信息來源：中國信息產(chǎn)業(yè)網(wǎng)

漏洞標(biāo)題：國內(nèi)快遞行業(yè)某個疑似通用軟件配置不當(dāng)引發(fā)大量信息泄露(目前測試五個快遞公司)

危害等級：高

漏洞狀態(tài)：已交由第三方合作機(jī)構(gòu)(cncert國家互聯(lián)網(wǎng)應(yīng)急中心)處理

上月，國務(wù)院法制辦就《快遞條例》向社會征求意見。其中要求，快遞企業(yè)應(yīng)建立電子數(shù)據(jù)管理制度，確保用戶信息安全。發(fā)生或者可能發(fā)生用戶信息泄露、毀損、丟失的情況時，快遞企業(yè)應(yīng)當(dāng)立即采取補(bǔ)救措施。違反上述規(guī)定的，處1萬元以上5萬元以下的罰款。

你個人信息安全嗎?

黑客利用申通快遞公司的管理系統(tǒng)漏洞，侵入該公司服務(wù)器，非法獲取了3萬余條個人信息，之后非法出售。審查此案的上海市青浦區(qū)檢察院檢察官告訴《法制晚報》記者，買這些信息的人，多數(shù)是為了行騙。

據(jù)檢察官透露，黑客是看到著名安全網(wǎng)“烏云網(wǎng)”公布的申通公司系統(tǒng)漏洞后作案的。

記者隨后搜索“烏云網(wǎng)”發(fā)現(xiàn)，2013年以來，該網(wǎng)站至少公布了申通公司與信息泄露隱患有關(guān)的漏洞報告13篇，涉及系統(tǒng)弱口令、服務(wù)器目錄、管理后臺、快遞短信等各個方面，其中9份報告被標(biāo)注的危害等級為“高”。

案件詳情3個月竊3萬余條客戶信息

根據(jù)上海市青浦區(qū)檢察院指控，2014年9月至11月，鞠某為非法牟利，利用申通K8速運(yùn)管理系統(tǒng)漏洞，非法侵入申通快遞有限公司服務(wù)器，下載包含公民個人信息的快遞面單信息3萬余條。后通過網(wǎng)絡(luò)出售給他人，非法獲利3萬余元。

其中，2014年9月，任某在鞠某的安排下，利用申通K8速運(yùn)管理系統(tǒng)漏洞非法侵入申通快遞有限公司服務(wù)器，下載包含公民個人信息的快遞面單信息2000余條并提供給鞠某。后鞠某通過網(wǎng)絡(luò)將信息出售給他人，并向任某支付報酬2000余元。

經(jīng)過審理，上海市青浦區(qū)法院認(rèn)定了檢方指控的事實(shí)。2015年4月2日，法院以非法獲取公民個人信息罪判處鞠某有期徒刑7個月，并處罰金1萬元;8月24日，法院以同樣的罪名判處任某拘役4個月，并處罰金4000元。

QQ群公開叫賣被申通發(fā)現(xiàn)

日前，上海市青浦區(qū)檢察院承辦案件的檢察官喬青接受了《法制晚報》記者采訪。

“任某是鞠某的親戚，他不懂電腦技術(shù)，主要是給鞠某打下手。入侵服務(wù)器拿回的信息都是一張一張的圖片，任某幫鞠某把圖片上的信息，一條一條輸?shù)奖砀窭铩！?

“任某整理好申通公司的客戶信息后，以QQ群為平臺，在群里公開叫賣，每條信息一塊錢?，F(xiàn)在有很多專門賣個人信息的QQ群，賣家買家都在這個平臺出價、付款、收貨?！眴糖嘟榻B說，這是任某第一次作案，沒想到找到的買家竟然是潛伏在QQ群里的申通快遞法務(wù)人員。

“申通的法務(wù)人員發(fā)現(xiàn)任某在賣申通公司的信息后，向公安機(jī)關(guān)報案，并提交了付款等圖片證據(jù)?！睓z察官說。

買賣個人信息多為了詐騙

據(jù)檢察員喬青介紹，“我們青浦區(qū)(檢察院)每年都會辦理大量快遞公司信息泄露的案件。因?yàn)閲鴥?nèi)五家大的快遞公司，包括申通、中通、圓通、韻達(dá)、順豐都設(shè)在上海青浦區(qū)。”

喬青說，這些個人信息泄露案件中，購買信息的買家各不相同。

“買這些信息，多半回去是為了詐騙。比如，買了個人信息，他們會知道你買的是哪家購物網(wǎng)站的什么東西，之后會冒充這家網(wǎng)站的客服行騙，這時候?qū)κ芎φ咧v的內(nèi)容會更有信服力?！眴糖嗾f。

除騙子之外，還有一些人非法購買大量個人信息，是為了再轉(zhuǎn)手將信息賣給別人，從中賺差價。

“第一手賣出的價格，大約是一塊錢一條。經(jīng)過層層加價，轉(zhuǎn)到最后的買家手里，價格會漲到兩三塊錢一條?！眴糖嗾f。

延伸采訪 嫌犯看到網(wǎng)曝漏洞才下手

喬青告訴記者，審查案件過程中，檢察官發(fā)現(xiàn)，任某、鞠某之所以選申通K8速運(yùn)管理系統(tǒng)下手，并得以利用其漏洞，是因?yàn)樵凇盀踉凭W(wǎng)”上看到了公布出來的申通公司的系統(tǒng)漏洞。

“烏云網(wǎng)”成立于2010年5月，創(chuàng)始人為百度前安全專家方小頓——一位出生于1987年的國內(nèi)知名黑客。方小頓聯(lián)合幾位安全界人士成立“烏云網(wǎng)”，目標(biāo)是成為“自由平等”的漏洞報告平臺，為計算機(jī)廠商和安全研究者提供技術(shù)上的各種參考。

據(jù)不完全統(tǒng)計，“烏云網(wǎng)”公布的安全漏洞達(dá)77848個。一位IT技術(shù)員表示：“如果黑客對‘烏云網(wǎng)’公布的漏洞有興趣，那么只要知道企業(yè)名字和大概漏洞消息源頭，侵入這個企業(yè)，不是難事?！?

報告詳述了破解申通步驟

記者通過梳理烏云網(wǎng)漏洞列表發(fā)現(xiàn)，2014年7月19日，一名叫“袋鼠媽媽”的漏洞作者提交的一份名為“國內(nèi)快遞行業(yè)某個疑似通用軟件配置不當(dāng)引發(fā)大量信息泄露”的報告，在時間點(diǎn)上與任某、鞠某的作案時間點(diǎn)最為吻合。

報告中，作者詳列了發(fā)現(xiàn)漏洞的步驟，并貼出了按照他所列步驟操作后得到的信息的圖片——一份快遞單。

報告顯示，作者共測試了5家快遞公司，其中包括申通。報告的最后，作者寫道：綜上，個人推斷快遞行業(yè)使用的K8速運(yùn)管理系統(tǒng)會因配置不當(dāng)導(dǎo)致泄露，有空看能否對其軟件逆向試試，但目前大量快遞信息泄露是真實(shí)存在的。

根據(jù)青浦檢察院檢察官提供的線索，記者登錄“烏云網(wǎng)”查詢發(fā)現(xiàn)了大量與申通快遞公司有關(guān)的系統(tǒng)安全漏洞。

經(jīng)過記者的不完全統(tǒng)計，2013年至今，在申通快遞公司被公布的安全漏洞中，與“信息泄露”相關(guān)的，有13份報告。其中2013年公布的4份，2014年公布的5份，2015年公布的4份。

這些漏洞報告中，被標(biāo)注危害等級為“高”的，有9份。

漏洞標(biāo)題：申通快遞某系統(tǒng)存弱口令，可導(dǎo)致信息泄露

危害等級：高

漏洞狀態(tài)：漏洞已經(jīng)通知廠商但是廠商忽略漏洞

漏洞標(biāo)題：申通快遞某處注入內(nèi)部信息泄露申通

危害等級：高

漏洞狀態(tài)：漏洞已經(jīng)通知廠商但是廠商忽略漏洞

漏洞標(biāo)題：申通快遞公司后臺權(quán)限繞過大量用戶資料泄露

危害等級：高

漏洞狀態(tài)：未聯(lián)系到廠商或者廠商積極忽略

漏洞標(biāo)題：申通快遞某處泄露快遞單掃描件、客戶身份證、電話錄音等信息

危害等級：中

漏洞狀態(tài)：廠商已經(jīng)確認(rèn)

漏洞標(biāo)題：申通快遞短信服務(wù)泄漏敏感信息

危害等級：中

漏洞狀態(tài)：漏洞已經(jīng)通知廠商但是廠商忽略漏洞

漏洞標(biāo)題：申通快遞E3集群系統(tǒng)和客服管控系統(tǒng)管理信息泄露

危害等級：高

漏洞狀態(tài)：廠商已經(jīng)確認(rèn)

漏洞標(biāo)題：申通快遞辦公系統(tǒng)任意登錄并可使用其內(nèi)部功能(直接泄露登錄密碼)

危害等級：低

漏洞狀態(tài)：廠商已經(jīng)確認(rèn)

漏洞標(biāo)題：申通快遞某管理后臺存在漏洞，可能泄露內(nèi)部敏感信息

危害等級：高

漏洞狀態(tài)：廠商已經(jīng)確認(rèn)

漏洞標(biāo)題：申通快遞某系統(tǒng)存在SQL注入(泄露大量客戶快遞信息)

危害等級：高

漏洞狀態(tài)：漏洞已經(jīng)通知廠商但是廠商忽略漏洞

漏洞標(biāo)題：申通快遞某站從弱口令到getshell再到業(yè)務(wù)數(shù)據(jù)泄露

危害等級：高

漏洞狀態(tài)：廠商已經(jīng)確認(rèn)

漏洞標(biāo)題：申通某服務(wù)器目錄遍歷導(dǎo)致泄露大量用戶信息

危害等級：高

漏洞狀態(tài)：廠商已經(jīng)確認(rèn)

漏洞標(biāo)題：申通快遞權(quán)限設(shè)計不當(dāng)可獲取修改全站用戶收貨地址(大量敏感信息泄露)

危害等級：低

漏洞狀態(tài)：廠商已經(jīng)確認(rèn)

申通信息安全漏洞至少13處

消費(fèi)維權(quán)

客戶可索賠但比較難

北京市惠誠律師事務(wù)所律師陳楠告訴《法制晚報》記者，如果快遞客戶遭遇詐騙并掌握證據(jù)證明詐騙受害系因快遞公司信息泄露引起，且快遞公司在信息泄露這一問題上有過錯，那么，受害人可以對快遞公司追究賠償責(zé)任。

但陳律師坦言，在現(xiàn)實(shí)中，這種索賠會很艱難。

“你很難證明自己被騙是因?yàn)榭爝f公司信息泄露導(dǎo)致。除非黑客被抓了，買信息的騙子也被抓了，他們都承認(rèn)犯罪事實(shí)，你還知道他們被抓且認(rèn)罪，才有可能?！?

“但實(shí)際上，往往是快遞客戶在A地，竊取信息的黑客在B地，買信息的人在C地，實(shí)施詐騙的人在D地。你人在A地，怎么可能會知道千里之外的B地，有個非法獲取個人信息的刑事案件和你有關(guān)?”他說。