每經記者 孟慶建 發自深圳
昨日（12月25日）上午，據烏雲漏洞平臺曝料，大量中國鐵路客服中心12306用戶數據在互聯網上被瘋傳販售，泄露資料包括用戶賬號、明文密碼、身份證、郵箱等敏感信息，目前尚不清楚這些數據是從何途徑泄露的。
據該漏洞曝料者、名為“追尋”的白帽子披露，這批12306數據先是在網上售賣，目前已變成公開傳播。對此，中國鐵路客戶服務中心回應稱，“經我網站認證審核，網上泄露的用戶信息系經其他網站或渠道流出”，並提醒勿用搶票軟件。目前，公安機關已經介入調查。
《每日經濟新聞》記者從瑞星互聯網攻防實驗室獲悉，目前已經獲得該文件完整信息，14MB（兆）大小的文件中，泄露信息約有131653條，且用戶信息100%真實有效。同時，瑞星披露，在對12306網站安全監測時，發現6個子網站存在Struts2遠程監控漏洞，利用子網站入侵主站是一種慣用手段，但因權限問題不能確認泄密路徑。
13萬條真實信息遭泄露
記者從烏雲平臺獲悉，這則關於12306網點的漏洞報告，危害等級顯示為“高”，漏洞類型則是“用戶資料大量泄漏”。報告描述在互聯網上瘋傳的信息，包括用戶賬號、姓名、明文密碼、身份證號碼以及郵箱等。泄漏途徑未知，漏洞已經提交給了國家互聯網應急中心進行處理。
據瑞星完整獲取的遭到泄密的資料顯示，在14MB大小、名為《12306郵箱-密碼-姓名-身份證-手機（售後群31109xxxx）.txt》的文件中，泄露信息有131653條，且用戶信息100%真實有效。
瑞星高級工程師唐威向 《每日經濟新聞》記者介紹，“13萬條用戶數據或許只是冰山一角，瑞星同時獲取了另外一份疑似12306網站的泄露文件，目前正在檢測，該文件大小為22GB（千兆）。如果信息確認是用戶數據，初步推算泄密人數約為2億，不排除有人利用泄露信息獲利的可能。”不過，截至記者發稿時，這些文件信息尚未得到確認。
中國鐵路總公司相關人士表示，12306網站為中國鐵路總公司信息技術中心主管，鐵總歷年均強調旅客不要使用第三方搶票軟件進行惡意刷票，但目前經12306網站所出車票有80%是通過搶票軟件實現的，且該比例還在不斷提升。
中國鐵路客戶服務中心也提醒旅客，不要使用第三方搶票軟件購票，或委托第三方網站購票，以防止個人身份信息外泄。部分第三方網站開發的搶票軟件中，有捆綁式銷售保險功能。
6個子網站存漏洞
根據瑞星互聯網攻防實驗室研究，信息泄露可能有三條路徑：一是12306網站自身出現問題；二是第三方搶票軟件或插件出現信息漏洞；三是黑客用“撞庫”的方式獲取這部分用戶信息。
“撞庫”是指黑客采用此前其他平臺泄露的用戶信息，用自動化程序在12306大量登錄實驗，有相同賬號和密碼成功登錄即可獲取更多用戶信息。
“國內互聯網公司大多出現過信息泄露事件，發生‘撞庫’並不意外。”唐威表示，瑞星在對12306網站安全監測時發現，12306主網站下屬包括南方貨物快運服務站、東北貨物快運服務站等6個子網站發現了Struts2漏洞，利用該漏洞入侵者可以獲取子網站管理員權限，並可以通過惡意代碼控制子網站服務器對主站進行跳板入侵獲取信息。
唐威進一步表示，“可以肯定的是漏洞存在，控制子網服務器入侵主網站也是黑客慣用手段，理想狀態下可以通過該漏洞取得用戶信息，但是因權限不允許測試，瑞星也不能確定這是信息泄密的路徑。”
2013年7月17日，烏雲漏洞報告平臺、SCANV網站安全中心等安全機構紛紛發出紅色警報：Struts2再曝高危漏洞，該漏洞影響到Struts2.0-2.3.15版本，可直接導致服務器被遠程控制，引起數據泄露。蘋果、淘寶、京東、民生銀行在內的多家公司及金融機構網站查出該漏洞。
彼時，國內網站安全服務商SCANV.COM確認，攻擊者可以利用該漏洞，執行惡意Java代碼，最終導致網站被完全入侵控制。
安全專家提示，12306網站數據泄露有可能出現衍生風險：郵箱被“撞庫”，更多個人信息因此被盜，手機號、身份證號被泄露，甚至包含親友信息。
據唐威介紹，泄露文件中大部分用戶采用了QQ郵箱和163郵箱作為賬號，如果購票明文密碼與QQ一致，黑客同樣可以采用“撞庫”的方式登錄QQ或者微信，容易造成更大損失，因此提醒12306用戶盡快重設相關賬戶登錄密碼，保護信息安全。