十一國(guó)慶假期即將來(lái)臨，9月12日起迎來(lái)了今年第一個(gè)網(wǎng)絡(luò)訂票高峰，12306網(wǎng)站再次成為民眾矚目焦點(diǎn)。今日，有安全機(jī)構(gòu)曝出，12306網(wǎng)站的賬號(hào)密碼找回機(jī)制存在較嚴(yán)重的安全隱患，易被他人盜號(hào)，12306網(wǎng)站中記錄的大量個(gè)人及常用聯(lián)系人的身份證號(hào)、手機(jī)號(hào)碼等敏感信息，均存在泄露的風(fēng)險(xiǎn)。

附“WiFi安全實(shí)驗(yàn)之：盜取12306網(wǎng)站賬號(hào)”視頻鏈接：

金山毒霸聯(lián)合烏云網(wǎng)近日進(jìn)行了一次安全實(shí)驗(yàn)，安全工程師利用一部改造過(guò)固件可實(shí)現(xiàn)后臺(tái)監(jiān)聽的路由器，創(chuàng)建一個(gè)假冒運(yùn)營(yíng)商提供的免費(fèi)釣魚WiFi熱點(diǎn)“CMCC”。在人流量大的公共場(chǎng)所，很快就有數(shù)十人的移動(dòng)設(shè)備自動(dòng)連接上此釣魚WiFi，而此時(shí)他們的上網(wǎng)信息均可被監(jiān)聽，包括電子郵箱的賬戶名和密碼均可以明文獲取！

實(shí)驗(yàn)發(fā)現(xiàn)，用獲取到的郵箱賬號(hào)和密碼登錄，可直接進(jìn)入郵箱，隨意瀏覽郵件內(nèi)容和文檔。國(guó)內(nèi)幾乎所有郵箱服務(wù)全部淪陷！而郵箱往往綁定了社交、網(wǎng)購(gòu)等許多重要的網(wǎng)絡(luò)服務(wù)，攻擊者破解郵箱之后，還可以進(jìn)一步威脅網(wǎng)民其他的信息和資產(chǎn)安全。

在上述實(shí)驗(yàn)中，某網(wǎng)民的新浪郵箱就注冊(cè)了12306網(wǎng)站，工程師通過(guò)郵箱順利找回了賬戶密碼并成功登錄。12306網(wǎng)站中記錄的用戶真實(shí)的姓名、身份證號(hào)、手機(jī)號(hào)碼，以及大量的常用聯(lián)系人的真實(shí)信息，均遭到了泄露。別有用心的攻擊者利用這些身份信息、親屬關(guān)系，還可以破解更多帳號(hào)和服務(wù)，引發(fā)鏈?zhǔn)叫?yīng)，甚至進(jìn)行電信詐騙！

圖注：12306網(wǎng)站賬號(hào)被盜流程圖

其實(shí)，不僅12306網(wǎng)站，許多其他網(wǎng)絡(luò)服務(wù)都具有通過(guò)注冊(cè)郵箱找回密碼的機(jī)制。在上述實(shí)驗(yàn)中，工程師利用這個(gè)方法還成功登錄了網(wǎng)民的亞馬遜賬戶，可以查看他的所有購(gòu)物歷史記錄和收貨地址。但是，一些超級(jí)敏感和重要的網(wǎng)絡(luò)服務(wù)，比如支付寶，就采用了雙重或者多重驗(yàn)證的更加安全的機(jī)制，找回密碼不僅需要注冊(cè)郵箱，還需要手機(jī)短信驗(yàn)證碼等信息。

鑒于12306網(wǎng)站用戶量巨大，還記錄著個(gè)人及親屬的大量真實(shí)且敏感的信息，金山毒霸安全專家認(rèn)為其現(xiàn)有的安全機(jī)制還存在提升的空間，提供了三點(diǎn)建議：第一，找回密碼需要手機(jī)驗(yàn)證碼等其他輔助驗(yàn)證機(jī)制；第二，身份證號(hào)、手機(jī)號(hào)等信息部分展示，中間變成“*”，只顯示前后4位；第三，登錄時(shí)進(jìn)行數(shù)字證書驗(yàn)證，登錄地點(diǎn)異常時(shí)，需要手機(jī)短信驗(yàn)證。

安全專家還建議普通網(wǎng)民，盡量不要使用來(lái)歷不明的公共WiFi，更不要在連接公共WiFi的時(shí)候使用電子郵箱、網(wǎng)購(gòu)、網(wǎng)銀等關(guān)鍵的網(wǎng)絡(luò)服務(wù)；家中的路由器后臺(tái)和WiFi連接密碼也應(yīng)設(shè)置得復(fù)雜一些，減少被惡意攻擊和劫持的可能性；建議使用路由管理大師等工具免除被蹭網(wǎng)的風(fēng)險(xiǎn)。