2014年12月25日，撞库事件乌云漏洞平台爆出惊天消息：12306网站用户数据遭泄露，撞库事件超过13万条用户隐私信息在暗网公开叫卖。撞库事件这不是撞库事件黑客炫技，而是撞库事件赤裸裸的撞库攻击——黑客从其他网站盗取用户名和密码后，批量尝试登录12306。撞库事件有人用同一套密码走天下，撞库事件这习惯在平时只是撞库事件懒散，在那一刻就成了灾难的撞库事件钥匙。

数据包里有什么？撞库事件姓名、身份证号、撞库事件手机号、撞库事件邮箱，撞库事件甚至明文密码。撞库事件13万条，撞库事件听起来不多，可每一条背后都是一个能被人肉搜索出全部家底的活人。更讽刺的是，12306官方当天就发声明，说自家系统没被攻破，是用户自己“在其他网站”泄露了信息。这话没错，可听着怎么那么刺耳？就好像银行被抢了，银行说：怪你自己把密码写在纸条上。

我有个朋友老周，当年就中了招。他12306密码和游戏论坛的密码一模一样。泄露后那几天，他手机收到几十条验证码短信，什么京东、支付宝、甚至连打车软件都在试他的账号。他吓得连夜把所有密码全改了，还挨个平台检查有没有被登录的痕迹。老周跟我说：“我这辈子没做过亏心事，可那一刻觉得自己像被扒光了站在大街上。”

撞库的技术门槛低得惊人。黑客只需要弄到一份某网站的数据库，再写个脚本自动跑12306的登录接口。没有验证码拦截，没有异常IP检测，没有二次验证。当年12306连图形验证码都是后来才加的，更别提短信验证了。整个攻击过程，就像用一把偷来的钥匙去开一排锁，总有一扇能打开。

这事过去十年了，可撞库攻击不但没消失，反而成了行业标配。每年都有大厂数据泄露的新闻，每次泄露的账号密码都会被拿去撞其他平台。你注册过的小众论坛、用过一次的健身App、早就忘了的旧邮箱，都可能成为黑客的跳板。

说到底，12306撞库事件就是个警钟，敲的是整个互联网生态的懒散。平台懒得做风控，用户懒得管密码，黑客懒得想新招——大家都懒，最后吃亏的是最没防备的那个普通人。老周后来把重要账号全开了两步验证，密码也换成了随机生成的字符串。他跟我说：“现在黑客要是再撞我，得先过我这关。”可我知道，大多数人根本没他这份警觉，或者说，大多数人还没来得及被撞一次。

(责任编辑：热点)