作者EijiHoba (Feel)
看板Soft_Job
标题[新闻] 战国策爆发客户资料外泄事件
时间Thu Jan 15 20:53:24 2009
战国策爆发客户资料外泄事件
文/刘哲铭 (记者) 2009-01-12
知名主机代管商战国策，爆发客户资料外泄事件，包括代管主机的登入密码与客户的
资料，都在搜寻引擎上找得到，目前多数搜寻引擎已经清除这些个资，建议使用者立
即更换密码
国内知名的网站主机代管服务厂商战国策，日前爆发订单系统资料外泄事件。当时透
过Google输入特定的关键字，可以找到4,270笔「订单详细资料」网页，而这些网页的
资讯包括了客户公司名称、联络人姓名、身分证字号、电话、地址、电子邮件、交易
方式、金额、主机方案，以及代管主机的IP位址、帐号、密码、网域名称等资讯。建
议使用该代管服务的使用者，应该立即更换密码。
战国策行销部经理吴婉真表示，该公司於1月9日上午就已经发现此一事件，旋即做出
处理，并且通知Google，要求将快取档案移除，Google已於1月10日将相关快取页面移
除。吴婉真说：「我们内部系统一直以来都有IP认证，这次会发生这样的问题，是因
为Google的网路蜘蛛程式不知何故造成，详细的原因我们也还在调查中。之後我们会
持续改进，强化资讯安全的防护，对客户负责到底。」
由於战国策不愿说明造成此事件的原因，目前也只能透过几个方面猜测原因。一位不
愿透露姓名的主机代管厂商主管表示，如果有做到登入身分的控管，例如IP位址与登
入帐号、密码的比对等，Google的网路蜘蛛程式不可能有办法存取内部订单系统的资
讯。他说：「最有可能的是系统做了异动之後，忘记加上身分认证的功能，然後内部
管理人员的浏览器安装了类似Google Toolbar的工具软体，使得Google的伺服器可以
收集到内部系统的网址，网路蜘蛛才有办法循线收集到这些网页。」
一般人可能没有注意， Google在隐私权条款中写到，「当您造访我们网站或使用我们
的其他产品时，Google伺服器会自动记录资料，包括URL、IP地址、浏览器的类型和使
用的语言以及造访日期和时间。」
为了防止网路蜘蛛程式搜寻资讯，多数网站会在网页上放上宣告网路蜘蛛禁止存取范围
的「robots.txt」文件档，根据记者的调查，现在战国策网站上的robots.txt最後的修
改时间是在1月9日下午7点。但并无法确定当时这个宣告档是否有起任何作用。
截至记者发稿前，仍可在较不知名的搜寻引擎上找到这些「订单详细资料」的网页，建
议该公司的客户应该立刻更改系统的密码，以免网站被入侵。
新闻来源：
http://www.ithome.com.tw/itadm/article.php?c=53022
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 122.126.3.146
1F：推 StubbornLin:资讯铁胃 不意外 01/15 21:35
2F：推 Ageis:放个txt档在网路上不是摆明要给人搞吗... 01/15 22:47
3F：推 ledia:楼上的意思是? 01/15 22:55
4F：推 fishyki:放了就不会稿了吗XD 01/15 23:42
5F：推 yangfan:出包了还牵拖google 01/16 00:04
6F：推 Ageis:三楼的 去google一下robots.txt里面是写什麽你就知道了 01/16 02:23
8F：→ ledia:robots.txt 还需要 google 才知道吗 ? 放 robots.txt 就是 01/16 10:26
9F：→ ledia:要管制 web crawler 的行为, 何来摆明要给人搞? 01/16 10:27
10F：推 zanyking:敏感资料拉到网页上秀这件事来就是错的吧? 01/16 10:35
11F：→ zanyking:到底是什麽需要，会要把User PWD全List出来？ 01/16 10:36
12F：推 ledia:他不是说身份认证出问题 + 有人笨笨的用 google toolbar 吗 01/16 12:12
13F：推 StubbornLin:我猜 他登入後可能根本没做验证 想说 01/16 12:17
14F：→ StubbornLin:反正连结只有内部有 外部应该猜不到 不用验没差 01/16 12:17
15F：→ StubbornLin:天晓得就被Google Toolbar + 爬虫给婊了 XD 01/16 12:18
16F：推 zanyking:把User的帐号密码(明码)用动态网页List出来。 01/16 12:19
17F：→ zanyking:这件事情本身就有问题。 01/16 12:20
18F：→ zanyking:不管有没有验证，到底管理者有什麽需要列出『密码』？ 01/16 12:21
19F：推 ledia:这个问题容易回答, 因为这个系统很可能是给客服方便使用的 01/16 12:25
20F：→ ledia:事实上也有很多客户喜欢跟你要密码... XD 01/16 12:25
21F：推 StubbornLin:如果是这样的话 那很可能... 我去弄来某人的基本资料 01/16 12:28
22F：→ StubbornLin:然後打电话给客服 跟他要密码 = =" 01/16 12:28
23F：→ StubbornLin:就是所谓的社交工程 讲白一点就是骗密码 XD 01/16 12:29
24F：推 StubbornLin:这样想还真是糟糕 要骗到密码应该不难 真危险 囧 01/16 12:33
25F：→ Ageis:抱歉没说清楚 应该说"只用"robot.txt"来管制 01/16 13:04
26F：→ Ageis:无疑是摆明想被搞 01/16 13:04
27F：推 Ageis:听说个资法正在修法 战国策应该庆幸还没通过... 01/16 13:13
28F：推 ledia:我想他并不是只用 "robots.txt" 01/16 13:19
29F：→ ledia:不过上新闻到底是好还是不好, 这倒是很难说.... XD 01/16 13:20
30F：推 Ageis:看内容啦...现在大众对个资的重视愈来愈高 01/16 13:24
31F：→ Ageis:我想这个新闻对战国策来讲绝对不是正面的XD 01/16 13:24
32F：→ Ageis:不管怎麽说 现在写程式要很小心啊 尤其是做EC的 01/16 13:26
33F：推 ppkkykei:最近因为google toolbar而出很多问题,公司也有遇过问题~ 01/17 00:13
34F：推 Arminius:管它 robo 不 robo....密码可以跟客服问啊? 基本的资讯安 01/17 08:35
35F：→ Arminius:全观念就不及格了...还是说这是现在的水准啊? 01/17 08:37
36F：推 teman:太好笑了 不想让人浏览的uri应该是用web server或是防火墙档 01/17 08:53
37F：→ teman:怎会单用robot.txt来设定 跟google一点也没关系 robot不主动 01/17 08:55
38F：→ teman:爬 也可以透过第三者浏览的到网页再去爬 再者公司内网ip 01/17 08:55
39F：→ teman:外面怎连的到... 这家公司有基本网管？ 01/17 08:56
40F：推 tom600488:我不太懂耶 是因为这样造成後台管理网页的资料外泄吗? 01/20 14:18
41F：→ tom600488:而且取得客户资料?应该是资料库也被入侵了吧? 01/20 14:19