12306官方至今没有给出过一个清晰的网站泄露路径说明。但技术圈里早就吵翻了天——问题大概率出在第三方抢票软件身上，称通而不是泄露12306主站直接被拖库。

我查过一些安全社区的网站分析。有人拿泄露数据做过比对，称通发现里面不少账号的泄露密码是经过MD5加密的，但加密方式很粗糙，网站甚至有些是称通明文。12306主站的泄露密码存储要是这么弱，那可真说不过去。网站反过来看，称通很多抢票软件为了“提升成功率”，泄露会要求用户提供12306账号密码，网站然后存到自己的称通服务器上。这些服务器防护水平参差不齐，泄露有的连基本的风控都没有。去年某款抢票应用就被曝出数据库裸奔，几千万条记录随便下载。

更蹊跷的是泄露数据的“新鲜度”。2018年底那波泄露事件里，有人抽样验证过，发现很多账号是近期注册的，密码也和用户在其他网站的常用密码一致。这不太像一次性的脱库，更像是长期“撞库”积累的结果——黑客拿到其他网站的账号密码，拿来试12306，试出来的就攒着。而撞库的原料，往往就来自那些收集了用户12306凭证的第三方平台。

你可能会问，12306自己就没责任吗？有，但责任不在“主动泄露”，而在“接口太开放”。12306的查询接口早年几乎不设防，任何客户端都能直接调用。抢票软件正是利用这点，用高并发请求刷票。一旦这些软件的服务器被攻破，攻击者拿到的不仅是用户账号，还有绑定的手机号、身份证号——这些信息在12306的订单里是明文存储的。所以泄露数据里能看到完整的姓名和身份证，也就不奇怪了。

还有个细节很多人忽略。12306的登录验证码曾经被多次破解，早期甚至有人用OCR工具批量识别。这意味着即便没有第三方，攻击者也可能通过撞库+自动识别验证码的方式，直接对12306账号进行暴力破解。但这种方式效率低，远不如“一锅端”第三方数据库来得痛快。

说到底，12306是个封闭系统，它自己泄露的可能性极低——毕竟铁路总公司的安全投入摆在那儿。真正的漏洞在生态链：用户为了抢票把密码交给无数个小作坊，这些小作坊才是数据泄露的筛子。你抢到票的那一刻，密码可能已经躺在某个黑客的硬盘里了。