文 丨 新浪財(cái)經(jīng) 周文猛
一大批蔚來車主的身份證ID以及家庭地址信息，正在網(wǎng)絡(luò)上被賤賣。
截至目前，蔚來方面道歉三次，分別是官方、創(chuàng)始人李斌以及首席信息安全科學(xué)家。但是，事態(tài)并未就此歇停。
在蔚來內(nèi)部社區(qū)，一大批車主們“炸開了鍋”：
“道歉太表面客套了”。
“具體泄露了哪些信息類型為何不說？”
“抱歉有用嗎？沒本事別天天吹會(huì)保護(hù)客戶隱私。”
“每天都接到騷擾電話十幾個(gè)！”
…………
這讓人回想起了去年的“聯(lián)合聲明”事件，一部分車主對(duì)蔚來品牌的維護(hù)，像極了飯圈的粉絲在維護(hù)自己的偶像。但這一次，車主們的言論出奇的一致。很明顯，支持李斌的粉絲少了，理性車主的比重在增加。
而據(jù)中國政法大學(xué)知識(shí)產(chǎn)權(quán)研究中心研究員趙占領(lǐng)等多位律師對(duì)新浪財(cái)經(jīng)介紹，“如果最終確定蔚來未在數(shù)據(jù)泄露過程中盡到信息安全保障的義務(wù)，則將必須賠償給用戶造成的全部損失，同時(shí)還面臨行政處罰的后果。”
“炸開鍋”的內(nèi)部社區(qū)
12月20日下午，蔚來首席信息安全科學(xué)家、信息安全委員會(huì)負(fù)責(zé)人盧龍?jiān)谖祦砉俜缴鐓^(qū)發(fā)布公告稱，2022年12月11日，蔚來公司收到外部郵件，聲稱擁有蔚來內(nèi)部數(shù)據(jù)，并以泄露數(shù)據(jù)勒索225萬美元（當(dāng)前約1570.5萬元人民幣）等額比特幣。
據(jù)盧龍透露，在收到勒索郵件后，蔚來當(dāng)天即成立專項(xiàng)小組進(jìn)行調(diào)查與應(yīng)對(duì)，并第一時(shí)間向有關(guān)監(jiān)管部門報(bào)告此事件。經(jīng)初步調(diào)查，被竊取數(shù)據(jù)為2021年8月之前的部分用戶基本信息和車輛銷售信息。
為安撫車主情緒，蔚來創(chuàng)始人、董事長(zhǎng)、首席執(zhí)行官李斌還在公示下評(píng)論稱，“非常抱歉發(fā)生這樣的事。沒有保護(hù)好用戶信息安全是我們的責(zé)任，向大家深表歉意，會(huì)對(duì)此次事件給用戶帶來的損失承擔(dān)責(zé)任。我們會(huì)協(xié)同有關(guān)部門深入調(diào)查此次事件，對(duì)竊取和買賣此次事件相關(guān)數(shù)據(jù)的違法犯罪行為追查到底。”
然而，李斌的道歉并不能讓所有車主滿意。就在該條公告下，不少車主很快便吵開了。
有昵稱為peony的車主直接表示，“作為董事長(zhǎng)在這里說這些不痛不癢的官話純屬扯淡，這么大的事兒是道歉可以解決的么？ 蔚來這么大的公司怎么做的信息安全？在大數(shù)據(jù)的今天蔚來連做基本的都做不好，造車的前程，表示呵呵。”
也有昵稱為Gaofeng動(dòng)動(dòng)的車主表示，“這件事我覺得蔚來做的挺讓人失望的，你自己犯的錯(cuò)導(dǎo)致泄漏不去彌補(bǔ)，選擇美其名日‘彌補(bǔ)用戶損失’？怎么彌補(bǔ)？有方案么？如果沒有，那不就是想博取原諒么？”
此外，除了呼吁“讓蔚來的首席信息官直接下課”的聲音外，一些極端的社區(qū)用戶甚至喊出了“趕緊燒車！”的口號(hào)。據(jù)介紹，目前已有大量車主持續(xù)多次收到騷擾電話，已經(jīng)造成實(shí)質(zhì)性用戶信息泄露并開始影響被泄露者生活、工作。
在網(wǎng)上流傳的一份泄露數(shù)據(jù)信息圖顯示，蔚來此次泄露的信息主要包括2.28萬條內(nèi)部員工數(shù)據(jù)，售價(jià)0.15比特幣；39.9萬條車主用戶身份證數(shù)據(jù)，售價(jià)0.25比特幣；以及65萬條用戶地址數(shù)據(jù)，售價(jià)0.15比特幣。
據(jù)新浪財(cái)經(jīng)不完全統(tǒng)計(jì)，此次泄露的車主數(shù)據(jù)信息，大幅度超出了蔚來截至2022年10月31日累計(jì)交付的259563輛車數(shù)。如果再將時(shí)間提前至蔚來首席信息安全科學(xué)家盧龍所說的2021年8月之前，則泄露的情況則將變得更加嚴(yán)重。
要知道，即便是截止2021年12月，蔚來累計(jì)賣出的車輛也才僅17萬輛左右，這遠(yuǎn)遠(yuǎn)低于黑客們所說的39.9萬車主身份證信息。這意味著，除了已經(jīng)購車的車主面臨數(shù)據(jù)泄露之外，還有大量的蔚來潛在車主，也面臨著數(shù)據(jù)泄露風(fēng)險(xiǎn)。
蔚來面臨何種責(zé)任？
一片吐槽之下，導(dǎo)致超百萬車主用戶信息泄露的蔚來，除了道歉外，還需要承擔(dān)哪些具體的責(zé)任呢？是否需要給出一些更加具體的賠償補(bǔ)救措施？
在中國政法大學(xué)知識(shí)產(chǎn)權(quán)研究中心研究員趙占領(lǐng)看來，“由于目前蔚來方面給出的單方聲明，并未清楚說明用戶數(shù)據(jù)被盜的原因，因此對(duì)于該如何承擔(dān)責(zé)任，是進(jìn)行金錢還是其他形式的賠償也并不清楚。但如果用戶數(shù)據(jù)被盜取的原因得以明確，蔚來公司在此過程中如果沒有盡到信息安全保障義務(wù)，則蔚來公司必須賠償給用戶造成的全部損失，同時(shí)還需要承擔(dān)行政處罰責(zé)任。”
據(jù)趙占領(lǐng)介紹，根據(jù)《個(gè)人信息保護(hù)法》規(guī)定，蔚來公司作為個(gè)人信息處理者，應(yīng)該履行信息安全保障義務(wù)。蔚來應(yīng)當(dāng)根據(jù)個(gè)人信息的處理目的、處理方式、個(gè)人信息的種類以及對(duì)個(gè)人權(quán)益的影響、可能存在的安全風(fēng)險(xiǎn)等，采取下列措施確保個(gè)人信息：（一）制定內(nèi)部管理制度和操作規(guī)程；（二）對(duì)個(gè)人信息實(shí)行分類管理；（三）采取相應(yīng)的加密、去標(biāo)識(shí)化等安全技術(shù)措施；（四）合理確定個(gè)人信息處理的操作權(quán)限，并定期對(duì)從業(yè)人員進(jìn)行安全教育和培訓(xùn)；（五）制定并組織實(shí)施個(gè)人信息安全事件應(yīng)急預(yù)案。
“這次事件中蔚來公司是否承擔(dān)責(zé)任，關(guān)鍵看是否盡到前述信息安全義務(wù)。這需要結(jié)合用戶數(shù)據(jù)被盜的具體方式和途徑來判斷。”趙占領(lǐng)表示。對(duì)于這一判斷，北京乾成律師事務(wù)所高級(jí)合伙人徐春江深表認(rèn)同。在他看來，在這起事件中，蔚來既可能面臨對(duì)用戶承擔(dān)責(zé)任，但同時(shí)也是勒索受害方，最終的責(zé)任方式及賠償數(shù)額，還需要結(jié)合用戶的具體受損情況確定。
“根據(jù)《中華人民共和國個(gè)人信息保護(hù)法》第六十九條規(guī)定，處理個(gè)人信息侵害個(gè)人信息權(quán)益造成損害，個(gè)人信息處理者不能證明自己沒有過錯(cuò)的，應(yīng)當(dāng)承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任。也就是說，在個(gè)人信息遭受損害時(shí)，蔚來作為個(gè)人信息處理者需要承擔(dān)過錯(cuò)推定責(zé)任，蔚來需要證明其沒有過錯(cuò)，否則需要承擔(dān)損害賠償責(zé)任。”徐春江表示。
此外，上海段和段律師事務(wù)所劉春泉律師同樣對(duì)新浪財(cái)經(jīng)指出，“根據(jù)我國《網(wǎng)絡(luò)安全法》第40條，蔚來有義務(wù)為收集的信息嚴(yán)格保密，并建立健全用戶信息保護(hù)制度的義務(wù)。如果蔚來沒有遵循法律規(guī)定履行合規(guī)動(dòng)作，待將來查明事實(shí)后，行政機(jī)關(guān)可能會(huì)根據(jù)企業(yè)合規(guī)情況，確定其是否應(yīng)當(dāng)承擔(dān)責(zé)任，以及需要承擔(dān)什么性質(zhì)處罰責(zé)任。”
此外，劉春泉還指出，“在出現(xiàn)安全問題后，企業(yè)也應(yīng)該及時(shí)向有關(guān)部門報(bào)告，采取補(bǔ)救措施并告知用戶，否則也會(huì)進(jìn)一步遭受合規(guī)風(fēng)險(xiǎn)。”
據(jù)《個(gè)人信息保護(hù)法》規(guī)定，當(dāng)發(fā)生或者可能發(fā)生個(gè)人信息泄露、篡改、丟失時(shí)，個(gè)人信息處理者應(yīng)當(dāng)立即采取補(bǔ)救措施，并通知履行個(gè)人信息保護(hù)職責(zé)的部門和個(gè)人。此外，在《蔚來汽車隱私政策》中，類似的條文也有著不少篇幅描述。然而在蔚來車友圈，多位車主先后表示，“自己至今沒有收到蔚來方面給到的任何短信或者郵件提示。在社區(qū)也是找了半天才找到蔚來方面出具的公示文章。”
劉春泉建議道，“當(dāng)企業(yè)泄露個(gè)人信息導(dǎo)致個(gè)人利益受損，個(gè)人可以向有管轄權(quán)的行政機(jī)關(guān)投訴舉報(bào)，或者向消保機(jī)構(gòu)起訴，甚至可以到人民法院起訴索賠。”
事故頻發(fā)的蔚來，怎么了？
近一年來，蔚來可謂是流年不利。
今年初，受疫情影響，蔚來成為了受影響最大的新能源汽車廠商之一。4月份，蔚來官方App發(fā)布關(guān)于近期生產(chǎn)與交付情況的說明稱，因?yàn)橐咔樵颍祦碚嚿a(chǎn)已經(jīng)暫停，這直接導(dǎo)致了蔚來4月份僅交付新車5074輛，同比下降28.6%。
而在隨后的6月份，蔚來又連續(xù)出現(xiàn)“高空墜樓事故”和“被國際做空機(jī)構(gòu)做空”兩起負(fù)面新聞。蔚來后續(xù)的不當(dāng)回應(yīng)，也在網(wǎng)絡(luò)上掀起一陣不滿情緒。
不止于此，隨著新能源汽車進(jìn)入智能化下半場(chǎng)，競(jìng)爭(zhēng)越發(fā)激烈。過去一直被視為第二梯隊(duì)的零跑汽車、哪吒汽車開始發(fā)力，也開始坐穩(wěn)交付量新勢(shì)力前二，實(shí)現(xiàn)了對(duì)第一梯隊(duì)的超車。把蔚來這個(gè)曾經(jīng)的“新勢(shì)力一哥”，甩到了身后。
一時(shí)之間，“蔚來掉隊(duì)了？”等言論也開始不斷出現(xiàn)。
如今，隨著車主數(shù)據(jù)泄露事件的發(fā)生，蔚來在自己的消費(fèi)者們面前的形象，無疑再一次跌到了谷底。蔚來泄露用戶數(shù)據(jù)事件背后，智能汽車信息安全如何防范？也成為了越來越多消費(fèi)者關(guān)注的焦點(diǎn)。
近年來，隨著汽車的智能化發(fā)展日趨深入，同時(shí)智能汽車逐漸被認(rèn)為將是下一代智能終端，信息安全正在成為一道新的課題。然而，由于智能汽車同時(shí)涉及自動(dòng)駕駛、云計(jì)算、智能交互等多元技術(shù)領(lǐng)域，各類軟硬件技術(shù)供應(yīng)商隨之增多，使得智能汽車的軟件系統(tǒng)日趨復(fù)雜，這給信息安全防護(hù)帶來了一定的難度。
作為國內(nèi)常以“高端智能電動(dòng)汽車”標(biāo)榜自己的品牌，蔚來或許需要認(rèn)真地掂量一下自己的智能技術(shù)以及安全能力是否匹配了。事實(shí)上，這已是今年來蔚來第二次發(fā)生重大信息安全事件。今年4月，蔚來在一份內(nèi)部通告中表示，2021年9月1日，蔚來風(fēng)險(xiǎn)管理部門收到相關(guān)投訴表明，該公司的一位員工利用職位之便，使用公司內(nèi)部服務(wù)器進(jìn)行了以太坊挖礦，時(shí)間長(zhǎng)達(dá)一年以上，經(jīng)過內(nèi)部授權(quán)調(diào)查，蔚來證實(shí)該事件屬實(shí)。
