快遞公司數據庫被曝存漏洞 致用戶資訊洩露
- 發佈時間：2014-08-11 08:10:55 來源：京華時報 責任編輯：書海
京華時報訊(記者顧夢琳)昨天，央視《每週品質報告》報道顯示，今年3月份，杭州市下沙經濟開發區的一家快遞公司的負責人發現，有人在網上公開買賣他們公司快遞單上的資訊，而且銷售量還很大。而經警方調查發現，是一名在校學生在做網路安全測試時發現快遞公司或者是其他公司的一些安全漏洞，從中提取個人資訊並進行了網路售賣。
據該案件嫌疑人介紹，有些快遞公司網站的數據庫存在一些比較低級的漏洞，比如弱密碼漏洞、上傳漏洞等等，成功通過漏洞進入網站後臺後，可以通過上傳後門文件，獲取到數據庫的訪問許可權。若將後門偽裝，即可源源不斷地獲取更新數據。
值得注意的是，此前快遞行業就多次曝出存在單號買賣現象。據記者了解，一條快遞單資訊的流轉往往要經過很多環節，環節、快遞員、快遞公司內部人員、派送環節、收件端都存在資訊洩露風險。對於快遞單據的用戶資訊，電子數據庫中的數據將會定期清理，而實體面單則是每天進行封存，在確定數量無誤且沒有投訴資訊(一般留存一年)之後，過期的面單將在郵政監管部門的監督下備案並送往造紙企業銷毀，一般是對快遞單進行粉碎造紙漿、再生紙的無害化處理。
而根據今年3月開始執行的《北京快遞安全管理辦法》，出現洩露、倒賣用戶資訊的快遞企業將被處以最高3萬元的罰款，相關網點有可能被吊銷營業執照。
昨天，瑞星安全專家唐威向記者建議，快遞公司的數據庫一定要做好定期銷毀，並且在網站的搭建上應做好安全防範工作，並對網站、入口進行全面安全檢測。“像上述案件中出現的密碼漏洞、上傳漏洞等，如果網站運營負責人做過安全檢測，一定能夠發現”。唐威稱，許多中小型物流公司對資訊安全不夠重視，因此也常常成為駭客攻擊的對象。物流公司應當做好防護工作，並在運營機制的設立上考慮安全性問題，如對不同的管理人員設定不同的訪問許可權。
