旅游經營管理
烏云爆攜程安全支付存漏洞 攜程稱已排查并將重獎發現者
發布日期：2017-06-13
【旅游圈】（編輯 Menawei）21日下午，著名的烏云漏洞平臺發布攜程旅行網的安全漏洞報告，報告稱：“攜程將用于處理用戶支付的服務接口開啟了調試功能，使所有向銀行驗證持卡所有者接口傳輸的數據包均直接保存在本地服務器。(類似IIS或Apache的訪問日志，記錄URL POST內容)。同時因為保存支付日志的服務器未做校嚴格的基線安全配置，存在目錄遍歷漏洞，導致所有支付過程中的調試信息可被任意駭客讀取。其中泄露的信息包括用戶的持卡人姓名、身份證、所持銀行卡類別（比如，招商銀行信用卡、中國銀行信用卡）、所持銀行卡卡號、所持銀行卡CVV碼、所持銀行卡6位Bin(用于支付的6位數字)等信息。“
旅游圈（www.dotour.cn）向攜程相關負責人求證，該人士表示在該消息發布后，攜程旅行網立即展開技術排查并在消息發布兩個小時內修復問題。并且攜程對于烏云平臺發現漏洞信息表示感謝，并將對于提供漏洞信息者給予獎勵。攜程旅行網始終對信息安全非常重視，對于此次漏洞事件如果有新的進展將持續通報。
同時，攜程表示，可能受影響的為3月21日與3月22日的部分交易客戶，目前尚沒有發現因相關問題導致客戶信息泄露及造成損失的情況發生。公司將繼續進行網絡安全的核查工作，如果有用戶因為該漏洞造成財產損失，攜程將賠償損失。
攜程旅行網官方微博在漏洞在2個小時之前將處理結果在微博上轉發，而該漏洞發布者豬豬俠也轉發攜程官微微博，稱這是一次負責任的漏洞披露流程，漏洞只有報告者一人知道。旅游圈（www.dotour.cn）聯系豬豬俠，至發稿之時止暫未得到回復。
（旅游圈原創報道，轉載請注明出處）
粵公網安備 44011302000493號