攜程“信用卡門”：系統(tǒng)性風險還是偶然操作失誤 原標題：攜程“信用卡門”：系統(tǒng)性風險還是偶然操作失誤？ 安全問題會成為互聯(lián)網(wǎng)時代的大問題，攜程信用卡門又一次警醒世人。 周末招商銀行的服務電話被人打爆了：很多用戶都在咨詢自己在攜程上做過交易是否需要凍結(jié)信用卡？很多人為了安全，選擇了先換卡，再凍結(jié)信用卡。另有一些用戶則在各社交圈子里稱“永遠不上攜程了”。 3月22日晚，漏洞報告平臺烏云網(wǎng)披露了攜程網(wǎng)安全漏洞信息，漏洞發(fā)現(xiàn)者“豬豬俠”稱由于攜程開啟了用戶支付服務接口的調(diào)試功能，支付過程中的調(diào)試信息可被任意黑客讀取。由于攜程安全支付日志可以下載，導致大量用戶銀行卡信息泄露，其中包含持卡人姓名身份證、銀行卡號、卡CVV碼、6位卡Bin等等。 為什么會出現(xiàn)這樣的情況？攜程相關(guān)負責人接受21世紀經(jīng)濟報道記者采訪時表示：經(jīng)查，攜程的技術(shù)開發(fā)人員之前是為了排查系統(tǒng)疑問，留下了臨時日志，因疏忽未及時刪除，目前，這些信息已被全部刪除。 某企業(yè)負責IT安全的人士向21世紀經(jīng)濟報道表示，利用目錄遍歷攻擊漏洞，攻擊者能夠超過服務器的根目錄，從而訪問到文件系統(tǒng)的其他部分，訪問受限制文件或資源，或者采取更危險行為。 另外，攜程可能違反了銀聯(lián)此前禁止記錄CVC碼的規(guī)定，有可能面臨重罰。 是非國際標準 在攜程上有信用卡支付經(jīng)歷的人都知道，初次使用時需提供信用卡卡種、卡號、有效期、CVV碼（即信用卡驗證碼）等一系列完整信息，然后提交支付。但第二次在攜程網(wǎng)使用這張信用卡時，只需提供卡號后四位，攜程網(wǎng)就會完成這次支付操作。 而CVV幾乎是核心信息：如果你把卡號、姓名以及有效期等全部報出，商家如何確認這一張卡確實就在用戶手中呢？判斷的標準就是能否報出CCV號碼。如果通過某種途徑截取了用戶的姓名身份證、銀行卡號、卡CVV碼等信息，最嚴重的后果就是憑借這些全卡信息再復制一張信用卡，在網(wǎng)上或者實體商戶消費。 事實上，關(guān)于留存CVV碼，各個市場執(zhí)行的標準并不一樣，比如在美國，Target、Bestbuy、亞馬遜等公司也要求在信用卡支付時留存CVV碼，但在中國，銀聯(lián)要求信用卡支付不能留存CVV碼。 安全一直是互聯(lián)網(wǎng)時代的一個大問題。2006年為了應對支付安全， visa、mastercard、American Express、Discover Financial Services、JCB這全球五大國際卡組織一起創(chuàng)辦了PCI安全標準委員會，并制定了一套保護持卡人數(shù)據(jù)的技術(shù)和操作的基本安全要求措施，即PCI DSS標準。 北京航天億展科技有限公司是PCI DSS在中國的合作伙伴，該公司于2007年與VISA及建行等將該標準體系引入國內(nèi)。 航天億展的工作人員對記者表示，PCI DSS是對于支付網(wǎng)關(guān)的安全方面作出標準要求，包括安全管理、策略、過程、網(wǎng)絡體系結(jié)果等等。據(jù)介紹，目前國外按照商戶年交易量分為四個等級。第一等級是年交易量在600萬筆以上的商戶必須接入此系統(tǒng)；第二等級為年交易量100萬至600萬筆，第三等級為年交易量在100萬至200萬筆，第二等級及第三等級的商戶可以請相關(guān)的人員到公司去做商務合規(guī)，合規(guī)商戶會拿到相關(guān)報告；第四等級則是年交易量在2萬筆，并不強制規(guī)定。 目前，南航、網(wǎng)銀在線、支付寶、快錢及銀聯(lián)等多家公司及第三方支付公司已經(jīng)接入該認證。航天億展的工作人員告訴記者，比如支付寶引入該系統(tǒng)，就要求與其接入的大商戶都要做PCI DSS認證，“我們的規(guī)范會每隔一段時間就更新。” 而在線旅游網(wǎng)站中，只有去哪兒已經(jīng)引入該認證標準。上述工作人員告訴記者，此前攜程曾有意向接入該系統(tǒng)，但是公司工作人員去考察之后發(fā)現(xiàn)，攜程系統(tǒng)要整改難度太大，業(yè)務種類多且交叉多，如果按照該系統(tǒng)接入而整改會使架構(gòu)都會有所變化。 “并非攜程不想做，而是本身技術(shù)條件限制，這個在PCI里也有規(guī)定的，可以申請?zhí)嘏！倍鴮τ跀y程是否做了商務合規(guī)，上述工作人員表示并不清楚。 而攜程方則回應記者稱，該系統(tǒng)并不是強制性的系統(tǒng)，在攜程看來，該系統(tǒng)與是否進行網(wǎng)上支付沒有任何關(guān)聯(lián)度，只是商業(yè)認證資質(zhì)，并不是行業(yè)準入標準，并不能代表任何問題。“就像如果我是做食品的企業(yè)，我沒有ISO9000的認證，就能說我不安全么？” 是系統(tǒng)性還是偶然性操作失誤？ 攜程的問題究竟是系統(tǒng)性失誤還是偶然操作失誤？ 攜程IT系統(tǒng)完全自建，因為這是一個面向新型互聯(lián)網(wǎng)業(yè)務的系統(tǒng)，十分復雜且超前，超出IBM、SAP、Oracle等傳統(tǒng)IT廠商的經(jīng)驗。攜程相關(guān)負責人解釋說：攜程IT系統(tǒng)中包括網(wǎng)站系統(tǒng)、在線交易系統(tǒng)、采購系統(tǒng)等子業(yè)務系統(tǒng)，從復雜性上來說，能與之比肩的唯有淘寶。 比淘寶更為復雜的是，這些系統(tǒng)需要將從航空公司、酒店集團、線下風景區(qū)等供應商那里采購來的產(chǎn)品即時打造成服務方案。先進就是生產(chǎn)力，上述相關(guān)負責人說，從某種意義說，攜程IT系統(tǒng)是攜程核心競爭力之一。 國內(nèi)類似電商公司大都自建IT系統(tǒng)，如淘寶、京東、凡客等。少部分公司采用引進，比如藝龍，就采用了大股東Expedia在國外的系統(tǒng)。經(jīng)過在中國市場長時間的實踐與磨合，才解決了水土不服的問題。上述負責人的意思很明顯，攜程出現(xiàn)的問題是偶然問題，非系統(tǒng)性故障。 攜程呼叫中心模式加大了偶然風險出現(xiàn)的幾率。一位不愿透露姓名的業(yè)內(nèi)人士告訴21世紀經(jīng)濟報道記者：電話中客服人員會口頭索要用戶的CVV碼，這種采用明碼支付的方式，上萬個坐席只要有一個想偷錢就會出現(xiàn)巨大的風險。 上述相關(guān)負責并不這樣認為：攜程輸入卡號、密碼、CVV碼等是通過語音留言系統(tǒng)進行，而不是明碼支付的方式，客服人員無法直接獲得上述信息。即使用戶擁有上述信息，盜刷信用卡判刑較嚴，違法成本很高。 上述業(yè)內(nèi)人士透露：2009年以前，攜程服務器并不留存用戶CVV碼，用戶每次購買機票，預定酒店都需要輸入CVV碼；2009年，當時的攜程CEO范敏為了簡化操作流程，優(yōu)化客戶體驗，拍板決定在攜程服務器上留存CVV碼。 上述消息人士說，攜程現(xiàn)任CEO梁建章上任之后，一心發(fā)展攜程移動互聯(lián)網(wǎng)及互聯(lián)網(wǎng)業(yè)務，對于呼叫中心運營中的這一細微變化并不知情。