無法刪除陌生人信息

1月6日，之前在國外讀書的潘小姐嘗試在12306網(wǎng)站購票。“賬戶三年前就注冊了，但一直沒用過。這次原本打算和媽媽周末一起乘高鐵去蘇州散散心。”但登錄12306網(wǎng)站進(jìn)入個人賬戶后，潘小姐驚訝地發(fā)現(xiàn)，她的常用聯(lián)系人列表中，除了自己之外，居然還有14個素不相識的人，“我看了看名單，年齡最大的60多歲了，最小的才剛剛成年，而且身份證號碼也是來自全國各地的?！?/span>

有朋友提醒潘小姐，她的賬戶應(yīng)該是被黃牛盜用了，讓她趕緊再查查賬戶信息。潘小姐隨后再次點(diǎn)開了她的賬戶，發(fā)現(xiàn)這些陌生人信息是2016年12月14日通過12306官網(wǎng)審核，批量加入到她的賬號之中，“我查詢后發(fā)現(xiàn)，正好就是春運(yùn)火車票預(yù)售前夕，看來是黃牛拿著我的賬號，購買春運(yùn)火車票賺錢?！?/span>

潘小姐表示，原本想把12306的賬戶密碼更改一下繼續(xù)購票就算了，反正也沒查到有什么損失，但更改密碼后，自己卻無法刪除常用聯(lián)系人列表中那些陌生人的信息。無奈之下，她只能來到上?；疖囌镜钠眲?wù)中心尋求幫助?！拔胰チ巳斯な燮碧幍姆?wù)臺，工作人員表示根據(jù)系統(tǒng)規(guī)定，要在2017年6月12日以后才可以刪除，現(xiàn)在的辦法只有注銷賬戶再重新注冊一個新賬戶。”

12306稱未泄露用戶信息

潘小姐隨后致電12306客服熱線，想了解自己的賬戶到底是如何被黃牛盜用的？

“12306客服堅稱，我的賬戶及相關(guān)信息不可能是12306網(wǎng)站泄露的，一定是在其他第三方網(wǎng)站泄露的，還說我這種案例并不少見，具體什么原因，客服也說不上來。”潘女士說，她的12306賬戶是在2014年注冊申請的，因為當(dāng)時還在國外念書，注冊之后就沒有用其購買過火車票，“不過我在其他的論壇和應(yīng)用上的確用過12306的賬戶名及密碼。”

記者咨詢了12306官方客服，據(jù)客服介紹，像潘小姐這樣的賬戶被盜甚至密碼被篡改，可以通過驗證的電子郵件或手機(jī)重置密碼。但是根據(jù)常用聯(lián)系人的身份信息核驗狀態(tài)，標(biāo)注狀態(tài)為“已通過”、“請報驗”、“預(yù)通過”的常用聯(lián)系人在180天內(nèi)不能刪除，至于為什么要有180天的限制時間，該客服聲稱這是規(guī)定，但具體原因并不知情。

此外，該客服還表示，一個賬戶內(nèi)最多可以添加不超過15名常用聯(lián)系人，“所以，像潘小姐這樣聯(lián)系人列表已滿的狀況，確實比較麻煩，如果急著購票，只能到鐵路車站的服務(wù)窗口或相關(guān)代售點(diǎn)購票?！?/span>

[新聞延伸]

“沉寂賬戶”更易被“撞庫攻擊”，被盜后難被發(fā)現(xiàn)

業(yè)內(nèi)人士分析，黃牛確實有可能就是盜用了他人的“沉寂賬戶”，這些賬戶因為長時間不用，即使是被不法分子盜用了很難被發(fā)現(xiàn)。

12306網(wǎng)站上線以來，黃牛和官方的博弈就一直在進(jìn)行。曾不斷出現(xiàn)各種身份信息被搶注的情況，為防止黃牛利用他人身份信息惡性搶票，2015年6月中旬，12306網(wǎng)站發(fā)布公告，稱將網(wǎng)站注冊用戶名下的“已通過”、“請報驗”、“預(yù)通過”常用聯(lián)系人（乘車人）累計上限由原來的100人調(diào)整為30人。隨后又不斷調(diào)整，現(xiàn)在上限調(diào)整為15人。“這樣的話，黃牛如果想要多購票，就需要更多的賬戶信息和成本。直接盜取‘沉寂賬戶’，是最為直接的手段了。”業(yè)內(nèi)人士說。

而12306也出現(xiàn)過安全問題。據(jù)了解，早在2014年底的春運(yùn)搶票高峰期間，烏云漏洞平臺就發(fā)布高危害等級漏洞報告，報告顯示，12306用戶資料疑似大量泄露，甚至有明文形式的密碼，以及身份證、郵箱等敏感信息。隨即又有大量12306用戶數(shù)據(jù)在互聯(lián)網(wǎng)上傳播售賣，包括用戶賬號、明文密碼、身份證、郵箱等。已知公開傳播的數(shù)據(jù)庫涉及用戶數(shù)約14萬。

GeekPwn（極棒）實驗室網(wǎng)絡(luò)安全專家宋宇昊表示，像潘小姐這樣的“沉寂賬戶”被盜存在多種可能的原因：“比如說她在其他平臺上使用的賬號密碼和在12306上使用的賬號密碼是同一個，那么別人就可以通過‘撞庫攻擊’ 的方法來獲得她的12306賬號密碼。另外一個可能就是病毒，如果她在使用12306賬戶時，終端里面有惡意程序，她的賬戶信息也有可能會泄露?！?/span>

針對“撞庫攻擊”，目前國外的一些互聯(lián)網(wǎng)企業(yè)已經(jīng)有了相應(yīng)的措施：“通過技術(shù)手段對異常登錄現(xiàn)象進(jìn)行持續(xù)監(jiān)控，對‘撞庫攻擊’行為進(jìn)行分析辨別，從而防止用戶信息泄露?！彼斡铌徽J(rèn)為，像潘小姐這樣長時間不使用的12306賬戶更容易被“撞庫攻擊”，因為這些賬戶用的還是老的用戶名和密碼，沒有經(jīng)過修改，所以比起新賬戶或者活躍賬戶來說，它們在數(shù)據(jù)庫里的重合率一般會更高一些，也就是說“撞庫”的成功率會更高一些。不僅如此，這些“沉寂賬戶”基本都處于荒廢狀態(tài)，被找回的可能性也更小，可以保證黃牛更長時間、更穩(wěn)定地使用。

有人專門出售賬戶，幾塊錢一個，要多少有多少

那么，黃牛到底是從哪里得到了潘小姐的賬戶信息呢？

記者從部分黃牛那里了解到，他們所使用的12306賬戶除了有用自己身份信息注冊的，也有一些是買來的?！?元一個買的，到現(xiàn)在還沒出現(xiàn)過什么問題，已經(jīng)用這些賬戶搶了不少票?！币幻S牛說。

隨后，該黃牛還向記者推薦了幾名專門出售12306賬戶的賣家。記者聯(lián)系了其中的多名賣家，并表示想要購買12306賬戶，一名賣家說：“10元一個，要多少有多少?！绷硗庖幻u家則把價格壓得更低，但是要求要大批量購入，“2.5元一個，如果一次性購買100個，單價還可以再減掉0.5元?！?/span>

而當(dāng)記者詢問這些賬戶都是從哪里來的，該賣家支支吾吾地回答：“我們的賬戶都是定制的，用幾年都不會有問題。多的不解釋，你自己想吧！”

賬戶還可以定制？“定制”到底是什么意思？該賣家并沒有向記者解釋這些問題，他只是保證這些賬戶不是搶注的，不用擔(dān)心被找回。而像他這樣號稱能替別人“定制”賬戶的賣家，記者在網(wǎng)上還找到了不少。

宋宇昊告訴記者，安全是一個博弈對抗的過程，即使平臺采取了很多措施，攻擊者也有可能找到另外的方法來達(dá)到他們的目的。所以，任何平臺都不可能沒有安全漏洞，12306也不例外。不過在安全性方面，第三方平臺比官方平臺泄露信息的風(fēng)險更大?！安还苁菑募夹g(shù)上還是從責(zé)任意識上來講，第三方平臺肯定都沒有官方平臺那樣強(qiáng)，特別是一些小平臺，在保障用戶信息安全方面的投入肯定不會太多。”