新浪首页|新浪海南|新闻|旅游|广告服务|惠购|公益

|注册

新浪海南> 资讯 >消费关注>正文

携程被指违规获取用户信息引发消费者换卡潮

A-A+2014年3月24日15:33经济参考报评论

  支付信息泄露引发消费者换卡

  携程被指违规获取用户信息

  记者 韦夏怡 北京报道

  针对漏洞报告平台乌云日前指出携程信息安全漏洞问题,携程方面23日回应称,携程旅行网在技术调试过程中出现了短时漏洞,公司已在两小时内修复了这个漏洞,携程用户信息未受影响。不过,来自银行客服的信息显示,受上述事件影响,已开始有消费者陆续向银行要求换卡。有IT安全人士进一步指出,携程存在违规获取信用卡用户信息之嫌。

  近日,乌云平台连续披露了两个携程网(49.49, 0.01, 0.02%)安全漏洞,漏洞发现者称由于携程开启了用户支付服务借口的调试功能,导致携程安全支付日志可被任意骇客读取。安全日志包含的信息包括:持卡人姓名、持卡人身份证、所持银行卡类别(比如,招商银行(7.98, 0.07, 0.88%)信用卡、中国银行信用卡)、所持银行卡卡号、所持银行卡CVV码以及所持银行卡6位BIN(用于支付的6位数字)。

  消息一出,携程方面随即展开技术排查。据携程排查,可能受影响的为3月21日与3月22日的部分交易客户,除了漏洞发现人做了少量的测试下载并已全部删除外,没有出现恶意下载有关数据的情况,用户在携程的交易仍旧是安全的,用户的信息安全没有受到影响。

  事件发生后,携程同各大银行均取得联系,经核实,目前也没有出现用户信用卡被盗刷的情况。携程表示,未来倘若发生安全漏洞并引起用户损失,携程将给予全额赔付,而对于此次漏洞事件如果有新的进展也将持续通报。

  记者了解到,受这一事件影响,已开始有消费者陆续向银行要求换卡。“据说这两天银行客服电话快被打爆了,周围朋友不放心,都在要求换卡。”上海的窦女士告诉记者。记者从多家银行客服方面了解到,已经有不少客户向银行反馈此情况,而银行方面也建议客户更换卡片。

  “此次事件涉及持卡人信息安全问题,作为卡组织,银联对持卡人权益保护一直高度关注。我们第一时间与携程取得联系,正在了解事件的相关情况。”中国银联资深风险专家王宇表示,“根据目前了解到的情况,携程方面对此次事件原因的解释是,携程的技术开发人员为了排查系统疑问,留下了临时日志文件,因疏忽未及时删除,目前,这些信息已被全部删除。”

  王宇称,希望携程严格按照与相关合作机构的协议约定,对本次信息泄露的状况真实、完整地反映给发卡机构,及时通报事件处置进展;请发卡机构尽快将相关信息反馈持卡人,保护持卡人信息和资金安全。同时银联也在联合携程和各商业银行共同研究进一步解决措施。银联建议,近期在携程使用过信用卡的持卡人,尽快与发卡银行取得联系,根据发卡银行给出的建议处理。

  值得注意的是,该事件进一步引发市场人士对于携程违规获取用户信息的担忧。

  有市场人士指出,携程记录用户支付信息的行为违反了银联2008年发布的《银联卡收单机构账户信息安全管理标准》。根据该标准的2.1条,各收单机构系统只能存储用于交易清分、差错处理所必需的最基本的账户信息,不得存储银行卡磁道信息、卡片验证码、个人标识代码(PIN)及卡片有效期。根据标准8.1条,各类受理终端均不得存储银行卡磁道信息、卡片验证码、个人标识代码、卡片有效期等敏感账户信息。

  “携程这次的问题是,不加密储存敏感信息,且在日志中保存了过多的不必要的信息。”一位支付行业人士向《经济参考报》记者表示,“技术层面的缺陷有时候是不可抗的,但是涉及到违规存储用户信息这一规则上的漏洞,就事关道德风险,这是企业自身应该坚守的底线。”

  据知情人士透露,携程此次用户信息泄露事件,可能是无线研发推进过快而变相导致的。该人士称,携程的安全漏洞,不是在Web网页上的漏洞导致,而是无线部门在手机APP产品调试过程中,保存了日志并在Web.config开了目录遍历才出的状况。一位企业负责IT安全的人士告诉记者,利用目录遍历攻击漏洞,攻击者能够超过服务器的根目录,从而访问到文件系统的其他部分,访问受限制文件或资源,或者采取更危险的行为。

  对于上述情况,携程此前在接受媒体采访时表示,携程网采用的信用卡支付方式符合国际惯例。银行授权可做此支付交易的商户都是需要通过信用卡中心认证,均属于资质非常高的商户,安全性有保障,携程也是银行最早授权可以做此交易的商户之一。

保存|打印|关闭

微博爆调查

新浪首页|新浪海南|新闻|视频|旅游|读图|专题|站点导航

新浪简介|新浪海南简介|广告服务|联系我们|客户服务|诚聘英才|网站律师|通行证注册|产品答疑

新浪公司版权所有

分享到微博 返回顶部