2014年3月22日晚间，携程乌云漏洞平台上一则帖子炸开了锅——携程网支付日志接口存在严重漏洞，漏洞用户银行卡号、事件CVV码、分析支付密码等敏感信息在服务器日志中明文存储，携程且可被任意读取。漏洞这不是事件黑客炫技，而是分析携程自己把用户的钱包晾在了大街上。
漏洞的携程细节相当直白。携程将用户支付过程中的漏洞表单数据完整记录在日志文件里，包括卡号、事件持卡人姓名、分析有效期、携程CVV2码，漏洞甚至信用卡背面那三位数字都没落下。事件CVV码意味着什么？它等同于银行卡的“第二密码”，有了它，即使没有实体卡也能进行无卡交易。携程不是不知道这个常识，而是把日志当成了保险箱，忘了保险箱的门没锁。乌云报告称，攻击者只需知道服务器IP和端口，就能通过特定路径直接下载日志文件，无需任何权限验证。
更让人后背发凉的是时间线。漏洞最早可追溯至2013年6月，携程的日志系统持续记录用户支付信息长达九个月。九个月里，多少用户在这家平台上订过机票、酒店？按携程当年宣称的月活跃用户数估算，潜在受影响用户量级在千万以上。我身边就有朋友在那段时间用携程订过春节返乡机票，事后他查账单，发现信用卡在境外网站有多笔小额试探性消费——典型的盗刷前奏。虽然银行最终拒付，但那种被扒光衣服的无力感，他至今记得。
携程的应急响应堪称教科书式反面案例。漏洞曝光后，官方先是沉默数小时，随后发布简短声明称“已修复漏洞”，却对用户最关心的“是否有数据被窃取”避而不谈。直到媒体和用户压力发酵，才在第二天补发详细公告，承认存在日志泄露风险，建议用户更换银行卡。可这中间隔了整整24小时。24小时，足够黑客批量下载日志并转卖信息。更讽刺的是，携程在漏洞公布前已收到乌云平台的通知，却未能及时处理——一个日订单量百万级的OTA巨头，安全响应速度竟如此迟缓。
这起事件暴露的深层问题，比技术漏洞更扎眼。携程当时正处于移动端转型的关键期，产品迭代速度压倒一切，安全团队在技术部门内部话语权极低。有内部员工后来在匿名社区透露，支付日志接口是两年前由外包团队写的，代码评审时曾有人提出日志记录字段过多，但被“方便排查问题”的理由驳回。安全不是不能妥协，但把CVV码这种支付核心要素写进日志，已经超出了“过度记录”的范畴，属于基本安全常识的缺失。
事件之后，携程补上了漏洞，升级了加密体系，还引入了第三方安全审计。但用户信任的裂缝，没那么容易愈合。我查了下当年数据，漏洞曝光后一个月内，携程App的卸载率明显上升，部分用户转投艺龙、去哪儿。直到今天，仍有老用户对那次事件心有余悸——他们不是不愿用携程，而是不愿再赌一次运气。
说白了，这起事件不是孤例。电商、OTA平台把用户数据当资产，却忘了资产背后是活生生的人。技术上的漏洞可以修补，但把用户隐私当儿戏的心态不改变，下一个“携程”随时可能出现。你我都知道，互联网没有绝对安全，但至少不该把CVV码随手扔在日志里，等着人来捡。