烏云漏洞平臺披露：某網站日志存在嚴重漏洞，用戶銀行卡信息可被任意讀取，其中包含持卡人姓名身份證、銀行卡號、卡CVV碼等等。此事，引爆了大眾對支付安全行業的空前關注。某網站公開承認未通過國際支付卡產業數據安全標準PCIDSS，并對用戶致歉。作為國內一
烏云漏洞平臺披露：某網站日志存在嚴重漏洞，用戶銀行卡信息可被任意讀取，其中包含持卡人姓名身份證、銀行卡號、卡CVV碼等等。此事，引爆了大眾對支付安全行業的空前關注。某網站公開承認未通過國際支付卡產業數據安全標準PCIDSS，并對用戶致歉。作為國內一家通過PCIDSS(支付卡產業數據安全標準)的在線旅游商，去哪兒網CTO吳永強近日向筆者講述了當初去哪兒網通過PCIDSS的艱難考核。“不少公司都不愿在此項目上做過多投入”，吳永強說。
業界人士認為去哪兒網已經通過技術投入早已占領旅游平臺制高點。據悉，PCIDSS由PCI安全標準委員會的創始成員visa、mastercard、 AmericanExpress、DiscoverFinancial Services、JCB五大國際卡組織制定。PCIDSS為國際上較高安全標準。
據
石家莊網站建設了解，進行PCI驗證時，驗證方會對被測試公司，進行多方面地地毯式掃描以便找出各類漏洞；還要在申請的時候嚴格申明不能保存不該存的信息。
據吳永強回憶：去哪兒當初申請認證時，花了整整三個月才得以通過，前后必須經過硬件、軟件、工作流程、員工、用戶等環節總共有200多項項目的關卡；除了如此嚴苛的認證環節外，去哪兒網每年還必須接受驗證方重檢一次。
其中，PCIDSS對于用戶隱私的保護要求幾乎接近苛刻的程度。“卡組織對所有的信息都進行了分類。如果姓名和有效期沒有和卡號同時存儲，則可以明文存儲；而一旦存儲了銀行卡號，則需要使用強加密算法對卡號進行保護。”吳永強介紹說。
按照PCIDSS認證的要求，去哪兒網除了正當業務的員工，誰也接觸不到用戶的任何卡信息：包括卡號、姓名、有效期，更別說明文的CVV2碼了，這是PCIDSS明文規定的不得留存的高敏感信息。
此次爆發的某旅行網信用卡事件也是其缺少員工培訓的一個惡果。據相關報道，在某網站呼叫中心里，客服人員也可以口頭明文索要用戶的CVV2碼。這在去哪兒網是不可能發生的事情。
此外，國際卡組織考察網站的另一項重要指標就是其技術安全能力。據吳永強介紹，去哪兒網在技術上一直****，系統架構都是全球各大公司才采用的先進系統，這是它得以通過PCIDSS認證的基礎。
2010年去哪兒網啟動的“TTS 系統”(TotalSolution)，進一步推動了交易安全。TTS系統讓用戶的預訂，全部在去哪兒平臺上完成，其交易安全可以得到***地有效保障。
吳永強認為，以前業內對于PCI認證的權威性很認同，但由于它對消費者隱私信息加以保護的過程，消費者大多無法感知，而合規認證本身又極為嚴苛，所以從成本上和技術實力上的考慮，不少公司都不愿在此項目上做過多投入。
| 
