当当网近期用户信息频泄露 “撞库”成千年背锅侠

自2011年CSDN数据泄露事件后，“拖库”、“撞库”这些原本生疏的网络安全行业术语在大众面前变得像柴米油盐般熟悉。特别是“撞库”，在电商为代表的涉及购物交易的网络平台发生用户信息泄露事件后，官方总能第一时间回复：都是撞库惹的祸！

可惜有些时候并非百分之百是撞库同学的错，给它一次说话的机会，它肯定会说：老子怎么成了千年背锅侠？！

当当网近期用户信息频泄露

近日，Bianews报道了当当网用户处理异常订单时信用卡被盗刷一事，随后，当当网方面回应称，主要原因可能是撞库、钓鱼等导致用户信息泄露，当当网会配合调查。

其实在7月下旬以来，不少用户投诉当当网信息泄露：








注：其中两个用户购买了同一本书，这能说明什么

上述用户反映，在当当下单后不久或第二天，都收到自称客服的手机号码来电，号码归属地是广东、浙江等地，诱导用户进行点击链接等操作。

Bianews报道《当当网被曝用户处理异常订单被“盗刷”2万元 或因信息泄露》之后，与当当网取得了联系，对方回应称，信用卡被盗刷可能是用户点击了钓鱼链接；订单信息泄露是由于账户信息泄漏，后者是由于黑客撞库成功导致；当当网已经通过多种渠道尽到提醒责任，会全力配合调查。

同时，当当网表示，撞库导致信息泄露在业内属于普遍现象，对于笔者提出的是否预先给予赔偿，当当网未正面回应。

都是撞库惹的祸？

盗刷2万元的事件是否又是撞库惹的祸？当笔者再次联系当事人询问是否在其他网站使用相同的账户、密码（撞库成功的必要条件）以及如何看待当当网的回应，他明确表示没有在其它平台有相同账号密码，并提出疑问：

“如何解释订单异常到确认收货（难道黑客还好心点了确认收货？）”

“即使如当当网所述，那当当网能否提供IP登陆等相关证据？ ”

当下信息泄露比较严重的当属电商领域，无论是垂直电商还是京东、阿里等都曾遭遇过信息泄露的事件。

2011年12月21日，国内最大程序员社区CSDN上的600万用户账号和密码被公开。随后，密码泄露事件开始大范围发酵，天涯社区、世纪佳缘、当当网等网站也被曝出存在“类似泄密问题”，上千万用户账号和密码在网上被公开扩散，该事件被媒体称为“中国互联网史上最大规模的用户信息泄露事件”。

2015年7月左右，售卖演唱会门票的票务网站“大麦网”被曝600多万账户密码被泄露，且已经在售卖和传播。此次共造成了147.42万元的经济损失，大麦网也进行了补救。

造成这次事件的直接原因就是撞库，甚至有网友爆料这已不是大麦网第一次被撞库。

2015年11月，阿里安全团队报告了一起信息泄露案件，该案件中的犯罪团伙利用手中已有的非淘宝账号对淘宝网进行了9900多万次比对，匹配后发现有2059万账户真实存在。

撞库，这一黑客攻击的手段近几年经常被一些电商、票务等平台用来解释用户信息泄露等安全事件。

当然，除去撞库，想要获得用户信息的方式还用很多，比如钓鱼、黑市购买等。但是，除了黑客的攻击，最可怕的信息安全问题来源于公司内部。

去年3.15前夕，京东被曝出大量用户隐私信息遭到泄露。京东方面给予的回应是：不法分子使用“撞库”的方法进行诈骗。

之后结果水落石出——内鬼所为，信息被3毛一条出售！

“2014年12月至2015年1月，包括柳东（化名）等数百名京东用户遭遇信息泄露，更不幸的是，精准的订单信息骗局随之而来，受骗用户损失少则数百上千元，多则数万元。

此次事件系3名内部员工所为，3名员工通过登录京东ERP办公系统（服务器位于北京市大兴区），非法获取京东商城用户个人信息9313条，并将上述信息售予他人，造成京东公司大量客户信息泄露。”

这也是信息泄露最难防护的地方，任何通过技术手段破解的方式，理论上都可以防护，唯独“内鬼”是很难预测和防范的。

警惕撞库成背锅侠

对于撞库这一手段，一些专业人士表示，这是一种比较常用的黑客攻击手段，但前提是必须获得一些用户的账号、密码信息，在此基础上才可以对其他网站的数据库进行比对。对于电商来说，“电商网站的用户数据库一旦被撞开，那这家电商基本就废了”。

由此看来，若上述当当网用户的个人信息确实是被黑客通过撞库获得，那用户应该会在其他网站使用相同的密码。但当事人对笔者表示，他并未在其他网站使用和当当网相同的密码。

就目前的情况来看，当当网说是撞库造成用户信息泄露，但是并未发生大规模泄露，因此笔者持怀疑态度。

不论是黑客攻击还是内部泄露，电商平台都应承担相应责任。大麦网在发生用户信息泄露之后，先赔偿用户被盗资金，然后慢慢采取修补措施，“撞库”、“配合调查”等确实不应该成为互联网老兵应该有的作风。

对于电商行业来说，在之前的价格战中，各方都在忙着扩充市场份额，安全成为次要的事情。最终，用户数据的廉价也成为了尽人皆知的事。

当发生信息泄露事件后，无论是平台还是消费者，都应当警惕，在准备第一时间说出“撞库”这个理由时多想想，别让“撞库”成为管理疏漏的迷魂药，别让“撞库”成为千年背锅侠。