華住酒店5億條用戶數(shù)據(jù)疑被泄露

　　這兩天，華住酒店集團數(shù)據(jù)信息疑遭泄露的消息引發(fā)熱議。遭信息泄露的酒店幾乎涵蓋了華住旗下所有的酒店類型。

　　這些數(shù)據(jù)涉及1.3億條身份信息、2.4億條開房記錄等共5億條信息，被標價為8比特幣或520門羅幣，約37萬人民幣出售。涉及的酒店包括漢庭、美爵、禧玥、諾富特等。

　　數(shù)據(jù)泄露時間為：2018年8月14日。

　　數(shù)據(jù)泄露范圍包括：官網(wǎng)注冊資料時所填寫的姓名、、郵箱、身份證號、登錄密碼等;入住登記身份信息以及酒店開房記錄。

　　華住集團多次在其官方微博上對此進行回應(yīng)，并發(fā)布聲明。聲明稱，華住已經(jīng)在第一時間報警，公安機關(guān)正在開展調(diào)查。

　　華住集團公關(guān)部經(jīng)理 董思宏：第一時間報警了，也找了第三方數(shù)據(jù)公司幫我們做核查，現(xiàn)在還在調(diào)查當中，結(jié)果還沒有出來。

　　有人表示，這次事故原因疑為華住公司程序員將數(shù)據(jù)庫連接方式上傳導(dǎo)致其泄露。關(guān)于這一點華住方面表示否認。

華住集團公關(guān)部經(jīng)理 董思宏：肯定不是我們員工泄露的

　　華住集團表示，目前正在配合警方進行調(diào)查，承諾將把調(diào)查結(jié)果盡快告知公眾。據(jù)了解，華住酒店在全國370多座城市，運營3000多家酒店。

　　對公眾關(guān)注的幾個焦點問題，“新華視點”記者采訪了業(yè)內(nèi)人士與專家。

　　一問：天量信息泄露可能產(chǎn)生哪些危害?

　　記者隨機測試了7個測試數(shù)據(jù)中的電話號碼，除了一個沒有打通之外，其他號碼與姓名都是相符的。有些測試對象表示近期確實入住過華住相關(guān)的酒店，還不知道個人信息可能泄露。

　　這些個人信息被泄露可能產(chǎn)生什么風(fēng)險?專家表示，可能會被用于多種場景，獲取非法利益。

　　較早公布這一泄露消息的國內(nèi)民間互聯(lián)網(wǎng)組織“網(wǎng)絡(luò)尖刀”團隊創(chuàng)始人之一曲子龍分析，用戶隱私數(shù)據(jù)泄露是一個特別多元的利益鏈，數(shù)據(jù)“黑市”由多種身份參與者組成：其中，

　　訂單信息泄露可能被不法分子用于“電信詐騙”;

　　身份信息可能被不法分子冒用到一些審核不嚴謹?shù)腜2P或其他金融平臺借貸;

　　行為數(shù)據(jù)可能被一些違規(guī)營銷公司做所謂的“大數(shù)據(jù)營銷”;

　　用戶賬戶密碼可能被不法分子用于在互聯(lián)網(wǎng)上撞庫攻擊盜取新的數(shù)據(jù)信息。

　　我國網(wǎng)絡(luò)安全法對發(fā)生或者可能發(fā)生個人信息泄露、毀損、丟失的情況規(guī)定了法律義務(wù)。網(wǎng)絡(luò)經(jīng)營者應(yīng)當立即采取補救措施，按照規(guī)定及時告知用戶，向有關(guān)主管部門報告。

　　二問：信息可能是從何種渠道泄露?

　　目前，關(guān)于信息的泄露渠道尚在核查中。曲子龍29日向記者表示，數(shù)據(jù)是否泄露，如果泄露具體因何引起，目前都是通過手中有限的內(nèi)容推斷的，具體情況還要等警方調(diào)查、華住集團核查的結(jié)果出來后才能得知。

　　據(jù)介紹，信息泄露的主要渠道有三種：

　　企業(yè)或外包公司安全意識不足，導(dǎo)致系統(tǒng)安全體系不完善；

　　內(nèi)部員工或離職員工主動泄露；

　　黑客惡意攻擊。

　　研究機構(gòu)發(fā)布的《2018網(wǎng)絡(luò)黑灰產(chǎn)治理研究報告》指出，“網(wǎng)絡(luò)黑灰產(chǎn)”每天都會發(fā)起17億次的惡意訪問試圖竊取數(shù)據(jù)。

　　根據(jù)360補天漏洞相應(yīng)平臺的數(shù)據(jù)，僅2017年1月至10月，共收錄可導(dǎo)致信息泄露的網(wǎng)站漏洞251個，涉及網(wǎng)站150個，共可能泄露信息51.2億條。

　　不少專家認為，目前，一些互聯(lián)網(wǎng)企業(yè)和正處于信息化轉(zhuǎn)型的傳統(tǒng)公司，用戶信息高度聚集，但安全意識卻沒能同步升級。“我們遇到的絕大多數(shù)個人信息泄露，都是管理過失和主觀錯誤。很多傳統(tǒng)機構(gòu)缺乏足夠的網(wǎng)絡(luò)安全技術(shù)能力，建設(shè)過程中甚至想不到這個問題，網(wǎng)絡(luò)安全沒有做到同步規(guī)劃、同步建設(shè)、同步運營。”360首席反詐騙專家裴智勇說，“‘門’鎖得緊緊的都很可能被黑客攻進來，更何況把‘門’打開”。

　　三問：信息一旦泄露如何盡量減少損失?

　　個人信息被泄露了損失能夠挽回嗎?專家介紹，與其他物品被盜相比，個人信息一旦泄露，理論上可以進行無限復(fù)制，只要有任意一個擁有者繼續(xù)傳播，就無法徹底追回。

　　專家說，通過修改密碼，可以減少更多信息被泄露的可能性。有華住賬號的用戶，可以立即修改賬號密碼;如果多個網(wǎng)站都使用同一個密碼，和華住一樣密碼的網(wǎng)站密碼也應(yīng)同步修改。

　　對于公司來說，必須切實加強網(wǎng)絡(luò)信息安全建設(shè)投入，加大對數(shù)據(jù)的加密行為、設(shè)置更為清晰的隱私策略和權(quán)限，重要數(shù)據(jù)庫只允許內(nèi)網(wǎng)訪問。“打比方，大家都裝起了護欄你卻沒有，那你就成為黑客攻擊目標。大家都沒有護欄而你有，黑客就會轉(zhuǎn)移目標。”裴智勇說。

　　四問：如何避免類似情況再次發(fā)生?

　　涉及信息泄露的企業(yè)該負哪些法律責(zé)任?裴智勇說，如果網(wǎng)站此前接收到漏洞報告卻沒有及時主動處理，屬于重大過失的，需要承擔(dān)較大的法律責(zé)任;如果這個攻擊技術(shù)是從未出現(xiàn)過的、業(yè)界任何人都防不住的，則法律責(zé)任相對較輕，“但后面這種情況很少見”。

　　多位專家表示，保護個人信息安全，不僅是企業(yè)的社會責(zé)任，更是法律義務(wù)。我國網(wǎng)絡(luò)安全法規(guī)定，網(wǎng)絡(luò)運營者應(yīng)當采取技術(shù)措施和其他必要措施，確保其收集的個人信息安全，防止信息泄露、損毀、丟失。專家認為，應(yīng)加強對企業(yè)的監(jiān)督和約束，倒逼其有效承擔(dān)信息安全保護責(zé)任。

　　專家還認為，從源頭收集端，加強防控和信息收集的規(guī)范是非常必要的。華東政法大學(xué)數(shù)據(jù)法律研究中心主任高富平表示，企業(yè)經(jīng)營者收集、使用消費者個人信息，應(yīng)當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)消費者同意。

　　《2018網(wǎng)絡(luò)黑灰產(chǎn)治理研究報告》指出，由于犯罪技術(shù)更加平民化，黑灰產(chǎn)技術(shù)犯罪的成本正逐步降低。因此必須加大治理力度，堅決打擊黑灰產(chǎn)。

　　專家提醒消費者：一方面應(yīng)利用法律手段保護自己，另一方面提高個人信息保護意識，慎重注冊APP和掃二維碼，提高密碼設(shè)置難度，不同平臺使用不同密碼，并設(shè)置字母+數(shù)字+符號的加強密碼，注意不定期修改密碼。

　　保護信息安全，刻不容緩!