携程泄漏了你的信用卡！请赶紧换卡，这不是危言耸听
关注科技杂谈，洞析科技大事
中国通信行业影响力最大的自媒体
订阅请直接搜索公众号：keji_zatan
【注：如同庄明浩所言，科技杂谈强烈建议大家，如果你曾在携程使用过信用卡，请立刻拿起电话，打给自己的银行，换一张卡吧，别等被盗刷后追悔莫及。】
文 / 移动观察（mobileweb）
3月22日晚，国内知名漏洞报告平台乌云公布了一条关于携程的漏洞：
标题为：
携程安全支付日志可遍历下载 导致大量用户银行卡信息泄露(包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin)
而关于漏洞描述如下：
携程将用于处理用户支付的服务接口开启了调试功能，使所有向银行验证持卡所有者接口传输的数据包均直接保存在本地服务器。
(类似IIS或Apache的访问日志，记录URL POST内容)。
同时因为保存支付日志的服务器未做校严格的基线安全配置，存在目录遍历漏洞，导致所有支付过程中的调试信息可被任意骇客读取。
其中泄露的信息包括用户的：
持卡人姓名
持卡人身份证
所持银行卡类别（比如，招商银行信用卡、中国银行信用卡）
所持银行卡卡号
所持银行卡CVV码
所持银行卡6位Bin(用于支付的6位数字)
上面的技术术语如果你看得不是太懂的话，我简单讲就是：
如果你是携程会员、并且绑定了信用卡或者用自己的信用卡交易过的话，那么你的这个信用卡的所有信息就有可能泄漏。
如果在携程有过信用卡支付经历的朋友应该了解，初次使用的时候需提供信用卡卡种、卡号、有效期、CVV2码(即信用卡验证码)等一系列完整信息，然后提交支付。但第二次在携程网使用这张信用卡时，只需提供卡号后四位及CVV2码，携程网就会完成这次支付操作。
所以携程是在本地存储了用户的相关信用卡的信息，当有人有权限拿到这些信息的时候就是漏洞爆发的时候，也就是今天出现的问题……
“便捷”和“安全”永远是不可能兼顾的……
而今天问题其实在14年1月就已经有媒体曝光过，只是当时携程官方PR的说法是：“我们有风控”、“我们符合银联的规定”；
今晚漏洞曝光在乌云平台的时间是18点，晚8点腾讯科技采访携程的时候，携程官方说法是：
“可能受影响用户为3月21日与3月22日的部分交易客户，目前并没有用户收到该漏洞的影响而造成相应财产损失的情况发现。”
不过作为一个当年还算了解一些网络安全知识的脚本小子，我丝毫不怀疑在水下，包含携程所有或者大部分帐户信息、用户个人信息以及全部信用卡信息的数据库已经开始在少数人手中持有。
还有什么叫目前还没有因为这个漏洞引起的用户财产损失？
等损失出来的时候就晚了，这PR我真是服了……
说了这么多基础信息，作为一个普通用户该如何杜绝一切可能的风险呢？
目前合理、快速且有效的方式是换卡，打电话给自己的信用卡发卡行，说明卡的信息已经泄漏需要更换新卡……
当然你需要2-3周的时间拿到新卡……这期间这张信用卡就用不了了，但这总比盗刷好……
还有很多朋友会说我如果盗刷不认不就完了，不是银行负责么？Too simple！
（我已经操作完换卡了，如果以后你的信用卡出现盗刷，到时候别说我没提醒过你……）
多说一句别的，中国的互联网永远有一个水下的世界，它时刻提醒着你要小心……
周末话题：荐书
欢迎大家推荐科技好书，分享给大家，并留下你的推荐理由。
欢迎大家加入群组，参与讨论，交流思想、分享信息。仅限行业商端人士参与，参与方式：回复“申请入群”+所在单位+职务+真实姓名+联系方式，科技杂谈通过审核后，会添加入群。
也欢迎大家投稿或推荐优秀文章（推荐方法：1、直接发给本公众号；2、邮箱：ennwangyunhui@vip.163.com）
科技杂谈保护版权，推荐文章请注明推荐人身份、推荐理由与推荐来源，我们将与作者联系，取得授权后转载。
本文仅代表作者观点，科技杂谈授权刊登。
转载必须注明作者与科技杂谈，侵权必究。
科技杂谈文章，均同步发布于犀牛财经网。
已入驻搜狐新闻客户端，网易阅读客户端。
点击下方“阅读原文”直达犀牛财经网