![]()
荷兰足球豪门阿贾克斯(AFC Ajax)最近被自家系统坑了一把。黑客没费多大力气就溜进了后台,几百人的邮箱地址、数十人的身份信息被看光,更夸张的是——4.2万张季票、538条球场禁入令、30多万账户详情,全暴露在API接口里。
记者收到黑客爆料后,现场演示了什么叫"秒级操作":几秒钟就把一张VIP季票转到了陌生人名下。这不是电影桥段,是RTL电视台记者实打实测出来的漏洞。
黑客没要钱,先找了记者
整件事的走向有点反常识。攻击者拿到权限后没勒索、没倒卖数据,而是把线索捅给了媒体。RTL记者团队独立验证后确认:季票可以任意转让、球场禁入令能被修改、粉丝数据通过共享密钥随便调取。
阿贾克斯的官方回应来得很快。「我们最近发现一名荷兰黑客非法访问了系统部分区域,数据被查看,」俱乐部声明称,「目前确认只有几百人的邮箱地址被浏览,另外不到20名球场禁入者的姓名、邮箱和出生日期被访问。」
但记者实测的数据规模比官方口径大得多。RTL报告能够操纵4.2万张季票、538条禁入令,查看超30万账户详情。这个差距本身就很耐人寻味——是俱乐部没查清楚,还是选择性披露?
API和共享密钥:老问题的新死法
![]()
漏洞的底层逻辑并不新鲜。阿贾克斯的系统把大量敏感功能暴露在API接口,还用了共享密钥做认证。翻译成人话:就像给小区门禁配了一把万能钥匙,谁拿到都能进所有楼栋。
记者演示的VIP季票转让,本质上是调用了票务系统的内部接口。球场禁入令的修改权限同样没做细粒度控制——本该只有安保主管能动的记录,外部攻击者也能读写。
这种架构问题在体育行业不算罕见。俱乐部数字化程度高,但安全投入往往跟不上业务扩张。季票系统要对接会员管理、支付、门禁,接口越开越多,审计却没人做。
阿贾克斯现在的补救动作是标准流程:请外部专家做根因分析、补漏洞、加安全措施,同时通报荷兰数据保护局和警方。官方强调"数据未被泄露",但"被查看"和"被泄露"的边界,在30万账户的规模下很难界定。
白帽还是灰帽?攻击者的动机谜题
这次攻击者的行为模式值得玩味。选择向记者披露而非暗网兜售,访问范围有限,没有大规模滥用痕迹——这些特征更接近白帽黑客的做派。但白帽通常走正规漏洞赏金渠道,而不是先黑进去再找媒体。
RTL的调查明显是非恶意的,但攻击者的真实身份和完整意图仍不清楚。一个关键问题悬着:这些漏洞是第一次被发现,还是已经被利用过?阿贾克斯的系统里有没有留下更早的入侵痕迹?
![]()
俱乐部目前的说法是"未发现数据泄露",但"未发现"不等于"未发生"。在缺乏完整日志审计的情况下,很多攻击者可以做到"进来、看完、擦干净"。
球迷该做什么:警惕比恐慌有用
对于阿贾克斯的注册球迷和季票持有者,现实风险是钓鱼攻击。邮箱地址已经暴露,攻击者可以精准伪造俱乐部邮件,诱导点击恶意链接或骗取更多个人信息。
球场禁入令被修改的风险更隐蔽。如果某人本应在黑名单上,系统记录却被改成"正常",实际安保执行时可能出现漏洞。反过来,无辜者也可能被错误添加禁入记录。
阿贾克斯建议用户警惕可疑通信,尤其是冒充俱乐部的邮件和短信。这个建议没错,但略显苍白——在30万账户泄露的前提下,"警惕"是成本最低的说辞。
更实质性的问题是:俱乐部会不会强制重置所有用户密码?有没有对API做全面审计?这些动作的成本远高于发一封提醒邮件,但才是真正的止损。
荷兰数据保护局的介入可能会推动更多披露。按照GDPR规则,重大数据泄露需要在72小时内通报监管机构,受影响用户也有权知情。阿贾克斯目前的口径是否满足"完整透明"的要求,监管方会有判断。
体育俱乐部的网络安全是个被低估的战场。球场越来越智能,会员系统越来越复杂,但安全团队往往被当作成本中心。阿贾克斯这次没出大事,算是运气——攻击者选择了披露而非勒索。下次呢?
当一家拥有36个荷甲冠军、4座欧冠奖杯的百年俱乐部,能被记者在几分钟内转走VIP季票,其他体育组织的系统是什么水平?这个问题,可能不止阿贾克斯的管理层需要回答。
特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.