携程漏洞事件

2014年3月22日晚，携程乌云漏洞平台上一则帖子炸开了锅——携程旅行网支付日志存在漏洞，漏洞用户银行卡信息可被任意读取。事件这不是携程危言耸听，漏洞细节写得明明白白：携程将用户支付过程中的漏洞日志信息，包括卡号、事件CVV码、携程有效期，漏洞明文存储在服务器上，事件且未做任何访问限制。携程

我第一时间去翻了携程的漏洞回应。最初他们否认，事件说“系统不存在漏洞”。携程但乌云平台随后放出截图，漏洞携程才改口称“已经修复”。事件这种先否认再承认的套路，在安全圈见得太多了。真正让人后背发凉的是漏洞本身——CVV码，那个印在卡背面、银行反复强调“绝不要告诉任何人”的三位数，居然被携程明文记录在案。CVV码意味着什么？意味着只要拿到卡号、有效期和CVV，就能在网上完成无卡交易，根本不需要实体卡。

携程当时拥有超过8000万注册用户，日均交易额数亿元。这次漏洞影响范围有多大？携程官方称“仅影响3月21日之前的少量用户”，但安全研究者私下测算，按照携程的日交易量，即便只有部分用户受影响，涉及人数也可能以万计。更讽刺的是，携程早在2013年就通过了PCI-DSS（支付卡行业数据安全标准）认证，这个标准的核心要求之一就是“禁止存储CVV码”。

我认识一位当时在携程做开发的工程师，他私下跟我说，那套支付日志系统是老代码，从2012年就上线了，一直没人管。日志本来是为了排查问题用的，结果把所有敏感字段一股脑全打了进去。开发图省事，运维没检查，安全团队形同虚设——这是典型的“三不管”地带。他后来离职了，走之前跟我说：“那代码就像定时炸弹，炸只是时间问题。”

事件发酵后，携程股价两天内下跌了约8%，市值蒸发数十亿人民币。但更严重的后果是用户信任崩塌。当时微博上有个热门话题#携程泄密#，大量用户晒出自己解绑银行卡、注销携程账号的截图。有个用户写道：“我用了携程五年，累计消费十几万，现在想想自己卡号密码可能都在别人手里，浑身发冷。”

这事过去快十年了，携程后来加强了安全建设，但每次有新的数据泄露新闻出来，老用户总会想起2014年那个三月。支付安全不是靠一纸认证就能保证的，它需要每一个环节的人都把“不存CVV”当回事。技术上的漏洞可能很快补上，但信任的裂缝，往往需要很长时间才能愈合。

(责任编辑：休闲)