶(hù)信息的機(jī)構(gòu)進(jìn)行處罰，為在線(xiàn)支付把好“安全閥門(mén)”。

綜合京華時(shí)報(bào)記者廖豐平亦凡新華社電

□事件

交易網(wǎng)站違規(guī)存CVV碼

攜程將用于處理用戶(hù)支付的服務(wù)接口開(kāi)啟了調(diào)試功能，使部分向銀行驗(yàn)證持卡所有者接口傳輸?shù)臄?shù)據(jù)包直接保存在本地服務(wù)器，有可能被黑客所讀取。攜程沒(méi)有支付牌照，按照規(guī)定不允許存儲(chǔ)用戶(hù)銀行卡信息，尤其是CVV碼（又叫用戶(hù)識(shí)別碼，是銀行卡進(jìn)行非面對(duì)面交易時(shí)用于確認(rèn)用戶(hù)身份的識(shí)別碼，作用類(lèi)似于密碼）。而上述調(diào)試接口，通常是攜程需要和合作公司調(diào)試時(shí)才打開(kāi)，數(shù)據(jù)包通常會(huì)有多種加密功能，即便被下載也很難破譯。

據(jù)了解，攜程合作的銀行包括工商銀行、中國(guó)銀行、招商銀行、浦發(fā)銀行等十余家，第三方支付機(jī)構(gòu)包括支付寶、財(cái)付通、銀聯(lián)在線(xiàn)等。

攜程作為納斯達(dá)克上市的在線(xiàn)第三方支付企業(yè)，必須遵守《第三方支付行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)》，其中明確規(guī)定了如何實(shí)施數(shù)據(jù)保護(hù)，以及哪些信息可以保存、哪些信息不能保存，CVV碼屬于不允許存儲(chǔ)的敏感數(shù)據(jù)。

“交易網(wǎng)站存CVV碼，相當(dāng)于小時(shí)工偷偷配了你家的鑰匙，同時(shí)，他還知道關(guān)于你家所有的信息。”新浪認(rèn)證微博、汽車(chē)之家創(chuàng)始人李想說(shuō)，“需要輸入CVV碼和存儲(chǔ)CVV碼是兩個(gè)概念。有些信息可以存，有些信息無(wú)論如何也不能存，攜程存了無(wú)論如何也不該存的CVV碼，這相當(dāng)于把你信用卡的密碼存儲(chǔ)并泄露了?！?

□揭秘

旅游產(chǎn)品支付手段較“寬松”

烏云曝出的攜程支付漏洞事件讓不少人非常詫異：攜程為什么要保存信用卡的CVV碼？記者調(diào)查發(fā)現(xiàn)，這跟旅游產(chǎn)品預(yù)訂的特性有關(guān)。

以機(jī)票和酒店為代表的旅游產(chǎn)品，價(jià)格隨著庫(kù)存、預(yù)訂時(shí)間實(shí)時(shí)變化。網(wǎng)購(gòu)一張機(jī)票的流程是，用戶(hù)查詢(xún)到一個(gè)航班以后，比如看到一張400元3折的機(jī)票，用戶(hù)輸入乘機(jī)人姓名和身份證點(diǎn)擊下一步，然后完成支付，代理商在看到用戶(hù)完成支付后會(huì)憑借這個(gè)完整的訂單進(jìn)行出票。但用戶(hù)填寫(xiě)信息需要一定時(shí)間，對(duì)網(wǎng)購(gòu)熟悉的用戶(hù)完成支付最快會(huì)花30秒，慢的則需要1-2分鐘，在這過(guò)程中，此前的3折票很可能已被航空公司取消或者變價(jià)，價(jià)格可能漲到了450元，這就出現(xiàn)了支付成功但不出票。

所以說(shuō)并不是填寫(xiě)完個(gè)人信息，點(diǎn)擊下一步票就預(yù)訂成功。如果消費(fèi)者預(yù)訂時(shí)相關(guān)產(chǎn)品庫(kù)存和價(jià)格數(shù)據(jù)與實(shí)時(shí)情況相匹配，則預(yù)訂成功，相關(guān)款項(xiàng)也會(huì)支付出去。然而，當(dāng)消費(fèi)者的預(yù)訂指令發(fā)出后，后臺(tái)處理往往會(huì)出現(xiàn)各種情況，如庫(kù)存沒(méi)有了，或者價(jià)格漲了，這時(shí)候，預(yù)訂平臺(tái)就會(huì)反饋消費(fèi)者是否做其他選擇或繼續(xù)預(yù)訂。為了優(yōu)化消費(fèi)者的體驗(yàn)，對(duì)于在線(xiàn)旅游網(wǎng)站而言，將消費(fèi)者的姓名、身份證、信用卡號(hào)、CVV碼等儲(chǔ)存起來(lái)，在這種情況下預(yù)訂反應(yīng)機(jī)制會(huì)更靈活，后臺(tái)系統(tǒng)訪問(wèn)相關(guān)數(shù)據(jù)庫(kù)回轉(zhuǎn)機(jī)制的頻率比買(mǎi)實(shí)體商品要高。

第三方支付也存儲(chǔ)用戶(hù)信息

從技術(shù)上看，旅游產(chǎn)品支付條件“更寬松”，預(yù)訂旅游產(chǎn)品是不是比普通網(wǎng)購(gòu)更不安全？一位資深技術(shù)人士告訴記者，事實(shí)上，包括第三方支付平臺(tái)也會(huì)將消費(fèi)者的相關(guān)數(shù)據(jù)儲(chǔ)存起來(lái)。正規(guī)的網(wǎng)購(gòu)平臺(tái)儲(chǔ)存數(shù)據(jù)后會(huì)進(jìn)行加密，之后數(shù)據(jù)進(jìn)入一個(gè)密封的管道中，只有和銀行對(duì)賬時(shí)，相關(guān)數(shù)據(jù)才會(huì)解密。

在預(yù)訂成功后，數(shù)據(jù)是如何“保存”下來(lái)的呢？其實(shí)相關(guān)數(shù)據(jù)此時(shí)已在預(yù)訂后臺(tái)被刪掉，進(jìn)入到另一個(gè)加密的信息儲(chǔ)存庫(kù)（非VCC）中，以便用戶(hù)日后預(yù)訂時(shí)調(diào)出?！皵y程這次的數(shù)據(jù)泄露事件，不是信息儲(chǔ)存庫(kù)里的數(shù)據(jù)泄露了。而是因?yàn)閿y程技術(shù)人員將用于處理用戶(hù)支付的服務(wù)接口開(kāi)啟了調(diào)試功能，也就是說(shuō)對(duì)預(yù)訂后臺(tái)的部分?jǐn)?shù)據(jù)解密（包括CVV）進(jìn)行排查技術(shù)上的問(wèn)題，本來(lái)這些數(shù)據(jù)應(yīng)該下載到本地日志服務(wù)器中（安全性極強(qiáng)，外界無(wú)法訪問(wèn)），但這些數(shù)據(jù)卻被放在Web服務(wù)器中，可以說(shuō)是不應(yīng)該發(fā)生的低級(jí)錯(cuò)誤?！痹撡Y深技術(shù)人士說(shuō)。

□提醒

不要在不信任網(wǎng)站填寫(xiě)核心信息

“中國(guó)黑客教父”龔蔚表示，攜程的本次系統(tǒng)漏洞是由一些小漏洞構(gòu)成的，單看每一個(gè)小漏洞都不嚴(yán)重，但聯(lián)在一起就變成了“安全事故”。

“事實(shí)上，（網(wǎng)站存儲(chǔ)）CVV信息是強(qiáng)加密的，即便是黑客也不一定能破解?！饼徫嫡f(shuō)，“黑客在盜取此類(lèi)信息時(shí)需要滿(mǎn)足三個(gè)條件：加密碼可破解、長(zhǎng)期記錄、漏洞沒(méi)有修復(fù)。”

龔蔚表示，第三方支付機(jī)構(gòu)為了能夠記錄、追蹤、調(diào)試用戶(hù)的購(gòu)買(mǎi)環(huán)節(jié)，會(huì)在程序運(yùn)行過(guò)程中記錄用戶(hù)的個(gè)人信息，這是正當(dāng)行為，但是這樣的信息不是每個(gè)人都能看到，而且需要加密。一般調(diào)試過(guò)程都是在虛擬的條件下完成的，并在開(kāi)發(fā)或調(diào)試完成之后、上線(xiàn)之前檢查所有數(shù)據(jù)端口是否關(guān)閉。

“在線(xiàn)填寫(xiě)的個(gè)人信息并不是都加密的，像姓名、身份證號(hào)就是明文，銀行卡號(hào)、CVV碼就會(huì)強(qiáng)加密?！饼徫嫡f(shuō)，“之所以一部分個(gè)人信息不加密，是出于資源使用效率和用戶(hù)體驗(yàn)的考慮，加密要消耗系統(tǒng)資源，并且還需要解密、還原的過(guò)程，這樣使用起來(lái)程序繁多、速度很慢?！?

龔蔚建議，企業(yè)一定要有安全意識(shí)，不能忽略小漏洞。而作為消費(fèi)者，在選擇購(gòu)買(mǎi)支付網(wǎng)站、填寫(xiě)個(gè)人信息時(shí)一定要謹(jǐn)慎。“當(dāng)提交含有身份證號(hào)、銀行卡號(hào)、密碼等核心個(gè)人信息時(shí)，一定不要提交給不信任的網(wǎng)站。一般來(lái)說(shuō)，知名的大網(wǎng)站技術(shù)相對(duì)成熟，不會(huì)出現(xiàn)黑客在網(wǎng)站中直接加入代碼，獲取用戶(hù)信息的現(xiàn)象。而諸如小的代購(gòu)網(wǎng)站，安全性就降低很多。”

此外，龔蔚表示，除非必要，否則不要使用真實(shí)的身份，能使用虛擬身份就盡量使用，這樣可以減少個(gè)人信息泄露?！霸诰W(wǎng)上支付的時(shí)候一定要慎重，最好給銀行卡設(shè)置網(wǎng)購(gòu)限額、支付短信通知等安全等級(jí)保護(hù)，一旦銀行卡被盜用，可以立刻發(fā)現(xiàn)，減少損失?！?

□建議

監(jiān)管部門(mén)需強(qiáng)力介入

盡管攜程網(wǎng)及時(shí)回應(yīng)了公眾質(zhì)疑，但公眾的擔(dān)憂(yōu)似乎并未消減。廣州一家外貿(mào)公司的陳小姐是攜程網(wǎng)的忠實(shí)用戶(hù)：“攜程網(wǎng)承諾，未來(lái)如果因安全漏洞引起用戶(hù)損失，將承擔(dān)全部責(zé)任并給予賠付。如何界定損失，企業(yè)說(shuō)了算嗎？”陳小姐很疑惑。

公開(kāi)信息顯示，到事發(fā)為止所有的調(diào)查和損失認(rèn)定工作均由攜程網(wǎng)一方進(jìn)行，并未引入第三方監(jiān)管機(jī)構(gòu)。業(yè)內(nèi)分析人士坦言，目前國(guó)內(nèi)還沒(méi)有相關(guān)立法對(duì)第三方支付機(jī)構(gòu)獲取用戶(hù)信息進(jìn)行規(guī)范管理。

此次攜程泄露用戶(hù)信息反映出在線(xiàn)支付行業(yè)不僅要加強(qiáng)行業(yè)自律、更需要監(jiān)管部門(mén)強(qiáng)力介入，亟待通過(guò)出臺(tái)明文法規(guī)、進(jìn)行合規(guī)性、合法性檢查的方式將在線(xiàn)支付納入到行業(yè)監(jiān)管的大局之下。

中央財(cái)經(jīng)大學(xué)銀行研究中心主任郭田勇認(rèn)為，攜程泄露用戶(hù)信息事件暴露出部分第三方支付機(jī)構(gòu)風(fēng)險(xiǎn)管理存在隱患，建議有關(guān)部門(mén)盡快出臺(tái)保護(hù)個(gè)人隱私的法律法規(guī)，同時(shí)對(duì)泄露客戶(hù)信息的機(jī)構(gòu)進(jìn)行處罰，嚴(yán)把第三方支付的“安全閥”。