12306网站用户数据泄露：封漏洞不应止于悬赏

最近几天，12306 网站用户数据泄露成为大众关注焦点，铁路警方迅速抓获了泄密嫌疑人。网站主管方中国铁道科学研究院最高悬赏 2000 元，号召网友查找漏洞。此前，有媒体报道称，大量 12306 网站用户信息遭泄露，已知公开传播的数据库涉及的用户数据超过 13 万条。

一位网站安全专家曾说过，“网站的安全是不可信任的，无论是国内的还是国外的，你只能尽量控制信息的源头，一旦流出去了就基本脱离了你的控 制。”外行看热闹，很难对此作专业评价。近年来，互联网用户数据库泄露事件是越来越频密、越来越严重倒是不假。2011 年，CSDN 等十余网站用户信息数据库被泄露；2014 年 5 月，“小米”用户数据库泄漏，约 800 万个涵盖用户名、密码、短信、通讯录等私密内容“裸奔”；今次，12306 网站中招，许多旅客“躺着中枪”。

网站不可能不受黑客攻击，尤其是一些拥有大量公民个人信息的大型网站，因此网站账号安全显得尤为重要。如果账号安全体系做得足够好，黑客在攻击 网站时，网站就能及时发现并阻断，不让黑客得逞，泄露则说明网站存在一定的漏洞。12306 提醒旅客，为保障信息安全，不要使用第三方抢票软件购票或委托第三方网站购票。这种提醒，聊胜于无。一些旅客为什么使用第三方抢票软件，还不是因为在正规 网站抢不到票吗？而对许多只能依赖代售点购票的农民工来说，谁知对方使用的是什么抢票软件？

通过“悬赏令”，请安全专家和黑客技术高手出马，寻找网站存在的安全漏洞，旨在帮助企业发现并修复漏洞，在一定程度上助益于网站提升安全防护水 平。问题是，安全专业和民间高人能否跑得过那些专门窃取数据的“非法入侵者”？互联网走到了今天，在用户数据利用上，业已形成一条规模巨大的地下黑色产业 链—有人粗略估计规模在百亿元左右，且环环相扣，有人负责偷取，有人贩卖倒卖，有人利用数据推销诈骗，甚至直接在网上盗取他人钱财，可谓步步惊心。

在与窃取用户信息、盗窃网银、转移虚拟财产的犯罪分子斗智斗勇的路上，直接为网民提供服务的网站无疑是网络安全的“第一责任人”，有责任进行有效的内部治理，提高安全意识、增大安全投入、改进技术手段，堵住可能泄露的漏洞，而这些几乎是国内网站的软肋。

仅靠内部治理仍不足撑起整座网络安全大厦，外部治理必须抬高违法成本，对相关犯罪行为形成实时的、常态的、有效的打击。在法律实践上，也存在一 些明显的漏洞，需要打“法律补丁”。譬如规定模糊，2009 年的《刑法修正案（七）》虽设相关罪名，但在公民个人信息范围多大、何谓“情节严重”等关键问题上的规定相当粗略。此外，“情节严重的，处三年以下有期徒 刑或者拘役”的规定，亦有偏轻之嫌，难以形成刚性约束力。

总而言之，在网络信息安全问题上，用户、网站、社会要形成合力。

来自：http://news.cnblogs.com/n/511994/