數(shù)據(jù)泄漏，被勒索225萬(wàn)美元，蔚來(lái)的剛與車(chē)主的憂(yōu)

第一電動(dòng)大牛作者電動(dòng)汽車(chē)用戶(hù)聯(lián)盟 2022-12-22 17:25

2022年12月20日，被勒索的第9天，蔚來(lái)終于發(fā)布了聲明。而這也證實(shí)了當(dāng)日有人在網(wǎng)絡(luò)上大肆買(mǎi)賣(mài)蔚來(lái)內(nèi)部數(shù)據(jù)的事件以及蔚來(lái)遭受數(shù)據(jù)泄漏的事實(shí)。

對(duì)225萬(wàn)美元等額比特幣的勒索，蔚來(lái)的態(tài)度很明確，堅(jiān)決不會(huì)向網(wǎng)絡(luò)犯罪行為低頭。同時(shí)，也誠(chéng)懇道歉并承諾會(huì)對(duì)本次事件給用戶(hù)造成的損失承擔(dān)責(zé)任。

在這一事件中，蔚來(lái)數(shù)據(jù)泄漏被黑客勒索值得被人同情，但于此同時(shí)，這些被盜竊的信息會(huì)落入誰(shuí)的手中，又會(huì)被拿來(lái)作何用途，才是懸在蔚來(lái)和用戶(hù)頭上的達(dá)摩克利斯之劍。

在調(diào)查結(jié)果水落石出之前，誰(shuí)都無(wú)法松下這口氣。

被勒索9天后，蔚來(lái)發(fā)出聲明

2022年12月20日，一個(gè)名為“蔚來(lái)用戶(hù)”的賬號(hào)在蔚來(lái)APP社區(qū)中發(fā)布了一則《揭露蔚來(lái)虛偽，對(duì)其進(jìn)行懲罰，保護(hù)用戶(hù)》的帖子，聲稱(chēng)：“我們破解了蔚來(lái)的大量數(shù)據(jù)，但由于蔚來(lái)不愿買(mǎi)斷數(shù)據(jù)，所以決定有償曝光?！?/span>

帖子中還貼出了相關(guān)數(shù)據(jù)頁(yè)面的截圖，并描述了這些數(shù)據(jù)的具體數(shù)量、指向?qū)ο?、售賣(mài)對(duì)象以及售價(jià)。其中包含了蔚來(lái)內(nèi)部員工數(shù)據(jù)2.28萬(wàn)條、車(chē)主用戶(hù)身份證數(shù)據(jù)39.9萬(wàn)條、車(chē)主貸款數(shù)據(jù)17萬(wàn)條、車(chē)主數(shù)據(jù)12.5萬(wàn)條、用戶(hù)地址數(shù)據(jù)65萬(wàn)條、車(chē)主親密數(shù)據(jù)36萬(wàn)條、蔚來(lái)注冊(cè)用戶(hù)數(shù)據(jù)485萬(wàn)條、訂單數(shù)據(jù)49萬(wàn)條和退單數(shù)據(jù)9萬(wàn)條，以及企業(yè)及企業(yè)代表聯(lián)系人數(shù)據(jù)1萬(wàn)條。而所有這些數(shù)據(jù)打包價(jià)為1比特幣。

除了在蔚來(lái)APP中發(fā)帖以外，根據(jù)網(wǎng)絡(luò)流傳的截圖，這名“蔚來(lái)用戶(hù)”還在微信群中發(fā)送了相同的內(nèi)容。

下午16時(shí)左右，蔚來(lái)首席信息安全科學(xué)家，信息安全委員會(huì)負(fù)責(zé)人盧龍?jiān)谖祦?lái)APP社區(qū)中發(fā)布了一則《關(guān)于數(shù)據(jù)安全事件的聲明》，對(duì)這一事件做出了回應(yīng)。

從回應(yīng)中可以了解到，12月11日蔚來(lái)就已經(jīng)收到了外部郵件，對(duì)方聲稱(chēng)擁有蔚來(lái)內(nèi)部數(shù)據(jù)，并向蔚來(lái)勒索225萬(wàn)美元等額比特幣（折合人民幣1568萬(wàn)元），按照安全事件響應(yīng)機(jī)制，蔚來(lái)在當(dāng)天成立了專(zhuān)項(xiàng)應(yīng)急小組。

根據(jù)蔚來(lái)的初步調(diào)查，被竊取的數(shù)據(jù)為2021年8月之前的部分用戶(hù)基本信息和車(chē)輛銷(xiāo)售數(shù)據(jù)。盧龍也在帖子下進(jìn)一步補(bǔ)充：“本次事件不涉及車(chē)輛使用中產(chǎn)生的數(shù)據(jù)（如行車(chē)軌跡、座艙數(shù)據(jù)），也不影響車(chē)輛的乘駕或遠(yuǎn)程控制?！?/span>

李斌本人也對(duì)這次事件進(jìn)行了道歉，表示會(huì)承擔(dān)起相關(guān)的責(zé)任，也會(huì)追查到底，不會(huì)與不法行為妥協(xié)。

蔚來(lái)用戶(hù)：怎么負(fù)責(zé)？

在回應(yīng)中，蔚來(lái)和李斌均表示會(huì)對(duì)此次事件給用戶(hù)造成的損失承擔(dān)責(zé)任，這種愿意負(fù)責(zé)任的態(tài)度在大多數(shù)人看來(lái)是值得肯定的，但是不少蔚來(lái)用戶(hù)卻并不買(mǎi)賬。

首先是針對(duì)蔚來(lái)發(fā)聲明的舉措。

有用戶(hù)認(rèn)為個(gè)人隱私泄露是大事，蔚來(lái)沒(méi)有對(duì)用戶(hù)做充分的信息披露，也沒(méi)有相應(yīng)的事件后續(xù)說(shuō)明。

同時(shí)，有人從數(shù)據(jù)情報(bào)工作者的身份指出了事件的嚴(yán)重程度，并對(duì)聲明中沒(méi)有對(duì)所泄露信息范圍和信息內(nèi)容進(jìn)行說(shuō)明的做法提出了質(zhì)疑。

其次是針對(duì)信息泄露之后，蔚來(lái)要如何承擔(dān)責(zé)任。

有用戶(hù)非常犀利地指出了信息被泄露之后的舉證問(wèn)題，認(rèn)為即便給用戶(hù)造成了損失，也無(wú)法對(duì)證。

最后，事件既然已經(jīng)發(fā)生了，當(dāng)務(wù)之急是蔚來(lái)會(huì)做出什么樣的補(bǔ)救措施。這位車(chē)主希望蔚來(lái)可以給出一些實(shí)用的方法，讓用戶(hù)擺脫被動(dòng)局面。

我們從《蔚來(lái)汽車(chē)隱私政策》上了解到，對(duì)于安全事件的響應(yīng)，蔚來(lái)需要按照法律法規(guī)的要求，及時(shí)向用戶(hù)告知“安全事件的基本情況和可能的影響、他們已經(jīng)采取的或?qū)⒁扇〉拇胧⒁约坝脩?hù)可以自主防范和降低風(fēng)險(xiǎn)的建議、對(duì)用戶(hù)的補(bǔ)救措施等”。但目前來(lái)看，這一塊的舉措仍是缺失的。

而且，從隱私政策上我們也發(fā)現(xiàn)，針對(duì)蔚來(lái)汽車(chē)產(chǎn)品/服務(wù)收集信息的場(chǎng)景非常多，一共包含了以下16個(gè)場(chǎng)景：賬戶(hù)注冊(cè)與登錄、購(gòu)車(chē)咨詢(xún)與車(chē)輛試駕、車(chē)輛訂購(gòu)、電池租用服務(wù)、融資租賃服務(wù)、保險(xiǎn)服務(wù)、電子協(xié)議簽署、車(chē)輛使用與遠(yuǎn)程車(chē)輛管理、車(chē)主服務(wù)于售后服務(wù)、商城購(gòu)物及支付、社區(qū)與即時(shí)通訊、活動(dòng)報(bào)名、客戶(hù)服務(wù)、運(yùn)營(yíng)安全與保障、信息推送、業(yè)務(wù)經(jīng)營(yíng)以及分析改進(jìn)。

收集的信息包括：個(gè)人信息、車(chē)輛信息、設(shè)備信息、日志信息、活動(dòng)信息等多個(gè)方面的用戶(hù)信息。那么此次安全事件所泄露的用戶(hù)信息究竟包含了哪些具體的內(nèi)容，是如黑客所稱(chēng)的，包含了車(chē)主用戶(hù)身份證、貸款數(shù)據(jù)、用戶(hù)地址數(shù)據(jù)、車(chē)主親密等等，還是只是蔚來(lái)初步調(diào)查所得知的車(chē)主基本信息和車(chē)輛訂單數(shù)據(jù)？這些都需要蔚來(lái)盡快給出答復(fù)。

蔚來(lái)的信息安全過(guò)往

隨著汽車(chē)智能化程度的不斷加深，近幾年，汽車(chē)行業(yè)遭遇黑客攻擊和勒索的事件也開(kāi)始層出不窮。今年以來(lái)，包括現(xiàn)代、起亞、沃爾沃、通用、寶馬、英偉達(dá)等汽車(chē)和供應(yīng)商企業(yè)，都被曝出遭遇黑客攻擊的事件。

蔚來(lái)執(zhí)行副總裁兼產(chǎn)品委員會(huì)主席周欣曾表示:“蔚來(lái)在成立之初，就已意識(shí)到，相比于傳統(tǒng)汽車(chē)，智能網(wǎng)聯(lián)汽車(chē)面臨著更多的信息安全挑戰(zhàn)：用戶(hù)觸點(diǎn)和功能多，數(shù)據(jù)類(lèi)型和規(guī)模大，網(wǎng)絡(luò)連接多樣化，智能駕駛系統(tǒng)復(fù)雜度高。”

因此，前期蔚來(lái)在信息安全方面可以說(shuō)是下了大工夫。并且，在去年的12月22日，蔚來(lái)就獲得了UN R155（聯(lián)合國(guó)歐洲經(jīng)濟(jì)委員會(huì)第155號(hào)法規(guī)）車(chē)輛網(wǎng)絡(luò)安全管理體系認(rèn)證，成為全球首批、中國(guó)首個(gè)獲得此項(xiàng)認(rèn)證的公司。

“得益于該體系的建設(shè)，蔚來(lái)具備了更高安全級(jí)別的道路車(chē)輛以及相關(guān)產(chǎn)品的研發(fā)能力和管理體系，保障產(chǎn)品抵御網(wǎng)絡(luò)安全威脅，在用戶(hù)或者相關(guān)產(chǎn)品在受到或者可能面臨網(wǎng)絡(luò)安全威脅的時(shí)候能夠以最快的速度以及有效的方式進(jìn)行響應(yīng)，幫助用戶(hù)消減風(fēng)險(xiǎn)。切實(shí)保護(hù)用戶(hù)的資產(chǎn)以及人身安全”，蔚來(lái)執(zhí)行副總裁兼質(zhì)量委員會(huì)主席沈峰博士也曾提及該體系的有效性。

不料，獲得認(rèn)證一年之后，卻發(fā)生了這樣一次數(shù)據(jù)安全事件。雖然蔚來(lái)稱(chēng)并未涉及到車(chē)輛使用中產(chǎn)生的數(shù)據(jù)，也不會(huì)影響車(chē)輛的乘駕或遠(yuǎn)程控制，但是也給蔚來(lái)的信息安全工作敲了警鐘。

黑客的攻擊行為固然是造成信息泄露的直接原因，但絕不能只歸罪于外因，內(nèi)因才是根本。

除了這次數(shù)據(jù)泄漏，有車(chē)主對(duì)車(chē)輛購(gòu)買(mǎi)、保險(xiǎn)續(xù)保時(shí)，蔚來(lái)在用戶(hù)信息收集和使用上的一些做法和安全等級(jí)也略有不滿(mǎn)。

有車(chē)主質(zhì)疑蔚來(lái)內(nèi)部員工的用戶(hù)信息使用權(quán)限過(guò)大。

還有用戶(hù)對(duì)蔚來(lái)內(nèi)部系統(tǒng)的管理提出了自己的憂(yōu)慮。

通過(guò)此次安全事件透露出的種種問(wèn)題，我們希望蔚來(lái)一方面能夠從中吸取教訓(xùn)，補(bǔ)足安全系統(tǒng)中的漏洞；而另一方面，則是針對(duì)這次被泄露的信息，盡快向用戶(hù)做好告知和補(bǔ)救，讓蔚來(lái)用戶(hù)可以更放心地購(gòu)買(mǎi)和使用蔚來(lái)的產(chǎn)品和服務(wù)。