2014年3月22日，携程信息泄露漏洞平台乌云网挂出一条消息：携程安全支付日志可被遍历下载，携程信息泄露导致大量用户银行卡信息泄露。携程信息泄露消息一出，携程信息泄露携程股价当天在纳斯达克跌了将近12%。携程信息泄露这不是携程信息泄露携程第一次出问题，也不会是携程信息泄露最后一次。

那次泄露的携程信息泄露细节到现在看都挺离谱。携程的携程信息泄露支付日志里直接存了用户的姓名、身份证号、携程信息泄露银行卡号、携程信息泄露CVV码——对，携程信息泄露就是携程信息泄露银行卡背面那三位数。按理说CVV码在支付完成后就不该被存储，携程信息泄露PCI-DSS标准明确禁止。携程信息泄露但携程不仅存了，还没加密。安全研究者发现，只要修改URL里的一个参数，就能遍历拉取所有记录。换句话说，一个稍微懂点技术的用户，坐在家里就能把别人的银行卡信息翻出来。

携程当时的回应是“已在两小时内修复”，并强调“没有用户因此遭受损失”。这话听着耳熟。几乎每一家出事的企业都会说“没有造成实际损失”，仿佛数据泄露只要没立刻变成钱被划走就不算伤害。但信息一旦泄露，就永远泄露了。你的身份证号、银行卡号可能已经被存进了某个黑产数据库，等着几年后被拿来注册账号、申请贷款、或者精准诈骗。

我有个朋友在那之后专门去查了自己的携程订单记录。他发现2013年到2014年间，他在携程上订过十几次机票和酒店，每一次支付都经过那个存在漏洞的日志系统。他打电话问客服，客服说“建议您更换银行卡”。他换了。但那串旧卡号和他的身份证绑定关系，是换不掉的。

这事过去快十年了。携程后来做了很多安全升级，通过了ISO 27001认证，也建了安全应急响应中心。但用户对平台的信任一旦裂开，就很难完全复原。更关键的是，携程信息泄露不是孤例。2018年华住酒店集团泄露5亿条数据，2020年万豪泄露520万客户信息，2022年超星学习通泄露1.7亿条——每一次都是相似的剧本：企业先否认，再承认，然后道歉，最后“加强安全建设”。

问题出在哪？我觉得不是技术能力不够。携程2014年已经有几百人的技术团队，不可能不知道CVV不能存。真正的问题是优先级。在业务高速增长期，安全永远是排在后面的那个。产品要快速上线，支付流程要跑通，日志系统能记录就行，加密？那是“以后再说”的事。这个“以后”一直没来，直到有人把漏洞捅到网上。

还有一个很少被讨论的点：携程这类平台掌握的数据太集中了。你的出行记录、消费习惯、身份证、银行卡、常用联系人，全在一个账号里。一旦这个账号被攻破，等于你的数字身份被扒了个精光。而平台越大，攻击者的动力越强。这是个结构性问题，不是打几个补丁就能解决的。

作为普通用户，能做的事其实有限。别在多个平台用同一张银行卡，定期查征信报告，收到奇怪的验证码立刻警惕。但这些都只是止损。真正的责任在平台方——你收了用户的数据，就得拿命去保护它。做不到的话，至少别把CVV码明文存进数据库。这真的不难。