來源丨21世紀經濟報道（ID：jjbd21 記者：楊清清）、中國青年報、IT時報、南方都市報、@中國鐵路

28日有網友爆料，在暗網有人出售60萬個12306賬号和410萬條聯系人數據。

記者随即在暗網交易市場上找到了這條帖子，并拿到了這位“賣家”開放的部分測試數據包。

出售的帖子

實測：部分賬号密碼可登錄

在暗網中，賣家自稱手中掌握了賬号表和聯系人兩個Excel 表格。其中賬号表包含的數據有ID、手機号、用戶名、明文密碼、姓名、身份證号、郵箱、問題及其答案，另一張表格則含有賬号姓名和身份證。

為了吸引人注意，該賣家還公布了上述兩個表格的部分截圖，披露了50個用戶的賬号信息，及兩名用戶的常用聯系人。另有一張截圖顯示有人已登錄某個 12306賬号，頁面出現了9個常用聯系人的姓名、身份證、部分手機号和旅客類型。

記者随機撥打了部分被公開的電話，有4人确認了賬号、密碼、身份證号的真實性。不過也有部分号碼是空号或者錯誤号碼，接聽機主的姓名、賬号、身份證号等信息與被披露的信息并不一緻。

售賣的數據包

敏感信息一覽無餘

在測試過程中，記者發現，通過洩露的數據包登錄12306網站後，可以看到用戶更多相關信息，包括這位用戶的曆史購票記錄，經常來往的城市，就讀學校的名稱、專業以及年級等詳細信息。

與此同時，不僅限于這位用戶自身，其名下的多位常用聯系人的詳細信息，同樣包括身份證、手機号、經常來往的城市，以及學校信息也都一并被洩露。

測試一條數據，顯示登錄成功

例如，其中一位被洩露信息人的身份是學生，除了他的手機号、身份證、登錄密碼等信息外，通過曆史購票記錄可以了解，他經常來往于安徽與福州兩地，并且目前就讀于安徽某财經院校。此外，他的相關聯系人中有很大部分是他的同學，這些同學的相關數據也遭到了洩露。在12306的數據類别中，包括的地址、出生年月等信息也都一并會遭到洩露。

好在，12306不具備“餘額支付”功能，因此，通過這次洩露的數據包，能做到查看數據，還不涉及火車票的購買和資金賬戶的安全。

60萬數據，僅售20美元？

在暗網上，這份自稱包含了60萬12306賬号以及410萬常用聯系人的數據包售價是20美元，格式為EXCEL表格，如果需要轉為數據庫格式則需要另加5美元。可見這位賣家“熟稔此道”。截止28日晚8點，這個數據包已完成3筆交易。

交易次數為3次

“如果是12306數據庫洩露，數據規模可能不會這麼小。”根據安全界人士初步判斷，從這次洩露的數據全部都是明文密碼，洩露的數據量規模，以及洩露的數據無特殊地域性判斷，洩露的根源來自于12306的可能性很小。

要辨别暗網出售的數據難度非常大，因為上面也有很多騙子。此次披露的 12306 數據可能是以前洩露的，現在被人拿出來重新出售，也可能是第三方搶票軟件被黑而洩露的數據。

在業内人士看來，12306 網站最近被 " 黑 " 的可能性不大。因為密碼不可能明文保存，除非黑客在 " 黑 " 網站的同時，也獲得了 12306 網站的解密方法。

對此，“中國鐵路”官方微博發布消息回應此事稱，網傳信息不實，鐵路12306網站未發生用戶信息洩露。

盤點那些年12306中過的槍

實際上這已不是12306第一次因用戶數據事件引發關注了。

就在今年6月，網傳“2016年至2018年3月的3000萬條12306數據”被洩露，其中包括“手機号、密碼、支付密碼、姓名、身份證号碼、答案”等内容，傳言在暗網售價10個比特币。（當時1比特币價格超過4萬元人民币。）。“12306密碼”這一話題由此還登上了微博熱搜榜。

不過在當日晚間，中國鐵路總公司官方微博同樣辟謠：鐵路12306網站未發生用戶信息洩漏。

更早的疑似數據洩露發生在2014年12月。當時“烏雲漏洞”平台發布消息稱，大量12306用戶數據在互聯網上被傳播售賣，包括帳号密碼、身份證、郵箱等，已知公開傳播的數據涉及用戶數超過13萬條。

對此，12306網站公告表示，其網站密碼均經多次加密，網上洩露的信息是從其它網站和渠道流出。

記者發現，當前市面上擁有多個火車票銷售APP，如智行火車票、高鐵管家、訂票助手、鐵友火車票等。不過，12306在官方辟謠中多次強調，其官方購票渠道為12306官方網站及“鐵路12306”客戶端。

無論這批數據出處在哪裡，目前普通用戶可以做的就是：

1. 及時修改12306賬戶密碼

2. 減少使用搶票APP，避免多次信息洩漏

3. 開通手機短信認證提醒，可避免撞庫的發生