新京報(bào)貝殼財(cái)經(jīng)記者 張冰 羅亦丹 林子 編輯 岳彩周
蔚來(lái)汽車(chē)被以泄露的數(shù)據(jù)勒索225萬(wàn)美元等額比特幣！消息一出，行業(yè)震動(dòng)。蔚來(lái)成為國(guó)內(nèi)第一家用戶(hù)數(shù)據(jù)被竊取的造車(chē)企業(yè)。
一時(shí)間2021年8月之前的蔚來(lái)用戶(hù)也炸開(kāi)了鍋?！斑@是怎么被竊取的，得查清楚。”“以后還會(huì)發(fā)生嗎？”
12月20日晚，蔚來(lái)汽車(chē)在其官方社區(qū)發(fā)布的一則聲明，引發(fā)了蔚來(lái)汽車(chē)用戶(hù)的討論。蔚來(lái)汽車(chē)在聲明中表示，確認(rèn)2021年8月之前的部分用戶(hù)基本信息和車(chē)輛銷(xiāo)售信息被竊取。
目前具體涉及多少用戶(hù)，截至目前蔚來(lái)方面仍未公布。不過(guò)，根據(jù)蔚來(lái)此前公布的數(shù)據(jù)，2018年至2021年1-7月間，蔚來(lái)累計(jì)交付超12.5萬(wàn)輛。
針對(duì)此事，貝殼財(cái)經(jīng)記者第一時(shí)間向蔚來(lái)方面詢(xún)問(wèn)事件調(diào)查進(jìn)展和用戶(hù)補(bǔ)償?shù)刃畔?。但截至發(fā)稿未收到回復(fù)。
12月21日，新京報(bào)貝殼財(cái)經(jīng)記者致電聲明中提供的解答用戶(hù)就數(shù)據(jù)泄露事件疑問(wèn)的電話(huà)，對(duì)方工作人員表示，目前還在調(diào)查數(shù)據(jù)泄露的原因和影響范圍，若用戶(hù)近期接到提及蔚來(lái)的陌生電話(huà)，建議小心謹(jǐn)慎。對(duì)于蔚來(lái)如何補(bǔ)償信息被泄露的用戶(hù)、是否會(huì)給予用戶(hù)相關(guān)風(fēng)險(xiǎn)提示和應(yīng)對(duì)措施建議，上述工作人員未給出明確回復(fù)。
━━━━━
蔚來(lái)仍在調(diào)查數(shù)據(jù)泄露原因和影響范圍
李斌稱(chēng)將追查到底
一張流傳于網(wǎng)絡(luò)的圖片顯示，有人宣稱(chēng)“破解了蔚來(lái)大量數(shù)據(jù)”，并公布了購(gòu)買(mǎi)的郵件地址公開(kāi)叫價(jià)出售。
根據(jù)列出的信息，數(shù)據(jù)涉及蔚來(lái)的經(jīng)營(yíng)以及客戶(hù)隱私，包括蔚來(lái)員工數(shù)據(jù)、訂單數(shù)據(jù)、車(chē)主身份證、用戶(hù)地址，甚至車(chē)主親密關(guān)系、車(chē)主貸款數(shù)據(jù)等極為隱私的信息。
這些信息被明碼標(biāo)價(jià)，價(jià)格均以比特幣為單位，如2.28萬(wàn)條員工數(shù)據(jù)售價(jià)0.15比特幣，3.99萬(wàn)條車(chē)主用戶(hù)身份證數(shù)據(jù)售價(jià)0.25比特幣；全部數(shù)據(jù)打包售價(jià)1比特幣。
“我們還在進(jìn)一步調(diào)查數(shù)據(jù)泄露的原因和影響范圍。”蔚來(lái)信息安全委會(huì)負(fù)責(zé)人盧龍?jiān)谖祦?lái)官方社區(qū)表示，本次事件不涉及車(chē)輛使用中產(chǎn)生的行車(chē)軌跡、座艙數(shù)據(jù)等數(shù)據(jù)，也不影響車(chē)輛的駕乘或遠(yuǎn)程控制。
針對(duì)用戶(hù)數(shù)據(jù)泄露一事，12月20日晚，蔚來(lái)創(chuàng)始人、董事長(zhǎng)兼CEO李斌在蔚來(lái)官方社區(qū)致歉，并表示蔚來(lái)會(huì)協(xié)同有關(guān)部門(mén)深入調(diào)查此次事件，對(duì)竊取和買(mǎi)賣(mài)此次事件相關(guān)數(shù)據(jù)的違法犯罪行為追查到底。“我們不會(huì)與不法行為妥協(xié)。” 12月21日早間，蔚來(lái)針對(duì)此事再度于港交所發(fā)布公告。
安全專(zhuān)家如何看？
民間互聯(lián)網(wǎng)安全組織網(wǎng)絡(luò)尖刀創(chuàng)始人曲子龍表示，從網(wǎng)傳的泄露截圖信息來(lái)看，黑客公布的泄露數(shù)據(jù)并不是由汽車(chē)本身產(chǎn)生的數(shù)據(jù)，而是在實(shí)際業(yè)務(wù)經(jīng)營(yíng)的過(guò)程中產(chǎn)生的，如員工數(shù)據(jù)、企業(yè)及企業(yè)代表聯(lián)系數(shù)據(jù)、訂單及退單數(shù)據(jù)、車(chē)主貸款數(shù)據(jù)這些應(yīng)該是常規(guī)公司的OA及CRM數(shù)據(jù)；而車(chē)主注冊(cè)身份證數(shù)據(jù)、用戶(hù)注冊(cè)數(shù)據(jù)、車(chē)主親密關(guān)系數(shù)據(jù)應(yīng)該源于與蔚來(lái)用戶(hù)互動(dòng)的車(chē)主APP。
“個(gè)人認(rèn)為本次泄露大概率是產(chǎn)生于蔚來(lái)公司自己的‘業(yè)務(wù)管理后臺(tái)’，就本次泄露事件來(lái)看，我覺(jué)得大家可以短暫地拋開(kāi)蔚來(lái)是家智能汽車(chē)企業(yè)來(lái)看待，和以往的大部分互聯(lián)網(wǎng)企業(yè)數(shù)據(jù)泄露一樣，應(yīng)該是某個(gè)系統(tǒng)存在問(wèn)題導(dǎo)致數(shù)據(jù)庫(kù)被拖庫(kù)。當(dāng)然具體到底怎么泄露的還要以蔚來(lái)公司自己的調(diào)查結(jié)果為準(zhǔn)?！鼻育埛Q(chēng)。
中博聯(lián)智庫(kù)特聘專(zhuān)家、黃河科技學(xué)院客座教授張翔表示，盡管黑客黑客惡意竊取數(shù)據(jù)勒索未能成功，但這也說(shuō)明蔚來(lái)的信息系統(tǒng)還是存有漏洞，蔚來(lái)應(yīng)該提高內(nèi)部信息系統(tǒng)的安全等級(jí)。“雖然沒(méi)有絕對(duì)的數(shù)據(jù)安全，但提高安全等級(jí)、多做一些防護(hù)措施，可增加被攻擊的成本和難度?！?/p>
此外，北京市京師律師事務(wù)所律師孫智陽(yáng)在接受貝殼財(cái)經(jīng)記者采訪(fǎng)時(shí)表示，蔚來(lái)作為眾多用戶(hù)的個(gè)人信息擁有者、處理者，應(yīng)該按照法律建立完善的保護(hù)制度、防護(hù)措施和緊急措施等保證用戶(hù)個(gè)人信息的安全存留，避免丟失泄露。
用戶(hù)更關(guān)心自己哪些信息被竊取了
“無(wú)法確定自己的隱私數(shù)據(jù)是否已被泄露，也不清楚是如何泄露的，目前未收到蔚來(lái)方面的通知?！?2月21日，一位于2021年8月前購(gòu)車(chē)的蔚來(lái)車(chē)主告訴記者，“希望沒(méi)有車(chē)主因?yàn)檫@個(gè)泄露遭受損失。”
“不能僅僅是道歉，不能僅僅是空洞的承擔(dān)損失，應(yīng)該盡快提示我們用戶(hù)哪些信息被竊取了，應(yīng)該做些什么。”蔚來(lái)車(chē)主李先生在接受記者采訪(fǎng)時(shí)表示。
同日，貝殼財(cái)經(jīng)記者就上述問(wèn)題致電聲明中提供的解答用戶(hù)就數(shù)據(jù)泄露事件疑問(wèn)的電話(huà)，在談及信息被泄露的用戶(hù)是否會(huì)收到企業(yè)的提醒、蔚來(lái)是否會(huì)告訴用戶(hù)“泄露的基本信息包括了哪些”時(shí)，對(duì)方工作人員并未給出明確答復(fù)。
律師詳解蔚來(lái)數(shù)據(jù)泄漏該當(dāng)何責(zé)？
“車(chē)企應(yīng)該及時(shí)向用戶(hù)說(shuō)明調(diào)查情況?！北本┦芯熉蓭熓聞?wù)所律師孫智陽(yáng)在接受貝殼財(cái)經(jīng)記者采訪(fǎng)時(shí)表示，用戶(hù)有權(quán)對(duì)自己的個(gè)人信息進(jìn)行詢(xún)問(wèn)，對(duì)自己的信息是否泄漏具有知情權(quán)和決定權(quán)，如個(gè)人信息因蔚來(lái)的丟失給用戶(hù)造成損失的求償權(quán)，這些在個(gè)人信息法中有相關(guān)的規(guī)定保護(hù)個(gè)人信息。
孫智陽(yáng)指出，車(chē)企發(fā)生類(lèi)似事件，首先在內(nèi)部應(yīng)該緊急處理、查實(shí)問(wèn)題，及時(shí)處理補(bǔ)救保證數(shù)據(jù)安全。對(duì)于被敲詐勒索可以報(bào)案交予公安，對(duì)于企業(yè)的丟失個(gè)人信息問(wèn)題如監(jiān)管部門(mén)進(jìn)行調(diào)查，發(fā)現(xiàn)企業(yè)內(nèi)部個(gè)人信息保護(hù)措施不完善或沒(méi)有盡到保護(hù)義務(wù)的可以給予行政處罰。
北京市中策律師事務(wù)所律師張方隅指出，用戶(hù)個(gè)人信息的泄露，是信息在儲(chǔ)存、傳輸?shù)冗^(guò)程中信息處理者保護(hù)失當(dāng)?shù)捏w現(xiàn)。作為用戶(hù)，有權(quán)對(duì)信息泄露的具體情況進(jìn)行查詢(xún)，尤其是涉及到敏感個(gè)人信息。在蔚來(lái)的官方聲明中，其明確了被泄露的信息是“2021年8月之前的部分用戶(hù)基本信息和車(chē)輛銷(xiāo)售信息”，說(shuō)明對(duì)于被泄露信息的具體細(xì)節(jié)，蔚來(lái)方面也是知情的。車(chē)企應(yīng)當(dāng)主動(dòng)向用戶(hù)履行通知義務(wù)，若車(chē)企仍然拒絕透露信息，用戶(hù)可以向有關(guān)監(jiān)管部門(mén)進(jìn)行投訴，或是通過(guò)訴訟的方式維護(hù)自身合法權(quán)益。
張方隅也指出，《個(gè)人信息保護(hù)法》第六十九條明確規(guī)定，處理個(gè)人信息侵害個(gè)人信息權(quán)益造成損害，個(gè)人信息處理者不能證明自己沒(méi)有過(guò)錯(cuò)的，應(yīng)當(dāng)承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任。車(chē)企需要證明自己在本次泄露事件中不存在過(guò)錯(cuò)，例如證明是不法分子竊取所致，自己在信息的保護(hù)上不存在過(guò)失等，一旦被認(rèn)定為具有過(guò)錯(cuò)，車(chē)企就需要承擔(dān)賠償責(zé)任。具體的賠償數(shù)額，根據(jù)用戶(hù)因此受到的損失或者個(gè)人信息處理者因此獲得的利益，或者實(shí)際情況確定賠償數(shù)額。同時(shí)，車(chē)企可能因?yàn)檫`反數(shù)據(jù)安全保護(hù)義務(wù)，造成大量數(shù)據(jù)泄露被處以行政處罰。
智能汽車(chē)需如何守住數(shù)據(jù)安全底線(xiàn)？
伴隨汽車(chē)智能化、網(wǎng)聯(lián)化的快速發(fā)展，以及應(yīng)用場(chǎng)景的不斷豐富，近年來(lái)，以汽車(chē)數(shù)據(jù)為核心的新安全問(wèn)題日益凸顯，汽車(chē)數(shù)據(jù)安全事件頻發(fā)。
2021年6月，大眾汽車(chē)方面曾表示，有將近330萬(wàn)名客戶(hù)或潛在買(mǎi)家的數(shù)據(jù)遭泄露。具體信息包括姓名、地址、手機(jī)號(hào)碼、郵件以及部分駕照號(hào)碼、車(chē)牌號(hào)碼、貸款號(hào)碼等。同年12月，沃爾沃汽車(chē)運(yùn)營(yíng)的研發(fā)數(shù)據(jù)也遭遇黑客入侵，沃爾沃稱(chēng)在入侵期間公司的有限數(shù)量的研發(fā)財(cái)產(chǎn)被盜，并稱(chēng)此次黑客攻擊“可能對(duì)公司的運(yùn)營(yíng)產(chǎn)生影響”。
今年5月，通用汽車(chē)也曾發(fā)布聲明稱(chēng)，其注意到2022年4月11日-29日期間，部分在線(xiàn)客戶(hù)賬戶(hù)出現(xiàn)了可疑登錄，導(dǎo)致在未經(jīng)用戶(hù)授權(quán)的情況下，客戶(hù)的獎(jiǎng)勵(lì)積分被兌換成了禮品卡。此外，今年10月，豐田汽車(chē)在一份聲明中表示，使用其T-connect服務(wù)的約29.6萬(wàn)名客戶(hù)的個(gè)人信息可能已被泄露，包括電子郵箱地址和客戶(hù)編號(hào)等。
“本次數(shù)據(jù)泄露事件從側(cè)面也反映出公司的數(shù)據(jù)安全保障還存在提升空間，隨著未來(lái)輔助駕駛、自動(dòng)駕駛功能的逐步實(shí)現(xiàn)，保障數(shù)據(jù)安全勢(shì)在必行?！睆埛接绶Q(chēng)。
清華大學(xué)車(chē)輛與運(yùn)載學(xué)院教授楊殿閣介紹，智能汽車(chē)的數(shù)據(jù)來(lái)源非常復(fù)雜，既包括車(chē)載攝像頭、激光雷達(dá)、毫米波雷達(dá)等感知的地理信息、交通信息、行人信息等外界環(huán)境感知數(shù)據(jù)，也包括駕駛員個(gè)人信息、車(chē)輛行駛軌跡、車(chē)載總線(xiàn)數(shù)據(jù)等車(chē)內(nèi)數(shù)據(jù)。另外，手機(jī)與車(chē)機(jī)結(jié)合以后，在車(chē)上還會(huì)存儲(chǔ)個(gè)人社交賬號(hào)、支付密碼、家庭信息、車(chē)架號(hào)等個(gè)人隱私數(shù)據(jù)。如果對(duì)智能汽車(chē)數(shù)據(jù)安全放任不管，會(huì)對(duì)國(guó)家和社會(huì)的安全，對(duì)個(gè)人隱私保護(hù)帶來(lái)重大隱患。智能汽車(chē)需要守住數(shù)據(jù)安全底線(xiàn)。
中國(guó)電動(dòng)汽車(chē)百人會(huì)副理事長(zhǎng)兼秘書(shū)長(zhǎng)張永偉指出，應(yīng)當(dāng)從戰(zhàn)略高度認(rèn)識(shí)智能網(wǎng)聯(lián)汽車(chē)數(shù)據(jù)安全管理的重要性，盡快形成適應(yīng)不同車(chē)型、不同技術(shù)水平的汽車(chē)數(shù)據(jù)安全整體解決方案，以引領(lǐng)智能網(wǎng)聯(lián)汽車(chē)產(chǎn)業(yè)快速發(fā)展。
奇安信副總裁孔德亮則認(rèn)為，智能網(wǎng)聯(lián)的發(fā)展為行業(yè)帶來(lái)了機(jī)遇，同時(shí)也帶來(lái)了多重挑戰(zhàn)。這個(gè)行業(yè)興起不久，尚未成熟，電氣化架構(gòu)也在不斷更新，從技術(shù)上還需要有更多的沉淀。另一方面，企業(yè)和機(jī)構(gòu)的安全意識(shí)也要不斷加強(qiáng)，要從車(chē)輛生產(chǎn)制造環(huán)節(jié)就把信息安全考慮進(jìn)去，未來(lái)不僅要有防碰撞測(cè)試，還需要有信息安全的檢測(cè)室。
此外，孔德亮表示，整車(chē)信息安全還需要有更多行業(yè)標(biāo)準(zhǔn)出臺(tái)，一方面是強(qiáng)制要求車(chē)輛必須通過(guò)信息安全認(rèn)證才能上市，一方面也是規(guī)定信息安全的范圍。
近年來(lái)，我國(guó)也在加快制定相關(guān)法律法規(guī)，保護(hù)數(shù)據(jù)安全。其中，工信部發(fā)布的《關(guān)于加強(qiáng)智能網(wǎng)聯(lián)汽車(chē)生產(chǎn)企業(yè)及產(chǎn)品準(zhǔn)入管理的意見(jiàn)》中明確，企業(yè)應(yīng)當(dāng)建立健全汽車(chē)數(shù)據(jù)安全管理制度，依法履行數(shù)據(jù)安全保護(hù)義務(wù)，明確責(zé)任部門(mén)和負(fù)責(zé)人。建立數(shù)據(jù)資產(chǎn)管理臺(tái)賬，實(shí)施數(shù)據(jù)分類(lèi)分級(jí)管理，加強(qiáng)個(gè)人信息與重要數(shù)據(jù)保護(hù)。建設(shè)數(shù)據(jù)安全保護(hù)技術(shù)措施，確保數(shù)據(jù)持續(xù)處于有效保護(hù)和合法利用的狀態(tài)，依法依規(guī)落實(shí)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估、數(shù)據(jù)安全事件報(bào)告等要求。
此外，我國(guó)首部針對(duì)汽車(chē)數(shù)據(jù)安全制定的法規(guī)——《汽車(chē)數(shù)據(jù)安全管理若干規(guī)定（試行）》則首次清晰界定了“汽車(chē)數(shù)據(jù)處理者”和“重要數(shù)據(jù)”類(lèi)型等內(nèi)容。上述法規(guī)規(guī)定，涉及個(gè)人信息主體超過(guò)10萬(wàn)人的個(gè)人信息就屬于重要數(shù)據(jù)，在數(shù)據(jù)出境等方面受到限制。
無(wú)錫數(shù)字經(jīng)濟(jì)研究院院長(zhǎng)吳琦認(rèn)為，蔚來(lái)事件引發(fā)了人們對(duì)于平臺(tái)數(shù)據(jù)安全的思考。近兩年，我國(guó)通過(guò)數(shù)據(jù)安全法等法律法規(guī)已經(jīng)對(duì)企業(yè)提出了要求，但目前有一部分條例主要是依靠企業(yè)的自覺(jué)性，存在“守門(mén)人”自治的情況?！耙虼宋艺J(rèn)為，從整個(gè)平臺(tái)角度進(jìn)一步約束、加強(qiáng)立法的角度來(lái)考慮事情是有必要的。”