多地社保信息漏洞六成仍未修復(fù) 黑客竊取痕跡難覓

　　針對(duì)《經(jīng)濟(jì)參考報(bào)》報(bào)道，人社部回應(yīng)稱已要求涉事地區(qū)排查隱患

　　多地社保信息漏洞六成仍未修復(fù)

　　專家稱黑客竊取信息痕跡難覓，需建立信息安全責(zé)任制

　　□記者 楊燁 李唐寧 周蕊 北京 上海報(bào)道

　　《經(jīng)濟(jì)參考報(bào)》22日?qǐng)?bào)道，目前重慶、上海、山西、沈陽(yáng)、貴州、河南等省市衛(wèi)生和社保系統(tǒng)出現(xiàn)大量高危漏洞，數(shù)千萬(wàn)用戶的社保信息可能因此被泄露。記者日前采訪獲悉，目前，40%的漏洞已經(jīng)修復(fù)，但仍有涉及超過千萬(wàn)居民的數(shù)據(jù)漏洞未能修復(fù)。

　　記者從補(bǔ)天漏洞響應(yīng)平臺(tái)獲得的數(shù)據(jù)顯示，從2014年4月以來，涉及居民社保信息泄露的報(bào)告達(dá)46個(gè)，其中高危44個(gè)，至少涉及江蘇、陜西、四川、浙江、山西等多個(gè)省份，涉及人員高達(dá)5200萬(wàn)。截至22日，多省市社保系統(tǒng)已對(duì)漏洞進(jìn)行修復(fù)。根據(jù)補(bǔ)天平臺(tái)排查的數(shù)據(jù)顯示，40%的漏洞已經(jīng)修復(fù)，但還有部分省市社保系統(tǒng)未能修復(fù)，其中超過千萬(wàn)居民的相關(guān)信息漏洞至今未修復(fù)。

　　人力資源和社會(huì)保障部副部長(zhǎng)胡曉義23日回應(yīng)稱，已要求涉事地區(qū)排查隱患。確實(shí)存在漏洞的，要在第一時(shí)間采取措施，予以封堵。同時(shí)，從目前的監(jiān)控情況看，全國(guó)社保系統(tǒng)總體運(yùn)行平穩(wěn)，未發(fā)現(xiàn)公民個(gè)人信息泄露事件。

　　“與互聯(lián)網(wǎng)企業(yè)相比，政府機(jī)構(gòu)網(wǎng)站的信息安全漏洞都非常低級(jí)，不應(yīng)該出現(xiàn)。”記者通過多個(gè)渠道聯(lián)系到了幾位提交社保漏洞的“白帽子”，他們表示，這些漏洞大多為SQL注入或者弱口令等初級(jí)安全問題，只要稍有技術(shù)基礎(chǔ)的人利用專門的工具就可以獲取信息，而這些專門的工具很多，在網(wǎng)上搜索就能夠下載。

　　來自烏云漏洞報(bào)告平臺(tái)的數(shù)據(jù)顯示，該平臺(tái)從2011年以來提交的社會(huì)保障、醫(yī)保和公積金類的信息泄露名單，數(shù)量高達(dá)近200個(gè)，至少涉及20個(gè)省份，事實(shí)上，多地社保部門在漏洞發(fā)現(xiàn)后的數(shù)月間，沒有采取任何行動(dòng)，有的至今未修復(fù)漏洞。比如，涉及345萬(wàn)人的湖北省十堰市社保某系統(tǒng)泄露社保信息問題、涉及428萬(wàn)人的四川省內(nèi)江市社保某系統(tǒng)泄露參保1398家企業(yè)單位的員工社保信息問題，都屬于通過簡(jiǎn)單操作就能修復(fù)，但從今年1月漏洞被發(fā)現(xiàn)至今，均未做任何修復(fù)。

　　在人社部回應(yīng)之外，接受記者采訪的多位專家紛紛表示，這些漏洞的存在就像是敞開的大門，讓不法分子可以輕易竊取隱私信息。中國(guó)計(jì)算機(jī)學(xué)會(huì)計(jì)算機(jī)安全專業(yè)委員會(huì)主任嚴(yán)明告訴《經(jīng)濟(jì)參考報(bào)》記者，大多數(shù)信息泄露時(shí)是沒有破壞原有數(shù)據(jù)的。攻擊者竊取數(shù)據(jù)時(shí)也經(jīng)常是想要竭力做到“來無影去無蹤”，而數(shù)字化信息的特點(diǎn)就是易于復(fù)制和編輯，易于傳輸，黑客完全可能做到不被發(fā)現(xiàn)的竊取信息。類似漏洞爆出之后，管理者即使將漏洞彌補(bǔ)，但之前已經(jīng)泄露的信息往往難于追回、銷毀，甚至可能對(duì)是否有人曾經(jīng)入侵過都不得而知，直至這些被竊取的信息被利用而且暴露時(shí)，才被人知曉。

　　記者采訪中了解到，目前信息泄露已經(jīng)形成了完整的一條產(chǎn)業(yè)鏈，有人甚至為此開設(shè)了釣魚網(wǎng)站、通訊公司和商業(yè)信函公司，專門通過收集、買賣公眾“名址庫(kù)”牟利。據(jù)媒體公開披露，黑客實(shí)際掌握用戶數(shù)據(jù)庫(kù)的數(shù)量已超過1億條，中國(guó)黑客的黑色產(chǎn)業(yè)鏈規(guī)模或高達(dá)上百億元。

　　嚴(yán)明告訴記者，我國(guó)有很多匯集有大量公眾隱私信息的應(yīng)用系統(tǒng)和服務(wù)平臺(tái)，如社交網(wǎng)站、網(wǎng)店、銀行和金融機(jī)構(gòu)、社保、醫(yī)院等等，由于他們手中的大量信息一直是不法分子竊取獲利的目標(biāo)，其遭受攻擊的威脅就更加突出。

　　有專家提出，很多政府機(jī)構(gòu)的網(wǎng)站往往由傳統(tǒng)機(jī)構(gòu)進(jìn)行維護(hù)，有的簡(jiǎn)單外包給第三方企業(yè)，對(duì)系統(tǒng)安全性不夠重視，技術(shù)人員對(duì)安全的理解也較為老舊，已經(jīng)不能適應(yīng)當(dāng)今信息安全的發(fā)展。

　　“個(gè)人信息流失的確屢屢發(fā)生，已經(jīng)不是一兩個(gè)應(yīng)用領(lǐng)域也不是一次兩次有消息披露了。我們需要大聲呼吁，政府各有關(guān)部門，信息系統(tǒng)的管理和使用的機(jī)構(gòu)和企業(yè)加強(qiáng)自己網(wǎng)絡(luò)安全和信息安全的保護(hù)措施，真正保證用戶的信息安全。”嚴(yán)明告訴記者，要防止政府網(wǎng)站的個(gè)人信息泄露，要從多方面努力，包括提高安全意識(shí)、重視人才培養(yǎng)，加大安全投入等。還可以研究和學(xué)習(xí)發(fā)達(dá)國(guó)家實(shí)行的“首席安全官”的責(zé)任機(jī)制，將責(zé)任落實(shí)到領(lǐng)導(dǎo)層具體人，解決我們現(xiàn)在在網(wǎng)絡(luò)安全和信息安全方面執(zhí)行層面的責(zé)任領(lǐng)導(dǎo)人缺位問題。