近日中国多个商业网站因“泄密门”陷入网络安全恐慌，现蔓延至政府网站。12月29日，网友在新浪微博称，广东省公安厅出入境政务服务网网站后台存在漏洞，共计444万余条用户信息被泄露。广东省公安厅证实该网站确有技术漏洞，现已修补完毕。
据12月30日报道，IT人士@月光博客29日发布微博：“广东省公安厅出入境政务服务网网上申请数据泄露，几乎全部提交网上申请用户的真实姓名、护照号码、港澳通行证号码遭到泄密，目前该漏洞还没有修复。”并提供了相关信息的模糊截图。
从相关人士提供的漏洞地址登陆后发现，网页显示是网上申请数据的列表。根据泄露网页首页和末页的数据，此次泄露的信息范围是2011年6月24日至12月29日中午12：30前所有通过网站申请签注的用户资料，总数高达4,441,387条。点击每条记录，可看到用户的出生年月、邮寄地址、邮编、电话、证件有效期、出境事由等信息。
据调查，相关漏洞由一名网名为“刺刺”的程序员发现，11月29日“刺刺”将漏洞信息提供给“乌云（WooY un）”平台，12月29日早上“乌云”将漏洞信息交由“@月光博客”发布。“乌云”平台的负责人表示，11月29日收到漏洞信息后他们已交给相关部门处理，因为处理漏洞需要时间，所以他们在一个月后才公布漏洞。
“@月光博客”分析，此次漏洞估计为程序设置问题，查看后台信息功能的权限控制错误，导致普通用户可以绕过登录环节，直接访问后台页面查看数据。
资深程序员、某电子商务网站创始人徐湘涛表示，一般来说，涉及后台数据时，每个网站的管理人员会根据职责得到不同的信息权限。在用户数据页面展现之前，应该有“校验身份”的过程，相关人员登录、通过校验后，才能访问后台信息。“在外网输入网址就能查看后台数据，对程序员来说这是一个挺低级的错误。”
就近日连串泄密事件，“@月光博客”评论道：“相当于实名制网站的电子商务平台泄露的数据是最恐怖的……最令人郁闷的是，用户没有应对措施，去电商网站购买商品，不可能留下假的名称、假地址、假手机号码”。而他认为，“政府类服务网站泄露信息危害更大，导致很多不上网的用户资料信息也遭到泄露，比商业网站出问题可怕百倍。”
广东省公安厅公安厅通过官方微博“@平安南粤”回应称：“近日，网上有消息称，广东省公安厅出入境政务服务网存在技术漏洞问题。广东省公安厅对此高度重视，迅速成立专责小组对该情况进行核查。经初步调查，该网站确实存在技术漏洞，现已修补完毕。”
在另一条微博中，“@平安南粤”称：“目前，公安机关正对该事件做进一步调查。公安机关提醒，任何在网上非法入侵、窃取数据都属违法犯罪行为，公安机关将对此严厉打击。群众一旦发现上述行为，请立即向公安机关举报。”截至29日晚，此前泄露出的后台网页，外网已无法访问。
另据《东方今报》报道，安全顾问张百川在微博上道出了泄密事件网民恐慌的原因，“CSDN仅仅暴露的是程序员为主体的密码，群体少，且相当一部分人的关键应用是用的不同密码;但是多玩、天涯等网站的用户都是普通网民，安全意识很薄弱。网络时代，安全是个大问题。”
河南财经政法大学副校长郭爱民认为，网站泄密更深层次的原因是，近年来，由于金钱利益的驱动及非法地下交易市场，现在，黑客攻击目标从普通用户转向具有更多用户资料的企业数据库。但是数据库的安全防护措施和投入却参差不齐。
评论 (0)