近 5 億人的隱私，毀於一位程式員之手？

本文經授權轉自公眾號CSDN（ID：CSDNnews），作者屠敏

近日，暗網論壇中有人發帖公開出售華住旗下所有酒店的資料，包括漢庭、美爵、禧玥、漫心、諾富特、美居、CitiGo、桔子、全季、星程、宜必思、怡萊、海友等多家連鎖酒店。

而資料的內容從使用者註冊、再到登記入住記錄，涉及的資訊無一倖免，全被竊取。其中主要包括三塊：

• 華住官網註冊資料（crm.txt），包括姓名、手機號、郵箱、身份證號、登入密碼等資訊，共 53 G，大約 1.23 億條記錄；

• 酒店入住登記的身份資訊（cusinfo），包括姓名、身份證號、家庭住址、生日、內部 ID 號，共 22.3 G，大約 1.3 億人身份證資訊；

• 酒店開房記錄（history），包括內部 ID 號，同房間關聯號、姓名、卡號、手機號、郵箱、入住時間、離開時間、酒店 ID 號、房間號、消費金額等資訊，共 66.2 G，大約 2.4 億條記錄。

且發帖人在暗網公開叫賣，所有資訊打包價為 8 比特幣，約等於 35 萬人民幣，或者 520 個門羅幣。

01 真 or 假

資料累加共計 4.93 億條。近 5 億使用者的電話、地址、身份證等隱私資訊就這麼被公開出售，讓人情何以堪？所以，圍繞在我們心頭的第一個疑問就是，這事究竟是真還是假？

對此，紫豹科技相關研究人員在第一時間對洩露資料進行了測試，從測試資料結果來看，洩露的資料與華住的會員資訊相吻合。

▲來源：紫豹科技

此外，也有不少技術專家進行了比對，據威脅獵人資料驗證發現最低的住客年齡在 95 年，最近離店時間是 8 月 13 日，這與暗網的發帖人所述的資料脫庫時間為 8 月 14 日時間相吻合，進一步驗證了資料洩露的真實性。

02 5 億資料被拖庫，疑似毀於一位程式員之手？

而對於事發的原因，據紫豹科技爆料，疑似毀於一位程式員之手。起因是該程式員直接將資料庫連線方式上傳至 GitHub，最終導致洩庫，但具體細節目前還無法確認。

而從爆料的截圖中我們可以發現，“username = root，password = 123456”，該使用者名稱和密碼如此簡單，如果是真的，那程式員的心該有多大？（目前，該 GitHub 賬號下的庫已全部刪除。）

▲疑似資訊洩露圖

同時值得註意的是，在暗網論壇中，發帖人表明如果已購買資料包之後，如果許可權不丟失，後續資料還可以免費提供給已購買的使用者。那這是否意味著酒店系統或伺服器中存在漏洞，讓他們還會有機可乘？

03 酒店使用者資料洩露並非特例

事實上，連鎖酒店的使用者資訊洩密事件早已不是第一次發生。早在 2013 年 10 月，彼時的國內安全漏洞監測平臺”烏雲網”爆出，所謂中國最大的酒店數字客房服務商的浙江慧達驛站公司，因為安全漏洞問題，使與其有合作關係的大批酒店的開房記錄在網上洩露。而沒過多久，一個“2000w 開發資料”的檔案就在網上瘋傳，其中包含了 2010 年下半年到 2013 年上半年近 2000 萬條的使用者個人資訊，對此，不少人深受其擾，並向法院提出訴訟。

後來，據調查發現，是因為酒店所使用的 Wi-Fi 管理和認證管理存在漏洞，資料傳輸過程中並未加密，才導致資料洩露。

04 華住集團回應

而針對此次程式員操作失誤導致 5 億資料洩露的網傳，華住集團釋出宣告，表示已在第一時間報警，公安機關正在開展調查，同時，其聘請了專業技術公司對網上兜售的“相關個人資訊”是否來源於華住集團進行核實。

05 寫在最後

資訊時代，資料洩露事件愈演愈烈，若因此讓每個人不去上網，也是絕對不可能的事情。

但是基於普通使用者而言，可以從自身出發加強防範意識，譬如不同網站或應用最好不要總是使用同一個密碼、減少以隱私換取小便利的機會、定期清理網站 Cookie 等等。

而作為企業或開發者，要做的就沒有這麼簡單了。一方面要從技術層面出發加強資訊保護，對外防止駭客攻擊；另一方面，需要加強資訊隱私規範，對內防止員工洩露。也正如全國政協委員、360 集團董事長兼 CEO 周鴻禕在今年年初在全國“兩會”記者會上提出的“使用者隱私保護三原則”，網際網路公司要明確：

1. 資料所有權的歸屬問題；

2. 網際網路公司採集資料、利用資料時，使用者應有知情權和選擇權；

3. 網際網路公司應保護好使用者的個人資料。

本文經授權轉自公眾號CSDN（ID：CSDNnews），作者屠敏