爆12306用户数据被泄露，官方确认为第三方渠道流出

雷锋网消息，今天上午漏洞报告平台乌云爆出，12306网站用户数据被泄露。

漏洞作者称，有大量12306网站的用户数据在网络上传播，其中包括用户ID、（明文）密码、身份证、注册邮箱等。目前仅看到有黑客在售卖，尚不能确定泄露环节是12306网站还是第三方抢票平台。

（图片来自凤凰科技，下午雷锋网去乌云查询漏洞信息，发现该网站服务器宕机无法访问，不知是否与爆出本次漏洞有关）

下午，12306网站发出公告，确认了泄露数据的真实性。12306官方称，已核查网络上流传的用户泄露数据，发现泄露信息系明文账号密码，12306相关数据均是经过多次加密的转换码，网上泄露信息应是从其它网站或渠道流出。

正式声明如下：

针对互联网上出现“12306网站用户信息在互联网上疯传”的报道，经我网站认真核查，此泄露信息全部含有用户的明文密码。我网站数据库所有用户密码均为多次加密的非明文转换码，网上泄露的用户信息系经其他网站或渠道流出。目前，公安机关已经介入调查。

我网站郑重提醒广大旅客，为保障广大用户的信息安全，请您通过12306官方网站购票，不要使用第三方抢票软件购票，或委托第三方网站购票，以防止您的个人身份信息外泄。

同时，我网站提醒广大旅客，部分第三方网站开发的抢票神器中，有捆绑式销售保险功能，请广大旅客注意。

雷锋网了解到，本次泄露数据有多种说法，一是黑客撞库得到相关信息；二是第三方抢票软件泄露；三是12306许久前曾遭受攻击。

不过这些说法并不能完全解释此次事件。现在网络上广泛流传的是14MB用户数据（共计13万余条），有网友下载到相关数据表示，里边有用户个人ID信息，可能不是撞库产生，也有人就泄露信息打电话询问，当事人称最近并未购买过火车票。

14MB之外，网络上还流传有18GB、37GB两种说法，但这两种尚未有任何佐证信息。

目前，人民日报等国家媒体已在微博上发出警告，提醒用户修改密码。

更新：安全研究团队知道创宇告诉雷锋网，其通过分析现在网络上流传的13万泄露信息，确认此批数据为撞库引起。网上并未发现有18GB或其它版本数据的流转迹象。

更新2：雷锋网联络到猎豹移动的安全专家，对方针对本次事件给出了三个建议，大家可以参考一下。

更新3：@中国铁路 微博公布，铁路公安已于25日晚抓获两位涉事嫌疑人。