12306泄密事件

2014年12月25日，泄密事件有人在暗网挂出一份标价20美元的泄密事件“12306用户数据包”，里面装着13万条真实姓名、泄密事件身份证号、泄密事件手机号和明文密码。泄密事件这不是泄密事件12306第一次被撞库，却是泄密事件最让普通旅客后背发凉的一次——因为那些密码，很多人还在用同一个去登支付宝。泄密事件

我翻过当时的泄密事件报道，有个细节记得很清楚：某网络安全公司拿到样本后随机拨了十几个电话，泄密事件接通的泄密事件用户里超过一半承认“12306的密码和我邮箱密码一样”。这就是泄密事件撞库的可怕之处。黑客根本不需要攻破12306的泄密事件服务器，他们从别的泄密事件渠道搞到账号密码库，批量往12306的泄密事件登录接口上试。12306那时候没有验证码，也没有异地登录提醒，试一万次能中几百个。

12306的回应来得不算慢，当天就发声明说“泄露信息系经其他网站或渠道流出”。这话技术上没毛病，但用户不买账。你一个承载全国铁路购票的官方平台，安全门槛设得这么低，跟敞开大门有什么区别？更微妙的是，那份数据包里的身份证号格式完全正确，地区码、出生日期、校验位都对得上。有人拿自己的信息去试，居然真能登进去。

事情发酵后，12306连夜上线了手机双向验证。新用户注册要拿手机发短信，老用户登录也得过这一关。这个补丁打得很急，急到当天晚上系统卡顿，很多人买不了票。骂声和叫好声混在一起。我认识的一个黄牛当时在朋友圈抱怨：“以后养号成本高了。”从侧面看，这至少说明验证机制确实卡住了一批异常登录。

但根本问题没解决。12306的架构太特殊了，春运期间每秒几十万次查询请求，安全策略稍微严一点，正常购票就崩。这是个死结。安全团队想加风控规则，业务团队怕影响抢票速度。最后往往是安全让路。2014年那次泄密，本质上是把行业里心照不宣的潜规则捅到了台面上：便民和安全的平衡点，12306一直没找准。

还有个被忽略的细节。泄露数据里有一部分账号是“未激活”状态，说明黑客拿到的是早期注册信息。12306在2011年刚上线时，注册流程极其简单，邮箱、密码、姓名、身份证号填完就完事，连手机号都不强制绑。那批账号成了最脆弱的靶子。后来强制实名核验，才慢慢把窟窿堵上。可数据已经流出去了，堵也堵不回。

我后来跟一个做风控的朋友聊这事，他说了句挺实在的话：“12306泄密不是技术问题，是意愿问题。”铁路系统长期把12306当售票窗口，没当安全产品。直到出了事，才被迫补课。2015年之后，12306陆续上了人脸识别、滑块验证、设备指纹，安全投入翻了十几倍。代价是用户每次登录要多点好几下，但没人再敢说“密码泄露无所谓”了。

回头看，2014年那13万条数据只是冰山一角。真正让人后怕的是，如果那次没有媒体曝光，如果数据没被公开叫卖，12306的安全升级会不会再拖几年？这个问题没有答案。能确定的是，从那以后，我再也没在任何网站用过和12306相同的密码。