Hi商學(xué)院最新消息：12月11日，京東官方確認(rèn)了數(shù)據(jù)泄露的真實(shí)性并表示此次數(shù)據(jù)泄露源于2013年Struts2的安全漏洞問(wèn)題，已經(jīng)完成了系統(tǒng)修復(fù)。

　　而據(jù)Hi商學(xué)院所知，就整個(gè)信息數(shù)據(jù)黑色產(chǎn)業(yè)鏈來(lái)看，京東數(shù)據(jù)泄露僅僅鳳毛麟角。

　　我們?nèi)绻谖⒉┥弦?ldquo;開房數(shù)據(jù)查詢”作為關(guān)鍵字進(jìn)行查詢，不少用戶在微博上表示可以查詢出入境、銀行流水、手機(jī)定位等信息，并明確表明可查詢的內(nèi)容、所需要的時(shí)間等。

　　依照相關(guān)業(yè)內(nèi)人士介紹，個(gè)人信息數(shù)據(jù)泄露渠道眾多，而在互聯(lián)網(wǎng)時(shí)代信息數(shù)據(jù)的價(jià)值越來(lái)越凸顯，目前雖然有相關(guān)法律法規(guī)保障信息，但由于信息流通次數(shù)過(guò)大、立案調(diào)查成本過(guò)高，導(dǎo)致很難尋根溯源找到售賣數(shù)據(jù)的組織。

　　京東數(shù)據(jù)泄露事件已與警方溝通

　　12月10日，網(wǎng)傳疑似京東12GB用戶數(shù)據(jù)被明碼標(biāo)價(jià)售賣，被泄露的數(shù)據(jù)包括用戶名、密碼、郵箱、電話號(hào)碼、身份證等多個(gè)維度，數(shù)據(jù)多達(dá)數(shù)千萬(wàn)條。

　　在大量網(wǎng)友的質(zhì)疑聲中，12月11日，京東在其官方微信公眾號(hào)“ 京東黑板報(bào)”上發(fā)布了題為《關(guān)于有媒體報(bào)道京東數(shù)據(jù)安全問(wèn)題的聲明》，確認(rèn)了數(shù)據(jù)泄露的真實(shí)性。京東表示，經(jīng)信息安全部門依據(jù)報(bào)道內(nèi)容初步判斷，此次數(shù)據(jù)泄露源于2013年Struts2的安全漏洞問(wèn)題，已經(jīng)完成了系統(tǒng)修復(fù)。同時(shí)針對(duì)可能存在信息安全風(fēng)險(xiǎn)的用戶進(jìn)行了安全升級(jí)提示。此外，京東還建議用戶高度重視信息安全和隱私保護(hù)，運(yùn)用高強(qiáng)度密碼等提高賬戶安全等級(jí)。

　　12月14日，京東公關(guān)部門表示，已經(jīng)和警方溝通了這一事件，關(guān)于數(shù)據(jù)泄露事件以京東官方回復(fù)為準(zhǔn)。

　　據(jù)了解，出現(xiàn)安全漏洞的Struts2是一個(gè)Web框架，普遍應(yīng)用于阿里巴巴、京東等互聯(lián)網(wǎng)、政府、企業(yè)門戶網(wǎng)站。12月13日，武漢大學(xué)計(jì)算機(jī)學(xué)院教授陳晶解釋道：“Struts來(lái)源于建筑和舊式飛機(jī)中使用的支持金屬架。這個(gè)框架叫‘Struts’，是為了提醒我們記住那些支撐房屋、橋梁的基礎(chǔ)支撐。這也是一個(gè)解釋Struts在開發(fā)Web應(yīng)用程序中所扮演角色的精彩描述，當(dāng)建立一個(gè)物理建筑時(shí)，建筑工程師使用支柱為建筑的每一層提供支持。同樣，軟件工程師使用Struts為業(yè)務(wù)應(yīng)用的每一層提供支持。它的目的是為了幫助我們減少在運(yùn)用MVC(Model-View-Controller) 設(shè)計(jì)模型來(lái)開發(fā)Web應(yīng)用的時(shí)間。”

　　陳晶表示，Struts2是當(dāng)前web開發(fā)廣泛采用的開源架構(gòu)，雖然比Struts安全，但仍存在各種安全漏洞。隨著各種補(bǔ)丁的公布，當(dāng)前安全性有所提高。但企業(yè)不能將所有的安全問(wèn)題歸結(jié)為Web開發(fā)框架的安全性問(wèn)題，而應(yīng)該綜合采用如防火墻、入侵檢測(cè)系統(tǒng)、加密存儲(chǔ)等多種防護(hù)手段，保障用戶的數(shù)據(jù)安全。

　　值得注意的是，京東聲明中提及的“2013年Struts 2的安全漏洞問(wèn)題”指的是在2013年7月17日，Struts2曾出現(xiàn)的高危漏洞，攻擊者可以利用該漏洞執(zhí)行惡意Java代碼，最終導(dǎo)致網(wǎng)站數(shù)據(jù)被竊取、網(wǎng)頁(yè)被篡改等嚴(yán)重后果。

　　互聯(lián)網(wǎng)觀察人士、河豚品牌創(chuàng)始人王鵬輝表示，2013年的Struts2漏洞本身是一個(gè)很常規(guī)的安全漏洞，但由于當(dāng)時(shí)Struts團(tuán)隊(duì)處理不當(dāng)，直接對(duì)外公布了此漏洞，導(dǎo)致黑客很容易對(duì)采用Struts2技術(shù)的平臺(tái)進(jìn)行攻擊，京東是事件中的受害者。據(jù)悉，Struts2事件影響力巨大，國(guó)內(nèi)很多知名網(wǎng)站都受到此漏洞不同程度的影響，甚至商業(yè)銀行和國(guó)家級(jí)的政府網(wǎng)站也未能幸免。

　　數(shù)據(jù)泄露已是普遍現(xiàn)象

　　我們回顧發(fā)現(xiàn)，這已不是京東第一次陷入數(shù)據(jù)泄露危機(jī)。2015年“3·15”前夕，京東被曝出大量用戶隱私信息遭到泄露。直至2016年4月，這場(chǎng)數(shù)據(jù)泄露事件被查明：京東商城3名員工越權(quán)登錄公司數(shù)據(jù)庫(kù)系統(tǒng)，非法獲取用戶姓名、電話、地址、所購(gòu)貨物等信息，共達(dá)到9313條，而后3人將信息賣出，非法獲利近4萬(wàn)元。

　　12月13日，京東集團(tuán)高級(jí)副總裁王振輝表示：“大家對(duì)信息安全重視的程度已經(jīng)大大提升了，現(xiàn)在京東無(wú)論從組織上還是內(nèi)部制度上都非常重視信息安全，因?yàn)槠脚_(tái)中有上億的消費(fèi)者，信息安全保護(hù)是公司第一要?jiǎng)?wù)。”

　　值得關(guān)注的是，當(dāng)前數(shù)據(jù)泄露問(wèn)題并不是個(gè)案，而是一個(gè)較為普遍的現(xiàn)象。2016年，數(shù)據(jù)泄露的安全事件數(shù)不勝數(shù)，時(shí)代華納30萬(wàn)客戶數(shù)據(jù)泄露、凱悅連鎖酒店318家酒店客戶信息被竊取、蘋果App Store逾千應(yīng)用存漏洞、信誠(chéng)人壽信息安全曝漏洞、Verizon 150萬(wàn)客戶記錄遭泄露、學(xué)信網(wǎng)數(shù)據(jù)泄露……

　　陳晶指出：“由于大多數(shù)用戶都習(xí)慣于記住幾個(gè)常用密碼以登錄不同的應(yīng)用，所以泄露出去的密碼所帶來(lái)的影響絕不僅在京東這個(gè)應(yīng)用中。”他表示，漏洞修補(bǔ)只能保證數(shù)據(jù)不會(huì)再通過(guò)該漏洞泄露出去，而數(shù)據(jù)一旦流進(jìn)黑市，就很難避免重復(fù)買賣。“問(wèn)題的關(guān)鍵還是在于企業(yè)應(yīng)該加大安全投入，防止數(shù)據(jù)流出。”

　　信息數(shù)據(jù)常被反復(fù)售賣

　　隨著互聯(lián)網(wǎng)的普及，數(shù)據(jù)泄露已成為互聯(lián)網(wǎng)安全的痛點(diǎn)。不可否認(rèn)的是，個(gè)人信息的黑色產(chǎn)業(yè)鏈已經(jīng)形成，其中存在數(shù)據(jù)提供方和數(shù)據(jù)中間商以及數(shù)據(jù)購(gòu)買者三個(gè)環(huán)節(jié)，而且從木馬制作、攻擊滲透、個(gè)人信息的獲取、信息交易等各個(gè)環(huán)節(jié)都有專門的人負(fù)責(zé)。

　　據(jù)了解，個(gè)人信息主要有三個(gè)用途，第一個(gè)是用于推廣，包括短信、EDM(電子郵箱營(yíng)銷)等推廣方式，可以獲得不菲的廣告費(fèi);第二個(gè)是用于銷售，數(shù)據(jù)買家掌握了精準(zhǔn)的人群之后可以更好地進(jìn)行推銷，如買房的就推銷裝修、建材、家電等產(chǎn)品，買車的就推銷維修保養(yǎng)、保險(xiǎn)等服務(wù);而最暴利的就是詐騙行為，由于數(shù)據(jù)買家清晰掌握個(gè)人信息，詐騙難度降到更低。

　　“這些數(shù)據(jù)通常會(huì)被多次倒手，價(jià)格不一。”獵豹移動(dòng)安全專家李鐵軍在12月13日表示，“單次數(shù)據(jù)售賣的價(jià)格看起來(lái)并不高，大量的數(shù)據(jù)只需要幾千元左右，但對(duì)于買家的潛在價(jià)值非常大。”

　　李鐵軍指出：“京東三年前的系統(tǒng)漏洞導(dǎo)致的數(shù)據(jù)泄露到現(xiàn)在才被發(fā)現(xiàn)，是因?yàn)楹谑械慕灰追浅７忾]，外人幾乎無(wú)法知曉，通常是過(guò)了很長(zhǎng)時(shí)間之后，數(shù)據(jù)才被流傳到正常的交際圈中。正常的‘圈子’和黑市交易的‘圈子’之間會(huì)有很長(zhǎng)時(shí)間的延遲。”

　　多位業(yè)內(nèi)人士表示，由于個(gè)人信息常被反復(fù)售賣，并且買家之間的信息往往不共享，導(dǎo)致信息安全事件發(fā)生之后，立案調(diào)查成本高，也很難尋根溯源找到售賣數(shù)據(jù)的組織，由此導(dǎo)致通過(guò)法律手段進(jìn)行制裁的難度加大。

　　對(duì)于京東數(shù)據(jù)泄露事件和后續(xù)問(wèn)題Hi商學(xué)院將會(huì)持續(xù)關(guān)注，并且希望相關(guān)監(jiān)管部門加大力度肅清電子商務(wù)網(wǎng)絡(luò)個(gè)人信息，不然真可能人人自危了。