第532期 [導(dǎo)語]作為上市公司，旅行服務(wù)業(yè)巨頭，攜程網(wǎng)終將在中國互聯(lián)網(wǎng)安全史上占據(jù)一個重要的位置。這位置并不光榮，充滿恥辱。 5月28日11時許，攜程官網(wǎng)及移動APP陷入癱瘓狀態(tài)，無法正常使用。今日凌晨4點18分，攜程宣布官網(wǎng)及APP已于28日23:29正常運(yùn)行。并聲明此次事件是由于員工錯誤操作導(dǎo)致。 南都社論將“攜程網(wǎng)癱瘓”定性為“迄今為止國內(nèi)遭遇過的時間最長的互聯(lián)網(wǎng)重大安全事故”。本周對于中國互聯(lián)網(wǎng)公司來說禍不單行，就在前一日，支付寶也癱瘓了兩個半小時，原因是杭州市蕭山區(qū)某地光纖被挖斷。對此，有行業(yè)人士說，什么大數(shù)據(jù)、云計算、工業(yè)4.0，都頂不住傳統(tǒng)行業(yè)一鏟子。 中國人與互聯(lián)網(wǎng)擁抱得如此緊密，以至于今天互聯(lián)網(wǎng)的風(fēng)吹草動，都足以讓人寢食難安。  ●互聯(lián)網(wǎng)安全危機(jī)開始成為公共安全危機(jī) 作為中國老牌旅行服務(wù)公司，攜程為超過1.4億會員提供酒店預(yù)訂、機(jī)票預(yù)訂、旅游度假、商旅管理等服務(wù)，是諸多中國公司機(jī)構(gòu)訂酒店機(jī)票的常用平臺，與建行、招商、廣發(fā)等銀行還發(fā)行有聯(lián)名信用卡。 可想而知，一個1.4億會員使用的平臺，一旦發(fā)生系統(tǒng)癱瘓，將會影響多少公司和個人用戶的正常業(yè)務(wù)，所造成的直接、間接損失難以估量。 不同于傳統(tǒng)的新聞、通訊服務(wù)，今天支付寶、微信、攜程等互聯(lián)網(wǎng)服務(wù)供應(yīng)商影響力巨大，它們給用戶提供的服務(wù)已經(jīng)像水和電一樣難以離開。同時它們手中掌握著大量用戶身份、信用、金融等重要數(shù)據(jù)，一旦出問題就不只是互聯(lián)網(wǎng)安全事故，還很可能成為公共安全事故。馬云就曾表示：如果自己把支付寶弄癱瘓，自己面臨的不僅是公司倒閉，還有進(jìn)監(jiān)獄。
 ●一個人的犯罪足以侵害上億人 關(guān)于此次攜程宕機(jī)的原因，有一種猜測流傳甚廣——內(nèi)部員工蓄意報復(fù)。 “內(nèi)鬼”的危害有多大？2014年，在人口 5000 萬的韓國，至少有 2000 萬人的信用卡信息被盜，這是韓國歷史上最嚴(yán)重的信息泄露事件。 這么大規(guī)模的泄露不是因為哪個黑客組織技術(shù)高超，而是源自個人信用評估公司的內(nèi)部員工監(jiān)守自盜。2012年5月到2013年12月間，韓國信用評價公司（KCB）39歲的技術(shù)人員樸某，竊取了3家公司發(fā)行的1.04億張信用卡的用戶信息。這個內(nèi)鬼從三大韓國銀行的內(nèi)部服務(wù)器里調(diào)取了這些用戶敏感信息，并轉(zhuǎn)賣給電話營銷公司。 包括韓國總統(tǒng)樸槿惠、前總統(tǒng)李明博、金融監(jiān)督院院長、金融委員會委員長等都是此案的受害者。  ●互聯(lián)網(wǎng)創(chuàng)新和盈利的前提是安全 在互聯(lián)網(wǎng)擴(kuò)張風(fēng)潮下，今天互聯(lián)網(wǎng)公司都熱衷大談商業(yè)模式創(chuàng)新，技術(shù)讓位于業(yè)務(wù)成為互聯(lián)網(wǎng)界的普遍現(xiàn)象。重視業(yè)務(wù)當(dāng)然沒錯，但如果因此而忽略了技術(shù)甚至難以抵御安全風(fēng)險的現(xiàn)實，將會導(dǎo)致嚴(yán)重后果。 2013年年底美國折扣零售巨頭塔吉特（Target）的客戶數(shù)據(jù)泄漏事件是一個血淋淋的例子： 1.1億顧客的數(shù)據(jù)失竊事件爆發(fā)之后，12%的老顧客不再去塔吉特消費(fèi)，而36%的零售商減少了購貨頻率。而那些繼續(xù)在塔吉特購物的人中有79%不再使用信用卡消費(fèi)了，取而代之的是使用現(xiàn)金。據(jù)估計塔吉特的損失當(dāng)時已達(dá)1.48億美元，并最終可能達(dá)到10億美元。塔吉特辭退了時任CEO并重新任命一位首席信息安全官。 不注意保護(hù)用戶信息的企業(yè)在國外會受到政府的懲罰。2013年7月，索尼公司因PSN服務(wù)大規(guī)模數(shù)據(jù)泄露事件被英國數(shù)據(jù)保護(hù)監(jiān)管部門罰款40萬美元。當(dāng)時PSN服務(wù)泄露的用戶數(shù)據(jù)包括用戶姓名、地址、電子郵件地址、生日和賬號密碼等，用戶的信用卡信息也面臨泄露風(fēng)險。對于此次罰款，英國信息專員辦公室副專員、數(shù)據(jù)保護(hù)主管大衛(wèi)?史密斯表示，索尼本應(yīng)盡對客戶信息提供有效保護(hù)的注意義務(wù)：“如果你掌握了如此多的支付卡和登錄信息，那么確保用戶數(shù)據(jù)的安全將是優(yōu)先工作。然而在本案中情況并非如此。當(dāng)數(shù)據(jù)庫被攻擊時，安全保護(hù)措施完全不夠。” 在中國，根據(jù)相關(guān)規(guī)定，用戶個人信息發(fā)生或者可能發(fā)生泄漏、損毀、丟失的，企業(yè)應(yīng)當(dāng)立即采取補(bǔ)救措施；造成或者可能造成嚴(yán)重后果的，應(yīng)當(dāng)立即向準(zhǔn)予其許可或備案的電信管理機(jī)構(gòu)備案。電信管理機(jī)構(gòu)依據(jù)職權(quán)要求企業(yè)限期整改，并可處于1萬元以上、3萬元以下罰款。 但大部分公司，在陷入網(wǎng)絡(luò)安全問題并影響到用戶時，通常的做法僅僅是對用戶“深表歉意”，幾乎不會對賠償用戶損失做出說明及承諾，更沒有人會為那些或昂貴或廉價的時間成本負(fù)責(zé)。  攜程因技術(shù)安全問題成為新聞主角不是第一次。 曾有分析人士指出：“現(xiàn)在的網(wǎng)絡(luò)安全事故，看起來是漏洞引起的，實際上核心還是用戶信息保護(hù)做得不夠。有的網(wǎng)絡(luò)企業(yè)明文上傳用戶交易數(shù)據(jù)，甚至為了交易方便保存一些不該保存的信用卡信息?！?br>攜程在2014年3月曾爆出過客戶銀行卡信息“泄露門”，引發(fā)了一場關(guān)于支付安全的全民恐慌。當(dāng)時烏云漏洞平臺發(fā)布消息稱，攜程網(wǎng)安全支付日志存在漏洞，可導(dǎo)致大規(guī)模用戶信息如姓名、身份證號、銀行卡類別、銀行卡卡號、銀行卡cvv碼（信用卡背面的三位數(shù)安全碼）等信息泄露。而一旦這些信息被黑客竊取，在網(wǎng)絡(luò)上盜刷銀行卡將變得易如反掌。 這一漏洞被揭在業(yè)界引起軒然大波，更被指為“低級技術(shù)錯誤”。攜程官方公告中用寥寥數(shù)語介紹：“經(jīng)查，技術(shù)開發(fā)人員之前是為了排查系統(tǒng)疑問，留下了臨時日志，因疏忽未及時刪除，目前，這些信息已被全部刪除。”當(dāng)時有技術(shù)人士分析：“像寫日志這樣的工作，在公司里一般是剛畢業(yè)的小朋友或者實習(xí)生干的，如果沒有嚴(yán)格的審核機(jī)制、代碼的規(guī)范，出這樣的錯誤就不出意料?！?br>攜程當(dāng)時被詬病的不僅是漏洞被捕獲，更重要的是泄露的用戶信息中包括了銀行卡CVV碼這類被明令禁止不得儲存的數(shù)據(jù)信息。“交易網(wǎng)站存CVV相當(dāng)于小時工偷偷配了你家的鑰匙，同時，他還知道關(guān)于你家所有的信息。攜程明文存儲了用戶信用卡的CVV，還泄漏了，前一個是企業(yè)的基本道德問題，后一個是安全問題。” |
