2.4亿条开房信息泄露！住过汉庭、桔子、全季等酒店的人要小心了！

大话利州

网上一则叫卖信息让很多人坐不住了

有不法分子公开叫卖

华住集团旗下酒店用户数据

涉及身份证、手机号、

家庭住址、开房记录等大量个人隐私

牵扯到近5亿条泄露信息

华住集团集团旗下酒店包括汉庭、桔子水晶、全季、星程、宜必思等品牌。

资料显示，目前，华住酒店集团在中国超过 280个城市里已经拥有2000多家自有酒店和40000多名员工。

图自华住官网

8月28日下午，华住酒店集团在微博上紧急发布声明称：兜售信息不能证实为真，已报警。警方已经介入并已有专业公司进行调查。

如果最终确认信息泄露属实，那么此次事件将有可能是国内历来最大最严重的个人信息泄露事件。

所有数据被标价38万元出售

较早发现信息泄露的是专注于智能反网络犯罪的紫豹科技，他们称上午接到了一些情报，华住旗下酒店开房记录疑似泄露，并在黑市进行售卖。这些信息涉及1.23亿条官网注册资料、1.3亿条入住登记身份信息和2.4亿条酒店开房记录，总计约140G大小，共5亿条数据。

售卖的数据分为三个部分：

1. 华住官网注册资料，包括姓名、手机号、邮箱、身份证号、登录密码等，共 53 G，大约 1.23 亿条记录；

2. 酒店入住登记身份信息，包括姓名、身份证号、家庭住址、生日、内部 ID 号，共 22.3 G，约 1.3 亿人身份证信息；

3. 酒店开房记录，包括内部 id 号，同房间关联号、姓名、卡号、手机号、邮箱、入住时间、离开时间、酒店 id 号、房间号、消费金额等，共 66.2 G，约 2.4 亿条记录。

以上数据信息的截止时间为2018年8月14日，被人在网上明码标价交易，采用比特币或者门罗币付款，价格为8比特币或520枚门罗币。按照目前比特币一枚6900美元的价格计算，所有数据价值在38万元左右。事件在网上发酵后，卖家称要减价至1比特币出售。

据酒店资深从业者魏先生分析，这三者之间不排除存在注册资料、入住登记和酒店开房是同一人的信息重叠可能性。目前该事件仍在调查中，但如若该事件是真的，波及面甚广，将有可能是国内历来最大最严重的个人信息泄露事件。

图自华住官网

8月28日15点后，华住酒店集团亦在微博上发布声明：“关于目前网上流传的不实谣言，警方已经介入并已有专业公司进行调查。兜售信息不能证实为真。华住正在紧急展开一系列相关工作。”

8月28日，上海市公安局长宁分局接华住集团运营负责人报案称，有人在境外网站兜售华住旗下酒店数据，客户信息疑遭泄露，公司已启动内部自查。警方即介入调查。

信息到底泄露了吗？

安全专家：很可能是真的

虽然华住表示“兜售信息不能证实为真”，但一些安全专家通过比对发现，这些泄露的信息大概率是真实的。欣冉（化名）目前就职于国内顶级互联网公司的安全部门，华住信息泄露事件发酵的第一时间，他们就拿到了测试数据，并进行了分析。

“我们通过两种手段进行核实，一种是拿自己或身边人的信息进行核实，一种是拿之前泄露的数据进行比对，发现关于身份证件、电话号码等主体信息都是真实有效的。不过，因为测试的数据样本有限，还不能绝对地说其他数据也是真实的。”

这次泄露的信息比较全面，涉及到酒店客人大量个人信息和隐私，比如身份证号、手机号、住宅地址、消费记录，注册会员使用的邮箱，虽然被加密但存在被破解可能的密码，甚至入住和退房的时间，房间号等，而且都是最近入住的信息。

隐私买卖被明码标价

早在2013年10月，如家、汉庭等酒店就出现过数据泄露的事件。当时是因为酒店所使用的Wi-Fi 管理和认证管理系统存在安全漏洞，数据传输过程并未加密，导致一个名为“2000w开房数据”的文件出现在网上。

图自华住官网

2015年，知名连锁酒店桔子、锦江之星、速八、布丁；高端酒店万豪酒店集团(万豪、丽思卡尔顿等)、喜达屋集团(喜来登、艾美、W酒店等)、洲际酒店集团(假日等)存在严重安全漏洞，房客开房信息一览无余，甚至可对酒店订单进行修改和取消。

泄露的信息可能造成哪些危害？

即便许多人在很久以前就已经成为网上的“透明人”，这次泄露的数据还是可能会带来一些麻烦。

首先，这次的数据涉及到详细且真实的个人信息，像身份证号、手机号等可能被不法分子用于注册各种App。如果客人不小心在注册时用了和邮箱一样的密码，就存在邮箱被盗的可能，引发更多问题。

其次，由于华住旗下涉及中高端各种品类的酒店，通过对消费记录的分析就能大致勾勒出一个人的轮廓，比如是否经常出差，是公司的小员工还是高管等，对航空公司、酒店来说，这些信息相当有价值。

不过，最令人担忧的是，不法分子可能拿着开房这样的隐私数据进行诈骗。此前，就有不法分子谎称可以删除开房记录，对酒店客人进行诈骗。由于他们详细掌握了客人的开房信息，很容易获取客人的信任，给对方造成压力。

关于酒店信息泄露带来的后果，2013年汉庭事件就是前车之鉴。信息泄露后，一些客人遭遇了诈骗电话的骚扰，有人不得不到派出所更名改姓；有男子本已和女友谈婚论嫁，但却因被女友查到几年前的酒店开房记录而告吹婚事。被迫改姓的受害者“王金龙”愤而将酒店和数据服务商告上法庭，成为类似维权案件的全国第一。