携程被指违规获取用户信息
支付信息泄露引发消费者换卡
2014-03-24   作者:记者 韦夏怡/北京报道  来源:经济参考报
分享到:
【字号
  针对漏洞报告平台乌云日前指出携程信息安全漏洞问题,携程方面23日回应称,携程旅行网在技术调试过程中出现了短时漏洞,公司已在两小时内修复了这个漏洞,携程用户信息未受影响。不过,来自银行客服的信息显示,受上述事件影响,已开始有消费者陆续向银行要求换卡。有IT安全人士进一步指出,携程存在违规获取信用卡用户信息之嫌。
  近日,乌云平台连续披露了两个携程网安全漏洞,漏洞发现者称由于携程开启了用户支付服务借口的调试功能,导致携程安全支付日志可被任意骇客读取。安全日志包含的信息包括:持卡人姓名、持卡人身份证、所持银行卡类别(比如,招商银行信用卡、中国银行信用卡)、所持银行卡卡号、所持银行卡CVV码以及所持银行卡6位BIN(用于支付的6位数字)。
  消息一出,携程方面随即展开技术排查。据携程排查,可能受影响的为3月21日与3月22日的部分交易客户,除了漏洞发现人做了少量的测试下载并已全部删除外,没有出现恶意下载有关数据的情况,用户在携程的交易仍旧是安全的,用户的信息安全没有受到影响。
  事件发生后,携程同各大银行均取得联系,经核实,目前也没有出现用户信用卡被盗刷的情况。携程表示,未来倘若发生安全漏洞并引起用户损失,携程将给予全额赔付,而对于此次漏洞事件如果有新的进展也将持续通报。
  记者了解到,受这一事件影响,已开始有消费者陆续向银行要求换卡。“据说这两天银行客服电话快被打爆了,周围朋友不放心,都在要求换卡。”上海的窦女士告诉记者。记者从多家银行客服方面了解到,已经有不少客户向银行反馈此情况,而银行方面也建议客户更换卡片。
  “此次事件涉及持卡人信息安全问题,作为卡组织,银联对持卡人权益保护一直高度关注。我们第一时间与携程取得联系,正在了解事件的相关情况。”中国银联资深风险专家王宇表示,“根据目前了解到的情况,携程方面对此次事件原因的解释是,携程的技术开发人员为了排查系统疑问,留下了临时日志文件,因疏忽未及时删除,目前,这些信息已被全部删除。”
  王宇称,希望携程严格按照与相关合作机构的协议约定,对本次信息泄露的状况真实、完整地反映给发卡机构,及时通报事件处置进展;请发卡机构尽快将相关信息反馈持卡人,保护持卡人信息和资金安全。同时银联也在联合携程和各商业银行共同研究进一步解决措施。银联建议,近期在携程使用过信用卡的持卡人,尽快与发卡银行取得联系,根据发卡银行给出的建议处理。
  值得注意的是,该事件进一步引发市场人士对于携程违规获取用户信息的担忧。
  有市场人士指出,携程记录用户支付信息的行为违反了银联2008年发布的《银联卡收单机构账户信息安全管理标准》。根据该标准的2.1条,各收单机构系统只能存储用于交易清分、差错处理所必需的最基本的账户信息,不得存储银行卡磁道信息、卡片验证码、个人标识代码(PIN)及卡片有效期。根据标准8.1条,各类受理终端均不得存储银行卡磁道信息、卡片验证码、个人标识代码、卡片有效期等敏感账户信息。
  “携程这次的问题是,不加密储存敏感信息,且在日志中保存了过多的不必要的信息。”一位支付行业人士向《经济参考报》记者表示,“技术层面的缺陷有时候是不可抗的,但是涉及到违规存储用户信息这一规则上的漏洞,就事关道德风险,这是企业自身应该坚守的底线。”
  据知情人士透露,携程此次用户信息泄露事件,可能是无线研发推进过快而变相导致的。该人士称,携程的安全漏洞,不是在Web网页上的漏洞导致,而是无线部门在手机APP产品调试过程中,保存了日志并在Web.config开了目录遍历才出的状况。一位企业负责IT安全的人士告诉记者,利用目录遍历攻击漏洞,攻击者能够超过服务器的根目录,从而访问到文件系统的其他部分,访问受限制文件或资源,或者采取更危险的行为。
  对于上述情况,携程此前在接受媒体采访时表示,携程网采用的信用卡支付方式符合国际惯例。银行授权可做此支付交易的商户都是需要通过信用卡中心认证,均属于资质非常高的商户,安全性有保障,携程也是银行最早授权可以做此交易的商户之一。

    更迅速、更便捷阅读深度解析、分享新锐观点,请扫描二维码,关注经济参考报微信公共账号。

  凡标注来源为“经济参考报”或“经济参考网”的所有文字、图片、音视频稿件,及电子杂志等数字媒体产品,版权均属经济参考报社,未经经济参考报社书面授权,不得以任何形式刊载、播放。
 
集成阅读:
· 携程为信用卡支付漏洞致歉:承诺如用户损失全额赔付 2014-03-23
· 《中国电子商务用户体验与投诉监测报告》:信息泄露成电商行业潜在危机 2014-03-14
· 大数据时代个人信息泄露 隐私估卖百亿 2013-10-31
· 携程转型无线端再陷裁员风波 2013-09-24
· 去哪儿网指责携程加价“倒卖”酒店近4000多单 2013-01-31
 
频道精选:
·[财智]诚信缺失 家乐福超市多种违法手段遭曝光·[财智]归真堂创业板上市 “活熊取胆”引各界争议
·[思想]投资回升速度取决于融资进展·[思想]全球债务危机 中国如何自处
·[读书]《历史大变局下的中国战略定位》·[读书]秦厉:从迷思到真相
 
关于我们 | 版权声明 | 联系我们 | 媒体刊例 | 友情链接
经济参考报社版权所有 本站所有新闻内容未经经济参考报协议授权,禁止转载使用
新闻线索提供热线:010-63074375 63072334 报社地址:北京市宣武门西大街57号
JJCKB.CN 京ICP备12028708号