京东回应 12G 数据泄露： Struts2 的锅

[depress]

12 月 10 日晚间，京东被曝数据外泄。

据称，此次有一个 12G 的数据包外泄，数据包括用户名、密码、邮箱、 QQ 号、电话号码、身份证等多个维度，数据多达数千万条。

京东在 12 月 11 日凌晨发表声明，称该数据源于 2013 年 Struts 2 的安全漏洞，已经完成修复。

京东在声明中表示，在 Struts 2 的安全问题发生后，京东迅速完成了系统修复，同时针对可能存在信息安全风险的用户进行了安全升级提示，当时受此影响的绝大部分用户都对自己的账号进行了安全升级，但确实仍有极少部分用户并未及时升级账号安全，依然存在一定风险。此外，京东还建议用户开启手机验证和支付密码，并将登录密码和支付密码设为高强度的复杂密码，提高账户安全等级。

http://www.jiemian.com/article/1008222.html

[mrlawrence]

一想到我学信网资料都被脱裤了，京东这都不算什么。随他去吧，反正只是增加社工库规模而已。
裸奔多好，自由自在。
操蛋。

[realpg]

@d7101120120
最近二手东的领券，大部分比较好的券要求账户银行卡四合一实名
然后这些二手东的老数据就没啥用了……
于是就流传到表层的黑产交易市场 然后大家就知道了

[chinafeng]

@wzxjohn 乌云新社区 ?

[Showfom]

还好我京东的密码从来都是随机的 偷去也没用 又没绑定什么东西

[rosu]

@BXIA 要先用客户端实名认证之后才能改密码....

[9hills]

@sobigfish 如果是可变 salt ，比如以 uid 为 salt ，可能问题不是特别大。

但是固定 salt 的话，彩虹表来一波……

不过我看有人说貌似没有加 salt ，好顶赞

[feikaras]

没 salt 什么鬼？

[killerv]

@9hills
@ryd994 受教了，以前觉得 bcrypt 和 md5 的意义差别不大，完全没有考虑到性能，看来是有很大差别的。

[yksoft1]

@feikaras 其实我觉得在国内这个环境下 5 年前的系统都不会有太多人想到密码本身保存的安全性问题。。

[Ziloon]

泄漏个人隐私信息不是已经入刑了吗？

[expooo]

@0915240 好像是假的， 12G 不是 mp4 么。。。
谁放出来的假消息？ 双 12 了，出了个 12g 裤子，也是醉了，不敢去京东买东西了

[onice]

@feikaras 一种对用户密码处理的方式。通过给原密码加上不规则的字符串进行散列处理防止攻击者使用彩虹表破解。具体可参考： http://www.server110.com/sec_news/201309/995.html

[G4]

@wzxjohn 新社区多少

[yiciyuansky]

改了京东还不行，还得改其他相同账号和密码的网站，防止撞库，都改一小天了，累的要命。安全问题真是不容忽视。

[mingyun]

@onice 赞一个

[designer]

身份证也泄漏了，这是大事感觉。不知道以后这种情况能索赔吗

[trythebest]

我在想 这样的话 可以起诉 jd 吗？以及别的像支付宝这样数据也泄露的事件，法律是否有相关规定？

[zouqiang]

http://www.cnblogs.com/lixiong/archive/2011/12/24/2300098.html

[lneoi]

很早就传京东数据库出来了，很多完整的个人信息都被收集起来，不久之后还有新闻报道说账户问题、信息泄露投诉什么的。现在就算有下载，都已经是一些无用数据了。

[freethink]

京东那个新闻稿就是故意混淆数据泄漏时间、发现问题的时间、修复的时间。典型的公关文案，就是让你误认为当时就立刻修复了的。