改30余省市社保系统漏洞或因代码缺陷1

30余省市社保系统漏洞或因代码缺陷

4月22日，大量社保系统相关漏洞出现在补天漏洞响应平台上。

补天漏洞响应平台发布信息称，社保系统、户籍查询系统、疾控中心、医院等大量爆出高危漏洞的省市已经超过30个，包括重庆、上海、河南等，涉及用户数量达数千万。这些漏洞的存在，可能导致发生泄露的信息包括个人身份证、社保参保信息、房屋产权、个人联系方式等。

该平台的漏洞信息显示，陕西省人力资源和社会保障厅社保系统漏洞，可能泄露全省至少213万农村参与社保人员的信息，黑客可利用漏洞随意修改社保待遇，停发社保金;沧州市社保局某系统存在漏洞，270万医疗、养老、社保参保人员敏感信息疑遭泄露;江苏省省级机关住房资金管理中心系统出现漏洞，可能导致江苏省2510个单位10万公务员的姓名、身份证、社保信息遭泄露。

上述人士称，补天平台发现的漏洞大多数是由于站搭建时期编写代码时有缺陷造成的，通过这些缺陷，黑客可能入侵到站主机，获取后台核心数据。

例如，社保系统里的信息包括了居民身份证、社保、薪酬等敏感信息，一旦泄露，用户首先可能会遇到许多定向广告、恶意推销或诈骗。此外，通过社保密码、生日信息，犯罪分子可能会套出用户的一些账户密码，也可能利用这些信息复制身份证、盗办信用卡，给用户造成经济损失。

目前，已有多个地方和补天平台沟通，他们已对这些地方的社保查询系统进行修复，40%的漏洞已被修复。

事实上，从如家、汉庭等大批酒店的开房记录被曝存在第三方存储和系统漏洞，到携程漏洞用户支付信息、12306被曝泄露用户信息，再到社保系统相关漏洞，一系列络安全漏洞事件的背后，都有第三方安全漏洞平台参与的身影。

在第三方安全漏洞平台上，白帽子们通过发现站中的安全漏洞，在黑帽子利用它们之前，提交到平台上，或者向厂商报告，希望厂商及时进行修复。

例如，乌云漏洞报告平台创立于2010年，是国内最早也最知名的漏洞报告平台，吸引了不少白帽子。他们发现厂商的漏洞后提交到乌云，漏洞确认后会获得一定的积分(乌云币)，通过积分兑换礼品。对于高质量的漏洞，会直接提供现金奖励。

除了漏洞报告平台本身，乌云还有安全众测、知识库、社区、招聘等栏目吸引和聚集白帽子。

安全平台乌云创始人方小顿此前接受采访时说：乌云核心的阿切巴尔德独得4分运营思路就是开放和分享的原则，信息的流动能够带来社区的活跃，在积累了大量的安全问题基础数据之后，希望能够与白帽子一起，除了发现问题之后还能给大家带来更多的东西，譬如如何解决和规避安全风险的问题。

但方小顿在去年4月接受采访时又称，乌云仍属于一个非营利组织，站的主要经济来源由Cncert互联应急中心和广东信息安全评测中心提供。

与乌云平台类似，补天平台是360建立的第三方漏洞报告平台，该平台漏洞数据与公安部、信办和国家漏洞库同步。

通常来讲，这些第三方漏洞平台对信息安全漏洞的发布和处理，会经过提交漏洞、漏洞确认、通报产商、厂商确认、厂商修复五个步骤。

其中，第三方漏洞平台通常会给出厂商对漏洞的确认周期，如果在一定天数内未确认，则会向公众公开。

以社保系统漏洞为例，补天漏洞响应平台相关负责人称，在发现漏洞后会第一时间联系系统运营单位，告知漏洞存在，同时向中央信办、国家互联应急中心以及公安部相关部门上报。

此外，随着众包模式的兴起和发展，安全测试也进入了这一领域，如乌云众测、漏洞盒子等。

这意味着企业可在短时间内组建虚拟的安全团队,通过邀请顶尖白帽子模拟黑客对站、系统或产品进行测试,企业可迅速排查各种安全隐患，并按效果向白帽子付费。

在方小顿看来，互联安全行业应该受到更高的重视，还需要国家、企业、媒体以及第三方平台等参与进来。来自各行各业的人士会从不同的角度分析判断络安全问题，从而会更容易发现漏洞，减少损失;另一方面，企业的参与也能够从一定程度上改善白帽子黑客的生活质量，对其也是一种正确方向的引导。

关注ITBear科技资讯公众号（itbear365 ），每天推送你感兴趣的科技内容。

特别提醒：本内容转载自其他媒体，目的在于传递更多信息，并不代表本赞同其观点。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，并请自行核实相关内容。本站不承担此类作品侵权行为的直接及连带。如若本有任何内容侵犯您的权益，请及时联系我们，本站将会在24小时内处理完毕。