3月22日晚間，根據(jù)烏云漏洞平臺(tái)的描述，攜程將用于處理用戶支付的服務(wù)接口開啟了調(diào)試功能，使所有向銀行驗(yàn)證持卡所有者接口傳輸?shù)臄?shù)據(jù)包均直接保存在本地服務(wù)器。同時(shí)因?yàn)楸４嬷Ц度罩镜姆?wù)器未做校嚴(yán)格的基線安全配置，存在目錄遍歷漏洞，導(dǎo)致所有支付過程中的調(diào)試信息可被任意駭客讀取。

[[110466]]

持卡人姓名身份證、銀行卡號(hào)、卡CVV碼、6位卡Bin等重要用戶信息均被泄露。這一事件使得攜程招致巨大的用戶信任危機(jī)，其官方微博也遭受大量用戶指責(zé)。據(jù)攜程表示，漏洞是由于該公司技術(shù)開發(fā)人員排查系統(tǒng)疑問時(shí)未及時(shí)刪除臨時(shí)日志而產(chǎn)生的，目前，這些信息已被全部刪除。

不談此次事件到底產(chǎn)生什么后果，先分享個(gè)來(lái)自攜程用戶講述的親身經(jīng)歷

攜程出了這檔子事，我一點(diǎn)也不稀奇。Why I'm not surprised?我就講一個(gè)發(fā)生在我身上的事：記得是2011年吧，那會(huì)我在印尼出差，回國(guó)要途經(jīng)香港轉(zhuǎn)機(jī)需要住一天，就打電話給攜程訂酒店。

結(jié)果什么都談好了，到了支付環(huán)節(jié)，攜程說需要我的信用卡做擔(dān)保，我說沒問題。信用卡做擔(dān)保，這不太正常了么?對(duì)吧?太正常了!結(jié)!果!攜程那話務(wù)員就開始在電話里拿中文問我的信用卡號(hào)、有效期、CVV碼以及身份證號(hào)!是真的“問”，然后要我把號(hào)碼念出來(lái)，她再大聲的重復(fù)一遍以校驗(yàn)。

我當(dāng)時(shí)就崩潰了，臥槽這號(hào)碼是隨便說的嗎?有信用卡號(hào)、有效期、CVV碼這三個(gè)東西，網(wǎng)上就可以隨便刷我卡了好嗎?但是沒辦法，酒店必須得訂，當(dāng)時(shí)只有攜程訂方便，我其他的方式根本不知道。訂完酒店嚇的我都快尿了，回國(guó)之后立馬cancel信用卡重新辦了一張。

這還沒完，我之后和攜程投訴，電話打了快一小時(shí)，他們那的經(jīng)理顯然完全不理解我在說什么。先一個(gè)勁的問說你是怕自己念卡號(hào)被別人聽去了嗎，那你找個(gè)僻靜地方唄。(吐血不止)然后又一個(gè)勁的跟我賭咒發(fā)誓保證他們的話務(wù)員不會(huì)盜用我的卡片信息，說攜程話務(wù)員是well trained。臥槽你去銀行取錢，然后銀行因?yàn)樾湃巫约旱膯T工就讓你把密碼直接說出來(lái)，這他媽是間諜片對(duì)暗號(hào)呢嗎?我當(dāng)時(shí)非常生氣，我說要這樣，我哪天去你們公司應(yīng)聘話務(wù)員，一旦開始工作我隨便記住哪個(gè)客戶的信用卡信息，我刷個(gè)幾千上萬(wàn)，神仙也查不出來(lái)。然后怎么講也講不通，感覺他們就不認(rèn)為這是個(gè)事，氣的我就直接把電話掛了。

這還沒完呢，又過了一年，我也是沒長(zhǎng)記性，異地考托福又想通過攜程訂酒店，又管我要信用卡信息，到了CVV的時(shí)候說讓我按鍵盤輸入。我一陣那個(gè)欣慰啊，心說我的投訴終于有用了，他們終于明白了這東西不能讓人看見，我容易嗎我。然后我心里甜滋滋的輸入了CVV并按了#號(hào)，然后就聽到話務(wù)員的甜美聲音“王先生您剛才輸入的CVV是123沒錯(cuò)吧?

我當(dāng)場(chǎng)差點(diǎn)沒一口血噴出來(lái)，這!有!什!么!意!義!嗎?攜程豈止是存儲(chǔ)CVV碼，簡(jiǎn)直就是沒有對(duì)這些有重大價(jià)值可以給客戶造成重大損失的信息有絲毫的重視，他們出了這種事，簡(jiǎn)直太正常了，太正常了。

大家質(zhì)疑的不是漏洞，而是攜程為什么不尊重行業(yè)準(zhǔn)則?

此次的攜程事件，實(shí)際上暴露了普遍存在的支付安全現(xiàn)狀。漏洞的發(fā)生是在支付服務(wù)調(diào)試過程中，由于技術(shù)人員疏忽導(dǎo)致部分臨時(shí)日志被烏云專業(yè)人士發(fā)現(xiàn)并爆料。目前只有爆料的烏云專業(yè)人士下載了93人的信用卡信息，且這些信息均為加密保存，除非該人士破解成功并盜用，但其已第一時(shí)間將其刪除。

從目前情況來(lái)看實(shí)際影響范圍其實(shí)并不大，但這件事情仍然引起了業(yè)內(nèi)人士的廣泛關(guān)注，因?yàn)橹饕膯栴}不在于這是不是漏洞，而是因?yàn)橹灰羞@個(gè)日志在，你就是再高明的系統(tǒng)也沒用。雖然說這次信息泄露事件是在烏云上首先被爆料出來(lái)的，但能被一個(gè)人發(fā)現(xiàn)的問題，極有可能也被另外一個(gè)人發(fā)現(xiàn)。

這就需要攜程對(duì)這個(gè)事件中的具體內(nèi)容加以披露：什么時(shí)候開始的這種日志打印?覆蓋了多少人的敏感信息?通過審計(jì)統(tǒng)計(jì)有多少人對(duì)這些文件進(jìn)行了訪問?只有回答好這些問題才能解決用戶心中的疑慮。

技術(shù)人員犯錯(cuò)我們可以理解，但大家最普遍質(zhì)疑的是：為何攜程會(huì)保留CVV碼等敏感信息?實(shí)際上了解電商行業(yè)的人都知道，在將cvv2等敏感信息提交到具體的發(fā)卡行之前，將其信息暫存是電商行業(yè)的普遍做法，否則支付過程中無(wú)法將有效參數(shù)傳遞到發(fā)卡行。根據(jù)支付卡產(chǎn)業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)(PCIDSS：PaymentCardIndustryDataSecurityStandard)的規(guī)定，CVV碼的信息在商戶是可以暫存的，其安全性由商戶保證。

其具體規(guī)定主要有兩點(diǎn)：

①用戶在商戶提交信用卡支付成功后，商戶必須立即將CVV碼信息刪除。

②若提交信用卡支付未成功，商戶可以將CVV碼信息保存7天后清除。

企業(yè)針對(duì)CVV碼的普遍做法都是暫存但不保留，但這些規(guī)定攜程卻并沒有嚴(yán)格遵守，所以才有了這次的信息外泄事件。

亡羊補(bǔ)牢現(xiàn)在為時(shí)不晚，攜程現(xiàn)在要做的是站出來(lái)勇于承擔(dān)自己的錯(cuò)誤

目前為止，我們還沒有看到公開的正式道歉信。與此同時(shí)攜程應(yīng)該盡快修復(fù)漏洞，排查哪些客戶的信用卡信息遭到了泄露。整理出來(lái)，逐一通知泄露的客戶，請(qǐng)求客戶更換卡片。同時(shí)，聯(lián)系各家受到波及的銀行，告知泄露情況，請(qǐng)各發(fā)卡行對(duì)早泄露卡片做批次block處理。

考慮所有涉及這類信息的應(yīng)用場(chǎng)景，這些大家應(yīng)該都沒提到，就是，比如使用身份證號(hào)、銀行卡號(hào)CVV等信息用于做驗(yàn)證的場(chǎng)景。下面羅列了一些最常見的驗(yàn)證場(chǎng)景，我們可以看到如果攜程公布的信息真實(shí)，那么此次泄漏暫時(shí)不影響所有網(wǎng)絡(luò)交易，不會(huì)產(chǎn)生風(fēng)險(xiǎn)。至于網(wǎng)上所謂提出的建議改密碼毫無(wú)作用，因?yàn)樾庞每ňW(wǎng)上支付除了網(wǎng)銀模式，不涉及到密碼!

網(wǎng)銀支付：缺少查詢密碼

快捷支付：缺少手機(jī)號(hào)和短信驗(yàn)證碼

快捷支付綁定：缺少有效期，手機(jī)號(hào)，短信驗(yàn)證碼

銀聯(lián)無(wú)卡支付：缺少有效期，手機(jī)號(hào)，短信驗(yàn)證碼

電話訂購(gòu)：缺少有效期

雙幣卡境外購(gòu)物：缺少有效期，部分還需要賬單地址驗(yàn)證

不過一名資深網(wǎng)絡(luò)安全人員表示，尚未造成財(cái)產(chǎn)損失并不意味著用戶的賬戶及銀行卡信息安全，建議用戶撥打?qū)?yīng)銀行的客服電話申請(qǐng)停卡，或直接辦理掛失。個(gè)人建議不論攜程此次事件最終處理結(jié)果如何，信用卡信息到底有沒有泄露，還是最好及時(shí)更換新卡。因?yàn)椴慌乱蝗f(wàn)，就怕萬(wàn)一。財(cái)產(chǎn)安全畢竟是和自己息息相關(guān)的大事。