华住酒店集团数据信息疑遭泄露的消息引发热议。媒体报道,在暗网世界,黑客出售华住酒店5亿条用户数据,包括注册信息、身份证信息以及开房记录等,售价为8个比特币(约5.6万美元)或520门罗币。

不过,客户信息外泄并估价待售的,并非只有华住酒店集团。

日前,有知情人士告诉《经鉴》(微信id:jingjian_news),就在华住集团发生数据泄露事件的同时,作为快递行业的巨头,顺丰也有超过3亿条数据疑似流出。经鉴》(微信id:jingjian_news)在“暗网交易市场”网站发现,一个ID为“bijiaodiao1688”的暗网用户在“暗网”售卖顺丰快递数据,其称掌握了顺丰快递客户数据总量高达3亿条,售价两个比特币。

1

登录信息显示,这位“bijiaodiao1688”的暗网用户,注册于2018年7月11日。“顺丰3亿条快递物流独家数据”帖文发布于2018年7月18日,交易采用比特币进行交易。信息记录显示,发布者最后在线时间为8月24日17时23分。

据发布者披露,这里的3亿条数据包括顺丰快递物流中,寄件人、收件人的姓名、地址、电话等个人信息,交易可以选择先“验货”,验货数据量10万条,验货费用0.01个比特币。

根据“暗网交易市场”的行情,0.01个比特币大约为66.66美元。目前,验货交易仍在进行。显示在总计100个出售总量中,已经成交了9次。

此外,据发布者披露,每一次验货交易的数据都是从3亿条数据中随机抽取。这也意味着,最多有90万条的疑似顺丰快递用户个人信息流向了市场。

《经鉴》(微信id:jingjian_news)从一位要求匿名的人士处获得了这次交易的10万条验货信息。在这10万条信息中,确实包含了姓名、地址、电话,也即快递必须的三样基础信息,但总量只有65000多条。

在这6万余条信息中,《经鉴》(微信id:jingjian_news)随机抽取条信息进行核验,在27个抽样样本中,所有地址都是真实存在的,且所有电话号码也均存在。

通过在线地图查询,上述27个样本显示的地址,也都在现实中存在。换句话说,没有明显证据表明,这些个人信息是不真实的。

通过数据分析,《经鉴》(微信id:jingjian_news)对省级地址进行了归类。分析发现,湖北省出现的次数最多,次数达到50011次;广东省次之,出现的次数达到8117次;江苏省以7446次排名第三。

2

这些数据是如何泄露的?为何在样本数据中,湖北省成了信息泄露的重灾区?《经鉴》(微信id:jingjian_news)注意到,2018年5月,湖北荆州市法院公布了一起顺丰数据泄露案件,涉及顺丰快递代理商及多名员工。

报道称:2017年4月,湖北省荆州市警方成功截断一个非法获取、贩卖及使用公民个人讯息的犯罪链。涉案人员分布在河北、湖北、内蒙古等地,有快递员、仓管员、安保经理、仓储代理商等。其犯罪过程是:首先由快递公司的仓管在内部客户讯息系统中查询客户快递讯息,每月提供4000多条,可赚8000多元人民币。然后,快递公司员工将讯息出卖,被用来推销伪劣保健品或假冒收藏品等。

此案中,涉嫌被泄漏公民到个人信息达千万余条,涉及金额高达200余万元。

这确实令人担忧,从千万余条的个人信息泄露,到暗网流传的疑似顺丰3亿条数据交易,顺丰快递的数据安全隐患到底有多大?

事实上,这并不是顺丰快递爆出的唯一一次信息泄露事件。远至2013年,顺丰在深圳福田总部,研发工程师严某利用职务之便,从顺丰公司数据库中直接导出客户个人信息,进行出售。从快递员到仓库管理员、仓储代理商,研发人员,顺丰信息泄露来源涉及到顺丰的不同系统模块。

就前述在“3亿条顺丰快递物流独家数据”发布10多天后,7月31日,这位id为“bijiaodiao1688”的暗网用户,再度发布出售顺丰数据的帖子。文中称:这些数据为顺丰2017年的数据,且是独家数据。

据报价,上述2000万条数据售价为0.5比特币(约合3500美元),购买者可支付0.1比特币(约704美元)验货。截至8月29日,该暗网用户已经完成3笔验货成交。按数据量级推算,最多有1200万条疑似顺丰数据流入市场。

3

那么,暗网标价出售的“3亿顺丰数据”是否来自顺丰?顺丰公司相关负责人在接受《经鉴》采访时表示,早在7月份,顺丰公司就已经关注到暗网用户发布的相关信息,并获识了相关数据。

顺丰上述负责人表示:经过他们核实,这些并不是顺丰的数据。

不过,虽然该负责人否认了这些外泄数据来自顺丰公司,但其并未说明到底来自哪里。按照顺丰上述负责人的说法,顺丰在获知上述数据的当月,即向深圳警方报案。但截至发稿,顺丰方面未能提供相关案件的最新进展。

8月30日下午,《经鉴》随机联系了近百个联系人,大部分人因各种原因未能受访,在愿意接受采访的16个人中,有15人承认是顺丰客户,地址电话姓名也基本吻合。

值得一提的是,2018年8月7日,顺丰发布公告称,全资子公司将参与大数据合资公司的设立,公告显示,大数据公司名称为广东数程科技有限公司,法定代表人为顺丰创始人王卫,注册资本为1亿人民币,主营互联网数据服务在内的相关业务。不难看出,通过“数据”挖掘金矿,仍然是顺丰快递的生意经。

只不过,若此次数据泄露属实,或对顺丰的数据商业化过程蒙上阴影。

声明:本文来自经鉴,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。