```html

12306官方网站是通过什么方式泄露的

2014年12月25日，乌云网曝出12306用户数据在网络上被公开兜售，网站13万条用户信息——包括账号、通过明文密码、什方式泄身份证号、官方手机号——打包价只要20美元。网站当时我还在用12306抢春运票，通过看到这条消息第一反应是什方式泄：我靠，我的官方密码是不是也裸奔了？后来官方回应说“泄露信息系其他网站流出”，但事情远没这么简单。网站

先明确一点：12306核心数据库并没有被直接攻破。通过那这些数据从哪来的什方式泄？答案藏在“撞库”两个字里。

撞库这玩意儿，官方说白了就是网站拿A网站泄露的账号密码，去B网站批量试登录。通过2014年那会儿，国内互联网安全环境跟筛子似的——CSDN、天涯、多玩、人人网，一个接一个被脱裤。黑客手里攥着几亿条用户名密码组合，随便写个脚本往12306一怼，能登进去的就是“战利品”。

“你12306密码是不是跟别的网站一样？”——这句话在2014年底成了技术圈最扎心的问候。

我翻过当时泄露样本的片段（别问怎么翻的，早没了），发现一个细节：大量账号的密码是123456、a123456、woaini1314这种弱口令。更离谱的是，同一个身份证号绑定了三四个不同账号，密码还都一样。这说明什么？用户自己在多个平台复用密码，黑客根本不需要“黑进”12306，他们只是拿着别处偷来的钥匙，挨个试你家的锁。

但光靠撞库，13万条数据里不该有那么多完整的身份证和手机号。这里头还有另一条路：第三方抢票软件和插件。

2013到2015年，市面上流行各种“抢票神器”——猎豹抢票版、360抢票王、还有一堆浏览器插件。这些工具怎么工作的？它们要求你输入12306账号密码，然后模拟登录帮你刷票。问题来了：这些软件的服务端存不存你的凭证？存了之后安不安全？鬼知道。当年某抢票插件被曝出将用户账号密码明文上传到自家服务器，日志文件随便就能下载。我认识一个做安全的哥们儿，他抓包看过某插件的通信，密码字段连base64都没做，直接明文躺在HTTP请求里。

更骚的操作是“离线抢票”。有些软件让你把账号密码给它，它承诺“服务器24小时帮你刷”。你把密码交出去那一刻，就等于把家门钥匙给了陌生人。这些第三方平台一旦被拖库，泄露的就是最完整的用户信息——因为12306登录之后，你的身份证号、常用联系人、乘车记录全都能看到。

还有一条隐蔽的路径：内部人员倒卖。2016年曝出过一起案子，某铁路系统外包公司的运维人员，利用职务权限导出用户数据，通过QQ群卖给黄牛。黄牛拿这些数据干嘛？一是直接代买票，二是用你的身份证号注册新账号，把票囤在自己手里。你这边还在刷票，那边票早就被锁了。

说回12306官方。他们后来做了几件事：2015年上线手机双向验证，2016年强制要求密码包含大小写字母和数字，2018年接入风控系统识别异常登录。但漏洞补得再快，也架不住用户自己在别处把密码漏成筛子。我去年帮一个亲戚查12306账号，发现他密码还是qwerty123，问他为啥不改，他说“改了记不住”。

所以你要问12306是怎么泄露的？我的判断是：官方数据库没被拖，但用户凭证从四面八方漏成了河。撞库是主渠道，第三方抢票软件是帮凶，内部倒卖是暗管。三条路汇在一起，就成了2014年那场13万条数据的“裸奔”事件。

最后说个真事。我有个朋友在12306做过后端，他告诉我一个内部说法：“我们最怕的不是黑客攻进来，是用户自己把密码送到别人手里。”这话听着像甩锅，但你细想——你拿同一个密码注册过多少网站？那些网站有几个还活着？活着的又有几个没被脱过库？

12306的泄露，本质上不是12306的错。是整个互联网“一个密码走天下”的恶果，在火车票这个刚需场景里炸开了而已。

```