5亿条华住会员数据黑市叫卖
汉庭、桔子、全季等几乎被一网打尽 身份证、登录密码、开房时间全部“裸奔”
IT时报记者郝俊慧章蔚玮
　　华住旗下酒店的客户信息又遭泄露，这次，是5亿条。
　　8月28日，白帽子微信公众号“威胁猎人”和“紫豹科技”先后发布消息称，早上6点，监测到有人在暗网黑市公开出售华住旗下多个连锁酒店开房信息数据，共有53G，总数约5亿条记录（期间可能存在交叉重复），标价为8个比特币，约等于37万人民币左右。
　　为了取信买家，“黑市卖家”放出一个10000条数据的测试包，几经周折，《IT时报》记者获得了这份测试数据，并拨打了多条数据显示的电话，其中多人向记者确认，自己确实在该数据中提及的时间点住过华住旗下酒店，并给出了具体的酒店名称。“该份数据的真实性非常高。”安全专家表示，此次的数据泄露很可能是近5年内国内最大最严重的个人信息泄露事件。也有人怀疑，华住之所以被拖库（整个数据库都被黑客复制），是有内鬼违规将关键数据库信息上传到全球公开的程序员论坛Github上。
　　8月28日下午，上海警方宣布，已介入调查。
5年内最大规模数据泄露
　　28日早上6点，一位ID名为helen250的用户在暗网发帖，出售华住旗下酒店入住用户数据包。从出售贴上发布的信息看，目前被泄露的信息包括：华住官网注册资料，包括姓名、手机号、邮箱、身份证号、登录密码等，大约1.23亿条记录；酒店入住登记身份信息，包括姓名、身份证号、家庭住址、生日、内部ID号，约1.3亿人身份证信息；酒店开房记录，包括内部ID号、同房间关联号、姓名、卡号、手机号、邮箱、入住时间、离开时间、酒店ID号、房间号、消费金额等，约2.4亿条记录，加起来共约5亿条记录。
　　华住集团是国内第一家多品牌酒店集团，根据其官网显示，自2005年创立以来已在中国拥有3817家酒店,酒店品牌覆盖高中低端市场，美爵、VUE、禧玥、诺富特、美居、漫心、全季、桔子水晶、桔子精选、CitiGO、星程、宜必思尚品及大众市场的宜必思、汉庭优佳、汉庭、怡莱、海友等。此次的泄露几乎将华住集团所有酒店数据一网打尽。
　　根据华住的官方信息，华住会的会员在全球超过1亿。在国内，每10几个人中就有1个是华住用户。“威胁猎人”运营方深圳永安在线科技有限公司创始人CEO毕裕告诉《IT时报》记者，根据卖家提供的10000条测试数据，“威胁猎人”用手头已有一些旧数据库进行了交叉验证，结果显示，此次测试的数据绝大多数是新泄露的数据，可以排除卖家在用老数据欺诈买家。
　　毕裕告诉记者，他们正在对信息泄露的源头进行测试，看究竟是哪些漏洞导致数据库被拖，目前已有几个推测的方向，但最终确认还需要一定时间。
是程序员失误？还是内鬼故意为之？
　　8月28日晚，专注于智能反网络犯罪的“紫豹科技”对记者表示，华住有GitHub项目敏感信息泄露导致被黑的可能，但暂时无法确认，需要华住通过日志审计的方式进行核实，推断依据是一个Github ID为DENGXIANGLONG001的程序员，曾在GitHub上传了一个名为CMS项目，项目的配置文件代码里包含了华住敏感的服务器及数据库信息。
　　GitHub是一个面向开源及私有软件项目的托管平台，程序员可以在上面快速进行代码分支，也有人将GitHub称为代码玩家的社交网络。从“紫豹科技”公布的信息来看，该数据库连接方式在20天前上传至GitHub，而卖家也在售卖信息中透露，该数据库是在8月14日被拖库。
　　此前，已经发生过不少起因程序员擅自把数据上传到GitHub，导致信息、数据泄露的事件，但考虑到此次事件的严重性和覆盖面之广，却并不能如此简单下结论。
　　根据奇虎科技有限公司旗下的安全公号“安全客”的追踪测试，被曝光的“疑似华住程序员”的Github用户在6月20号创建了账号，并在20天前创建了项目名“DENGXIANGLONG001/CMS酒店管理系统”项目，这一项目中应该包括了1.3亿用户信息的数据包。
　　但疑点在于，从6月20日至今，这个Github用户仅创建了这一个项目（目前，这个项目已经被删除），加上黑市售卖帖中提及：“如果权限不丢失，后续数据还可以免费发给已购买的大佬”，难免让人怀疑是否为有人蓄意上传后让人“拖库”。
　　下转第5版