酒店入住,明面上說的都是會(huì)保護(hù)房客的隱私的。8月28日消息,今日來自網(wǎng)絡(luò)消息稱,暗網(wǎng)中有人公開出售華住集團(tuán)旗下所有酒店開房信息,涉及酒店包括桔子、全季、漢庭等。華住酒店集團(tuán)表示,此消息系不實(shí)謠言,警方已介入調(diào)查并已有專業(yè)公司進(jìn)行調(diào)查。兜售信息不能證實(shí)為真。華住正在緊急開展一系列相關(guān)工作。
據(jù)白帽匯安全研究院消息,暗網(wǎng)出售的華住酒店注冊(cè)用戶信息包括姓名、手機(jī)號(hào)、身份證號(hào)、家庭住址、生日、內(nèi)部id號(hào)、酒店id號(hào)、入住時(shí)間和離開時(shí)間等。發(fā)帖者要求8比特幣或520門羅幣交易全部信息。
另據(jù)發(fā)帖者透露,這些數(shù)據(jù)系黑客于2018年8月14日“拖庫”后所得。所謂“拖庫”指的是黑客通過技術(shù)手段進(jìn)入到網(wǎng)站后,竊取其內(nèi)部數(shù)據(jù)。
而來自網(wǎng)絡(luò)尖刀安全團(tuán)隊(duì)創(chuàng)始人Madmaner消息,這些數(shù)據(jù)包括三個(gè)部分:
一、官網(wǎng)注冊(cè)資料(身份證、手機(jī)號(hào)、郵箱、登錄密碼等共53G,約1.23億條記錄);
二、入住登記身份信息(姓名、身份證號(hào)、家庭住址、生日、內(nèi)部ID號(hào),共22.3G,約1.3億條);
三、酒店開房記錄(內(nèi)部ID號(hào)、同房間關(guān)聯(lián)號(hào)、手機(jī)號(hào)、郵箱、入住時(shí)間、離開時(shí)間、酒店ID號(hào)等,共66.2G,約2.4億條)。
團(tuán)隊(duì)分析,數(shù)據(jù)之所以產(chǎn)生泄露,疑似華住公司程序員將數(shù)據(jù)庫連接方式上傳至github導(dǎo)致其泄露。簡單來說即華住程序員將開發(fā)的源代碼上傳到了github,其中包含了數(shù)據(jù)庫的用戶名、密碼信息,使得惡意的攻擊者直接連接數(shù)據(jù)庫查看、修改或者刪除數(shù)據(jù)庫中的信息。 目前該說法并未得到華住方面證實(shí)。
一位不愿具名的網(wǎng)絡(luò)安全工程師向財(cái)經(jīng)網(wǎng)介紹稱,目前報(bào)道泄露的這些數(shù)據(jù)已經(jīng)在暗網(wǎng)之中出售,且出售人提供了一萬條測(cè)試數(shù)據(jù)。測(cè)試數(shù)據(jù)包括用戶名、地址、手機(jī)號(hào)和郵箱等信息。
盡管華住方面對(duì)外表示,此系網(wǎng)絡(luò)謠言,但上述網(wǎng)絡(luò)安全工程師向財(cái)經(jīng)網(wǎng)分析稱從目前已經(jīng)獲知的信息來看,華住旗下酒店開房信息泄露有很大可能性。
此外,該網(wǎng)絡(luò)安全工程師透露,黑客目前可能仍然擁有華住集團(tuán)服務(wù)器權(quán)限。這也就意味著,新入住華住旗下酒店的用戶信息也存在被泄露風(fēng)險(xiǎn)。