攜程為支付漏洞致歉 承諾全額賠付

京華時(shí)報(bào)訊(記者平亦凡)上周六晚，國(guó)內(nèi)網(wǎng)絡(luò)安全問(wèn)題反饋平臺(tái)——烏云(WooYun)漏洞平臺(tái)發(fā)布消息稱，由于攜程網(wǎng)系統(tǒng)存技術(shù)漏洞，用戶個(gè)人信息、銀行卡信息可能會(huì)遭泄露。攜程昨天對(duì)此致歉并承諾，未來(lái)倘若發(fā)生安全漏洞并引起用戶損失，攜程將給予全額賠付。

3月22日晚，烏云漏洞平臺(tái)發(fā)布消息稱，攜程系統(tǒng)存技術(shù)漏洞，可導(dǎo)致用戶個(gè)人信息、銀行卡信息等泄露；漏洞泄露信息包括用戶姓名、身份證號(hào)、銀行卡類別、銀行卡卡號(hào)、銀行卡CVV碼(卡號(hào)、有效期和服務(wù)約束代碼生成的3位或4位數(shù)字)等，上述信息可能被黑客讀取。烏云是位于廠商和安全研究者之間的安全問(wèn)題反饋平臺(tái)，此前多次發(fā)布國(guó)內(nèi)企業(yè)信息系統(tǒng)的技術(shù)漏洞，推動(dòng)企業(yè)進(jìn)行漏洞修復(fù)。

另?yè)?jù)接近攜程的業(yè)內(nèi)人士介紹，該漏洞發(fā)生在21日和22日，只是在22日晚間才被發(fā)現(xiàn)，因此這兩日在攜程網(wǎng)交易并使用信用卡支付的消費(fèi)者可能會(huì)存在風(fēng)險(xiǎn)。

昨天，攜程旅行網(wǎng)在其官方微博上發(fā)布了兩份聲明為此事道歉，并稱未來(lái)如果因安全漏洞引起用戶損失，攜程將承擔(dān)全部責(zé)任并給予賠付。

攜程方面表示，經(jīng)過(guò)連夜技術(shù)排查，公司已經(jīng)在烏云網(wǎng)發(fā)現(xiàn)問(wèn)題后的兩小時(shí)內(nèi)修復(fù)了這個(gè)漏洞，“經(jīng)查，攜程的技術(shù)開(kāi)發(fā)人員之前是為了排查系統(tǒng)疑問(wèn)，留下了臨時(shí)日志，因疏忽未及時(shí)刪除，目前，這些信息已被全部刪除。”

對(duì)于大家普遍擔(dān)心的信用卡安全問(wèn)題，攜程透露，經(jīng)過(guò)排查，僅漏洞發(fā)現(xiàn)人做了測(cè)試下載，內(nèi)容含有極少量加密卡號(hào)信息，共涉及93名存在潛在風(fēng)險(xiǎn)的攜程用戶。

“攜程客服已于3月23日通知這些用戶更換信用卡，銀行方面也會(huì)盡快協(xié)助用戶辦理?yè)Q卡手續(xù)。攜程將給予這93名用戶每人500元任我行禮品卡作為補(bǔ)償。截至3月23日22：00，沒(méi)有接到攜程客服換卡通知的用戶，個(gè)人信息均是安全的，無(wú)需擔(dān)心。”攜程方面表示。

>>分析

并未涉及支付寶

烏云技術(shù)人員方曉頓告訴記者，本次涉及的數(shù)據(jù)僅為部分信用卡信息，開(kāi)通網(wǎng)上支付功能的銀行卡和支付寶并不涉及。

“銀行卡和支付寶在支付的時(shí)候都需要跳轉(zhuǎn)到銀行和支付寶頁(yè)面，并且每次支付都需要輸入卡號(hào)的密碼，安全系數(shù)比較有保障。”上海萬(wàn)擎商務(wù)咨詢有限公司CEO魯振旺說(shuō)。

據(jù)多位使用過(guò)信用卡支付的消費(fèi)者介紹，很多電商平臺(tái)在支付時(shí)只需要輸入銀行卡后4位和CVV碼即可完成支付。魯振旺說(shuō)，這就說(shuō)明，電商平臺(tái)在服務(wù)器上保存了用戶的關(guān)鍵信息，這是嚴(yán)重違規(guī)的行為。