12306数据泄露

2019年12月，一个ID叫“deepdark”的数据泄露人在某个境外论坛发帖，标题直接写着“12306 60万用户数据出售”。数据泄露帖子内容不长，数据泄露附了几张打码截图——姓名、数据泄露身份证号、数据泄露手机号、数据泄露邮箱，数据泄露甚至还有明文密码。数据泄露标价20美元，数据泄露支持比特币。数据泄露当时我正好在翻这个论坛的数据泄露爬虫数据，第一反应是数据泄露：这格式不对。12306的数据泄露数据库字段命名习惯不是这样的，截图里的数据泄露表头像是从别处拼凑的。

但接下来几天，陆续有人真的去验证了。几个安全圈的朋友拿自己的账号试了试，发现部分手机号和邮箱确实能对上。这就麻烦了——哪怕只有10%的真实性，也意味着至少几万人的信息已经躺在了黑产数据库里。12306官方在12月31日发了个声明，说“网传信息不实，系第三方抢票软件泄露”。这个回应很有意思。它没完全否认数据泄露，而是把锅甩给了第三方。技术上讲，这个逻辑链条是成立的：你用过某抢票软件，输了账号密码，软件存了你的信息，然后软件被脱库了。但用户不买账——我信任的是你12306，第三方软件能拿到我的密码，难道不是因为你没有做好接口隔离？

我后来花了点时间，把泄露样本和12306的注册流程做了个对比。发现一个细节：泄露数据里的邮箱字段，很多是QQ邮箱和163邮箱，格式规范，但密码字段的哈希算法明显是MD5——而12306早在2016年就换成了加盐的SHA-256。这说明什么？泄露的很可能不是12306主库，而是某个第三方抢票平台在2014–2015年间存储的旧数据。那几年抢票软件野蛮生长，很多小团队直接用明文或MD5存密码。一旦其中一家被攻破，数据就被打包出售。但问题在于，用户没法分辨。你的身份证号是真的，手机号是真的，密码可能也是你常用的那个——你只会觉得“12306泄露了”。

“我用了十年12306，从来没丢过东西。但那次之后，我改了所有关联邮箱的密码。”——一个在铁路系统工作的朋友原话

这件事最让我不舒服的地方，不是技术漏洞，而是责任边界模糊。第三方抢票软件为什么能拿到你的12306账号密码？因为它们模拟登录，让你手动输入。这在技术上叫“中间人”，你自愿把凭证交给了第三方。12306没有开放官方OAuth，用户只能把密码给出去。所以一旦第三方出事，12306可以说“不是我泄露的”，第三方可以说“我们也是受害者”。最后用户自己承担所有风险。2020年之后，12306上线了“候补购票”功能，官方抢票，不需要第三方了。这算是从产品层面堵住了漏洞。但那些已经泄露的数据呢？它们还在暗网上流转，几毛钱一条，打包卖。

我去年在一个数据泄露查询网站输入了自己的手机号，结果显示“曾出现在2019年12306相关泄露事件中”。我盯着那个结果看了几秒，然后关掉了页面。没有改密码，因为那个密码我早就不用了。但身份证号改不了。这就是现实：一次泄露，终身携带。你只能指望那些数据贩子别拿你的信息去注册网贷。至于12306本身，它后来做了很多补救——双因素认证、设备锁、异常登录提醒。但信任这东西，碎了就是碎了。我现在买票只用官方App，不装任何抢票插件。不是因为我多懂安全，是因为我怕了。

说回那个“deepdark”。他在论坛上活跃了不到一周就消失了。帖子被删，账号注销。有人猜他是某安全公司的实习生，拿内部数据练手；也有人说是黑产团伙的烟雾弹，真实数据量远不止60万。我没法验证。唯一确定的是，那段时间我的邮箱里多了十几封“您的账号存在异常登录”的钓鱼邮件，发件人伪装成12306。点进去，页面做得跟真的一模一样。你看，数据泄露的次生灾害，往往比泄露本身更烦人。