title: 抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ --- **摘要** 今天有資安專家 Zhi-Wei Cai 在 Facebook 上錄製了一段影片，揭露露天拍賣這個可以偽裝成「任何人」的漏洞，透過這個漏洞，有心人士可以繞過系統安全機制，直接偽裝成任何賣家，並且檢視該賣家的成交資料，並可以進一步的取得賣家的聯絡方式、付款方式等資料。推測詐騙集團應該是使用同類型的方式取得消費者資料。 **Category** - [新聞](https://www.soft4fun.net/category/tech/news) - [資訊安全](https://www.soft4fun.net/category/tech/information-security) **Tag** - [個資外洩](https://www.soft4fun.net/tag/%e5%80%8b%e8%b3%87%e5%a4%96%e6%b4%a9) - [拍賣](https://www.soft4fun.net/tag/%e6%8b%8d%e8%b3%a3) - [資安](https://www.soft4fun.net/tag/%e8%b3%87%e5%ae%89) - [資安漏洞](https://www.soft4fun.net/tag/%e8%b3%87%e5%ae%89%e6%bc%8f%e6%b4%9e) - [資訊安全](https://www.soft4fun.net/tag/%e8%b3%87%e8%a8%8a%e5%ae%89%e5%85%a8) - [露天](https://www.soft4fun.net/tag/%e9%9c%b2%e5%a4%a9) - [露天拍賣](https://www.soft4fun.net/tag/%e9%9c%b2%e5%a4%a9%e6%8b%8d%e8%b3%a3) **圖片清單** - ![ruten](https://www.soft4fun.net/wp-content/uploads/2015/08/ruten.png "ruten") - ![抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ image](http://pic.soft4fun.net/imgs/26f5174d2f00_EDC8/image.png "抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ image") - ![抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ image_3](http://pic.soft4fun.net/imgs/26f5174d2f00_EDC8/image_3.png "抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ image_3") - ![抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ image_4](http://pic.soft4fun.net/imgs/26f5174d2f00_EDC8/image_4.png "抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ image_4") --- 在網拍上買東西沒多久後就接到詐騙集團來電告知「分期」設定錯誤，這應該是許多網拍買家都有遇到的事情，過了這麼多年詐騙案件還是層出不窮，向站方申訴得到的都是個資未外洩，詐騙集團依然可以精準的取得訂單資料，到底是為什麼？ ![抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ image](http://pic.soft4fun.net/imgs/26f5174d2f00_EDC8/image.png "抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ image") 今天資安專家 [Zhi-Wei Cai](https://www.facebook.com/x43x61x69?fref=photo) 在 Facebook 上錄製了一段影片，揭露露天拍賣這個可以偽裝成「任何人」的漏洞，透過這個漏洞，**有心人士可以繞過系統安全機制，直接偽裝成任何賣家，並且檢視該賣家的成交資料**，並可以進一步的取得賣家的聯絡方式、付款方式等資料。推測詐騙集團應該是使用同類型的方式取得消費者資料。 ![抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ image_3](http://pic.soft4fun.net/imgs/26f5174d2f00_EDC8/image_3.png "抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ image_3") ![抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ image_4](http://pic.soft4fun.net/imgs/26f5174d2f00_EDC8/image_4.png "抓到了！ 露天拍賣大漏洞，消費購物資料全都「露天」！ image_4") 同時，Zhi-Wei Cai 也指出**至少在一年前**就已經有安全研究者將問題回報給露天拍賣，但一直到這個影片被公開至網路上之前，露天拍賣完全沒有任何修復動作，露天拍賣變成詐騙集團的 Open Data (開放資料)，也讓該平台的消費者蒙受個資遭竊的風險。 對於露天拍賣的處理態度，Zhi-Wei Cai 則說：「封閉消息、否認問題的存在或用法律手段讓大家噤聲並不能使問題消失。只有嘗試修復問題才能真正解決問題，有問題並不是可恥的事情，但是視而不見，把客戶的安全置於險境，就是個大問題了。比起 App 安全認證，涉及金錢交易的平台應該優先進行規範才是正確的做法。」 身為台灣網路拍賣平台的先驅，業者應該以更積極主動的態度面對各種資安問題，對於重複發生機率如此高的問題，露天拍賣在經過一年的時間不但無法主動發現並排除，直至影片被曝光後工程團隊才趕工排除，我們也很想問露天經營團隊：你們將消費者的安全擺在第幾順位？ #### 原 PO 影片 > 更新：廠商已經修復該問題。（影片 > 開三小時後）—————–詐騙集團為何總是知道我們買了什麼，跟誰買，用什麼方式付款？因為有些網站預設相信客戶端所提供的任何資料，詐騙集團可以輕易的假冒成任何使用 > ，查看任何人的購 > Posted by [Zhi-Wei Cai](#) on [2015年8月19日](https://www.facebook.com/x43x61x69/videos/682465291890348/)