搜狐理财-搜狐网站 > 信用卡频道-提供信用卡最新资讯和信用卡产品查询的门户-搜狐理财 > 业界动态
银行 | 保险 | 黄金 | 外汇 | 期货

携程信用卡门:系统性风险还是偶然操作失误

来源:21世纪网-《21世纪经济报道》

  安全问题会成为互联网时代的大问题,携程信用卡门又一次警醒世人。

  周末招商银行的服务电话被人打爆了:很多用户都在咨询自己在携程上做过交易是否需要冻结信用卡?很多人为了安全,选择了先换卡,再冻结信用卡。另有一些用户则在各社交圈子里称“永远不上携程了

”。

  3月22日晚,漏洞报告平台乌云网披露了携程网安全漏洞信息,漏洞发现者“猪猪侠”称由于携程开启了用户支付服务接口的调试功能,支付过程中的调试信息可被任意黑客读取。由于携程安全支付日志可以下载,导致大量用户银行卡信息泄露,其中包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin等等。

  为什么会出现这样的情况?携程相关负责人接受21世纪经济报道记者采访时表示:经查,携程的技术开发人员之前是为了排查系统疑问,留下了临时日志,因疏忽未及时删除,目前,这些信息已被全部删除。

  某企业负责IT安全的人士向21世纪经济报道表示,利用目录遍历攻击漏洞,攻击者能够超过服务器的根目录,从而访问到文件系统的其他部分,访问受限制文件或资源,或者采取更危险行为。

  另外,携程可能违反了银联此前禁止记录CVC码的规定,有可能面临重罚。

  是非国际标准

  在携程上有信用卡支付经历的人都知道,初次使用时需提供信用卡卡种、卡号、有效期、CVV码(即信用卡验证码)等一系列完整信息,然后提交支付。但第二次在携程网使用这张信用卡时,只需提供卡号后四位,携程网就会完成这次支付操作。

  而CVV几乎是核心信息:如果你把卡号、姓名以及有效期等全部报出,商家如何确认这一张卡确实就在用户手中呢?判断的标准就是能否报出CCV号码。如果通过某种途径截取了用户的姓名身份证、银行卡号、卡CVV码等信息,最严重的后果就是凭借这些全卡信息再复制一张信用卡,在网上或者实体商户消费。

  事实上,关于留存CVV码,各个市场执行的标准并不一样,比如在美国,Target、Bestbuy、亚马逊等公司也要求在信用卡支付时留存CVV码,但在中国,银联要求信用卡支付不能留存CVV码。

  安全一直是互联网时代的一个大问题。2006年为了应对支付安全, visa、mastercard、American Express、Discover Financial Services、JCB这全球五大国际卡组织一起创办了PCI安全标准委员会,并制定了一套保护持卡人数据的技术和操作的基本安全要求措施,即PCI DSS标准。

  北京航天亿展科技有限公司是PCI DSS在中国的合作伙伴,该公司于2007年与VISA及建行等将该标准体系引入国内。

  航天亿展的工作人员对记者表示,PCI DSS是对于支付网关的安全方面作出标准要求,包括安全管理、策略、过程、网络体系结果等等。据介绍,目前国外按照商户年交易量分为四个等级。第一等级是年交易量在600万笔以上的商户必须接入此系统;第二等级为年交易量100万至600万笔,第三等级为年交易量在100万至200万笔,第二等级及第三等级的商户可以请相关的人员到公司去做商务合规,合规商户会拿到相关报告;第四等级则是年交易量在2万笔,并不强制规定。

  目前,南航、网银在线、支付宝、快钱及银联等多家公司及第三方支付公司已经接入该认证。航天亿展的工作人员告诉记者,比如支付宝引入该系统,就要求与其接入的大商户都要做PCI DSS认证,“我们的规范会每隔一段时间就更新。”

  而在线旅游网站中,只有去哪儿已经引入该认证标准。上述工作人员告诉记者,此前携程曾有意向接入该系统,但是公司工作人员去考察之后发现,携程系统要整改难度太大,业务种类多且交叉多,如果按照该系统接入而整改会使架构都会有所变化。

  “并非携程不想做,而是本身技术条件限制,这个在 PCI里也有规定的,可以申请特批。”而对于携程是否做了商务合规,上述工作人员表示并不清楚。

  而携程方则回应记者称,该系统并不是强制性的系统,在携程看来,该系统与是否进行网上支付没有任何关联度,只是商业认证资质,并不是行业准入标准,并不能代表任何问题。“就像如果我是做食品的企业,我没有ISO9000的认证,就能说我不安全么?”

  是系统性还是偶然性操作失误?

  携程的问题究竟是系统性失误还是偶然操作失误?

  携程IT系统完全自建,因为这是一个面向新型互联网业务的系统,十分复杂且超前,超出IBM、SAP、Oracle等传统IT厂商的经验。携程相关负责人解释说:携程IT系统中包括网站系统、在线交易系统、采购系统等子业务系统,从复杂性上来说,能与之比肩的唯有淘宝。

  比淘宝更为复杂的是,这些系统需要将从航空公司、酒店集团、线下风景区等供应商那里采购来的产品即时打造成服务方案。先进就是生产力,上述相关负责人说,从某种意义说,携程IT系统是携程核心竞争力之一。

  国内类似电商公司大都自建IT系统,如淘宝、京东、凡客等。少部分公司采用引进,比如艺龙,就采用了大股东Expedia在国外的系统。经过在中国市场长时间的实践与磨合,才解决了水土不服的问题。上述负责人的意思很明显,携程出现的问题是偶然问题,非系统性故障。

  携程呼叫中心模式加大了偶然风险出现的几率。一位不愿透露姓名的业内人士告诉21世纪经济报道记者:电话中客服人员会口头索要用户的CVV码,这种采用明码支付的方式,上万个坐席只要有一个想偷钱就会出现巨大的风险。

  上述相关负责并不这样认为:携程输入卡号、密码、CVV码等是通过语音留言系统进行,而不是明码支付的方式,客服人员无法直接获得上述信息。即使用户拥有上述信息,盗刷信用卡判刑较严,违法成本很高。

  上述业内人士透露:2009年以前,携程服务器并不留存用户CVV码,用户每次购买机票,预定酒店都需要输入CVV码;2009年,当时的携程CEO范敏为了简化操作流程,优化客户体验,拍板决定在携程服务器上留存CVV码。

  上述消息人士说,携程现任CEO梁建章上任之后,一心发展携程移动互联网及互联网业务,对于呼叫中心运营中的这一细微变化并不知情。

点击进入【股友会】参与讨论


money.sohu.com true 21世纪网-《21世纪经济报道》 https://money.sohu.com/20140325/n397149324.shtml report 3919 安全问题会成为互联网时代的大问题,携程信用卡门又一次警醒世人。周末招商银行的服务电话被人打爆了:很多用户都在咨询自己在携程上做过交易是否需要冻结信用卡?很多人为
(责任编辑:廖廖)

我要发布

  • 热点视频
  • 影视剧
  • 综艺
  • 原创
锦绣缘

同步热播-锦绣缘

主演:黄晓明/陈乔恩/乔任梁/谢君豪/吕佳容/戚迹
神雕侠侣

大结局-神雕侠侣

主演:陈晓/陈妍希/张馨予/杨明娜/毛晓彤/孙耀琦
封神英雄榜

同步热播-封神英雄榜

主演:陈键锋/李依晓/张迪/郑亦桐/张明明/何彦霓

六颗子弹

主演:尚格·云顿/乔·弗拉尼甘/Bianca Bree
龙虎少年队2

龙虎少年队2

主演:艾斯·库珀/ 查宁·塔图姆/ 乔纳·希尔

《奔跑吧兄弟》

baby14岁写真曝光

《我看你有戏》

李冰冰向成龙撒娇争宠

《明星同乐会》

李湘遭闺蜜曝光旧爱

《非你莫属》

美女模特教老板走秀

《一站到底》

曝搬砖男神奇葩择偶观

搜狐视频娱乐播报

柳岩被迫成赚钱工具

大鹏嘚吧嘚

大屁小P虐心恋

匆匆那年第16集

匆匆那年大结局

隐秘而伟大第二季

乔杉遭粉丝骚扰

The Kelly Show

男闺蜜的尴尬初夜

我来说两句排行榜

客服热线:86-10-58511234

客服邮箱:kf@vip.sohu.com