當當被曝嚴重系統(tǒng)漏洞 用戶信息可被輕易竊取

????

??? 知名網絡安全平臺發(fā)布消息稱，國內著名的電子商務網站當當網存在嚴重系統(tǒng)漏洞，其4000萬用戶資料可被網友輕易地竊取。隨后當當網方面作出回應，稱該漏洞經發(fā)現后第一時間已修復。

????網友“張永生”在微博上透露，經他個人測試，個人用戶輕易就可以抓取到總共4000多萬個當當用戶的姓名、聯系方式、地址等個人詳細資料。而網友“單eye皮”更是表示，經測試當當網所泄露的準確的用戶個人資料數量達：41637995 條，不少作為當當用戶的網友在得知這個消息后，通過漏洞赤裸裸地看到自己的個人信息暴露在公眾之下，都主動進入當當網將個人信息刪除。網友“hntangwei”更是在微博中調侃當當網和當當網的CEO李國慶：“作為前當當用戶，我能不能要求把自己的信息刪除掉？請當當網和李國慶為用戶開發(fā)一個取消注冊功能！”

????第三方安全問題反饋平臺烏云漏洞平臺透過其官方微博發(fā)布的信息顯示，當當網存在著設計缺陷或邏輯方面的錯誤，烏云漏洞平臺提供了當當網漏洞的詳細說明和漏洞證明，別有用心的用戶可以輕易查看在當當網購買產品的用戶的姓名、聯系方式、地址等詳細資料，大量用戶的資料或因此被泄露。

????值得注意的是，烏云-漏洞報告平臺負責人通過微博平臺告訴南方日報，他們發(fā)現當當網系統(tǒng)漏洞后，第一時間通過線上線下方式告示當當網。但是面對此重大系統(tǒng)漏洞問題，當當網同樣選擇回避。直到網友信息被大量泄漏，系統(tǒng)漏洞被直接公開后，才選擇修復?！拔覀冇欣碛上嘈牛敭斁W明知其千萬用戶隱私信息被竊取，而選擇寧愿不作為?！?/p>

 ???當當網“倉促”冷卻泄密事件

????據烏云漏洞平臺介紹，當當網在得知其存在如此重大的信息漏洞后，第一時間采用的是屏蔽網友訪問的方法來進行修復，其手法也是非?！皹I(yè)余”。從專業(yè)的安全領域專家來看，問題遠未得到應有的重視，而事件的主角當當網方面更是有逃避責任之嫌。

????國內某黑客組織負責人黃先生在接受南方日報記者采訪時表示，此次當當網所泄露的用戶資料的嚴重性，其實已經可以媲美今年曾經一度讓索尼頻臨危機、甚至讓CEO下臺的黑客入侵盜取資料事件。今年4月，索尼宣布遭黑客侵入索尼公司位于美國圣迭戈市的數據服務器，竊取了索尼PS3和音樂、動畫云服務網絡Qriocity用戶登錄的個人信息，包括姓名、住址、生日、登錄名和密碼等，受影響用戶多達7700萬人，涉及57個國家和地區(qū)，這起最多可能導致約1億人份的個人信息外泄，曾一度讓索尼被迫停止在線游戲服務的個人信息遭竊事件堪稱迄今為止規(guī)模最大的一次。

????相對比全球矚目的索尼泄露個人信息事件，當當網方面的回應和處理則要顯得“輕描淡寫”?！叭绱瞬萋实奶幚矸绞?，其實一方面體現了當當網對用戶資料泄露的問題的不夠重視，罔顧用戶利益。另外一方面，可能也是當當網希望能夠迅速把事件通過公關手段給‘冷卻’下來，避免遭到應有的懲罰?！秉S先生對當當網的處理方式非常不滿?！爱敭斁W至少應該公布具體遭泄露個人信息的用戶數量，同時對所有遭泄露個人信息的用戶提供賠償！”黃先生最后補充道。

????當當網漏洞泄露用戶信息的事件除了應當承擔用戶的賠償損失外，有法律界人士也指出，當當網同時還有可能觸及了國家在互聯網管理和個人隱私方面的相關法律法規(guī)。據記者了解，在今年8月，工信部就對《互聯網信息服務管理規(guī)定》開始公開征求意見。其中，對互聯網信息服務提供者收集個人信息行為作出了明確的規(guī)定。《互聯網信息服務管理規(guī)定》第十三條特別指出，互聯網信息服務提供者應當妥善保管用戶個人信息。發(fā)生網絡安全事件造成或者可能造成用戶個人信息泄露的，相關互聯網信息服務提供者應當立即采取補救措施；造成或者可能造成嚴重后果的，應當立即向工業(yè)和信息化部及相關省、自治區(qū)、直轄市通信管理局報告，并配合相關部門進行調查處理。

????而就在剛結束的十一屆全國人大常委會第二十三次會議上，也表決通過關于修改居民身份證法的決定，修改后的居民身份證法加大了對泄露公民個人信息行為的處罰力度。泄露公民個人信息，不僅要面臨刑事處罰，還要承擔經濟賠償等民事責任。

????這也就是說，如果確定是當當網泄露了公民個人信息，公民可依法提起民事訴訟，要求賠償。面對如此嚴重的法律后果，也不難理解當當網為何公關“倉促”冷卻事件了。

 ???國內個人信息安全存在隱患

????“從專業(yè)安全領域來看，這次當當網泄漏用戶資料的事件可謂非常嚴重?！苯鹕骄W絡反病毒工程師李鐵軍(微博)在接受南方日報記者采訪時對這次事件發(fā)表了自己的看法，“從問題曝光之后，在安全領域的圈內引起了極大的反響，有網友利用漏洞輕易獲取了當當網上超過4000萬用戶的詳細個人信息，雖然當當網方面宣稱是因為新系統(tǒng)上線導致的短時間內的漏洞，但是其實從技術上很難判斷這個漏洞是最近才有還是一直存在的，總共到底有多少用戶資料被泄漏?！崩铊F軍認為當當網的處理說法并不夠說服力，更多的是用來應付普羅大眾的公關舉措。

????“通過當當網這個事件，應該敲響對安全領域特別是個人信息安全的警鐘。”李鐵軍特別強調了每個用戶應該重視自己的信息安全?！爸袊M者安全意識還過于薄弱，普遍的現象是如果自己的信息在身邊被泄漏的話，可能還會比較緊張，但是通過第三方，如網絡這些渠道的泄漏，則顯得無所謂，但是危害其實非常大！”近日就有媒體報道了個人資料泄露造成損失的案例：一位遠在上海的消費者從電子商務網站上購買物品后選擇了貨到付款方式，結果沒有想到所購買的真貨還沒有送到，騙子已經捷足先登，搶先于正規(guī)的電子商務網站送貨上門并領走貨款，用戶和電子商務網站多番交涉后才知道原來中間被騙。這個案例的最大根源就是不法分子利用非法手段盜取了消費者的購物信息，然后再利用網上購物需要進行商品配送的特點對消費者進行了詐騙。