當(dāng)當(dāng)被曝嚴(yán)重系統(tǒng)漏洞 用戶信息可被輕易竊取

????

??? 知名網(wǎng)絡(luò)安全平臺發(fā)布消息稱，國內(nèi)著名的電子商務(wù)網(wǎng)站當(dāng)當(dāng)網(wǎng)存在嚴(yán)重系統(tǒng)漏洞，其4000萬用戶資料可被網(wǎng)友輕易地竊取。隨后當(dāng)當(dāng)網(wǎng)方面作出回應(yīng)，稱該漏洞經(jīng)發(fā)現(xiàn)后第一時(shí)間已修復(fù)。

????網(wǎng)友“張永生”在微博上透露，經(jīng)他個(gè)人測試，個(gè)人用戶輕易就可以抓取到總共4000多萬個(gè)當(dāng)當(dāng)用戶的姓名、聯(lián)系方式、地址等個(gè)人詳細(xì)資料。而網(wǎng)友“單eye皮”更是表示，經(jīng)測試當(dāng)當(dāng)網(wǎng)所泄露的準(zhǔn)確的用戶個(gè)人資料數(shù)量達(dá)：41637995 條，不少作為當(dāng)當(dāng)用戶的網(wǎng)友在得知這個(gè)消息后，通過漏洞赤裸裸地看到自己的個(gè)人信息暴露在公眾之下，都主動進(jìn)入當(dāng)當(dāng)網(wǎng)將個(gè)人信息刪除。網(wǎng)友“hntangwei”更是在微博中調(diào)侃當(dāng)當(dāng)網(wǎng)和當(dāng)當(dāng)網(wǎng)的CEO李國慶：“作為前當(dāng)當(dāng)用戶，我能不能要求把自己的信息刪除掉？請當(dāng)當(dāng)網(wǎng)和李國慶為用戶開發(fā)一個(gè)取消注冊功能！”

????第三方安全問題反饋平臺烏云漏洞平臺透過其官方微博發(fā)布的信息顯示，當(dāng)當(dāng)網(wǎng)存在著設(shè)計(jì)缺陷或邏輯方面的錯(cuò)誤，烏云漏洞平臺提供了當(dāng)當(dāng)網(wǎng)漏洞的詳細(xì)說明和漏洞證明，別有用心的用戶可以輕易查看在當(dāng)當(dāng)網(wǎng)購買產(chǎn)品的用戶的姓名、聯(lián)系方式、地址等詳細(xì)資料，大量用戶的資料或因此被泄露。

????值得注意的是，烏云-漏洞報(bào)告平臺負(fù)責(zé)人通過微博平臺告訴南方日報(bào)，他們發(fā)現(xiàn)當(dāng)當(dāng)網(wǎng)系統(tǒng)漏洞后，第一時(shí)間通過線上線下方式告示當(dāng)當(dāng)網(wǎng)。但是面對此重大系統(tǒng)漏洞問題，當(dāng)當(dāng)網(wǎng)同樣選擇回避。直到網(wǎng)友信息被大量泄漏，系統(tǒng)漏洞被直接公開后，才選擇修復(fù)?！拔覀冇欣碛上嘈?，當(dāng)當(dāng)網(wǎng)明知其千萬用戶隱私信息被竊取，而選擇寧愿不作為?！?/p>

 ???當(dāng)當(dāng)網(wǎng)“倉促”冷卻泄密事件

????據(jù)烏云漏洞平臺介紹，當(dāng)當(dāng)網(wǎng)在得知其存在如此重大的信息漏洞后，第一時(shí)間采用的是屏蔽網(wǎng)友訪問的方法來進(jìn)行修復(fù)，其手法也是非?！皹I(yè)余”。從專業(yè)的安全領(lǐng)域?qū)＜襾砜?，問題遠(yuǎn)未得到應(yīng)有的重視，而事件的主角當(dāng)當(dāng)網(wǎng)方面更是有逃避責(zé)任之嫌。

????國內(nèi)某黑客組織負(fù)責(zé)人黃先生在接受南方日報(bào)記者采訪時(shí)表示，此次當(dāng)當(dāng)網(wǎng)所泄露的用戶資料的嚴(yán)重性，其實(shí)已經(jīng)可以媲美今年曾經(jīng)一度讓索尼頻臨危機(jī)、甚至讓CEO下臺的黑客入侵盜取資料事件。今年4月，索尼宣布遭黑客侵入索尼公司位于美國圣迭戈市的數(shù)據(jù)服務(wù)器，竊取了索尼PS3和音樂、動畫云服務(wù)網(wǎng)絡(luò)Qriocity用戶登錄的個(gè)人信息，包括姓名、住址、生日、登錄名和密碼等，受影響用戶多達(dá)7700萬人，涉及57個(gè)國家和地區(qū)，這起最多可能導(dǎo)致約1億人份的個(gè)人信息外泄，曾一度讓索尼被迫停止在線游戲服務(wù)的個(gè)人信息遭竊事件堪稱迄今為止規(guī)模最大的一次。

????相對比全球矚目的索尼泄露個(gè)人信息事件，當(dāng)當(dāng)網(wǎng)方面的回應(yīng)和處理則要顯得“輕描淡寫”?！叭绱瞬萋实奶幚矸绞?，其實(shí)一方面體現(xiàn)了當(dāng)當(dāng)網(wǎng)對用戶資料泄露的問題的不夠重視，罔顧用戶利益。另外一方面，可能也是當(dāng)當(dāng)網(wǎng)希望能夠迅速把事件通過公關(guān)手段給‘冷卻’下來，避免遭到應(yīng)有的懲罰?！秉S先生對當(dāng)當(dāng)網(wǎng)的處理方式非常不滿?！爱?dāng)當(dāng)網(wǎng)至少應(yīng)該公布具體遭泄露個(gè)人信息的用戶數(shù)量，同時(shí)對所有遭泄露個(gè)人信息的用戶提供賠償！”黃先生最后補(bǔ)充道。

????當(dāng)當(dāng)網(wǎng)漏洞泄露用戶信息的事件除了應(yīng)當(dāng)承擔(dān)用戶的賠償損失外，有法律界人士也指出，當(dāng)當(dāng)網(wǎng)同時(shí)還有可能觸及了國家在互聯(lián)網(wǎng)管理和個(gè)人隱私方面的相關(guān)法律法規(guī)。據(jù)記者了解，在今年8月，工信部就對《互聯(lián)網(wǎng)信息服務(wù)管理規(guī)定》開始公開征求意見。其中，對互聯(lián)網(wǎng)信息服務(wù)提供者收集個(gè)人信息行為作出了明確的規(guī)定?！痘ヂ?lián)網(wǎng)信息服務(wù)管理規(guī)定》第十三條特別指出，互聯(lián)網(wǎng)信息服務(wù)提供者應(yīng)當(dāng)妥善保管用戶個(gè)人信息。發(fā)生網(wǎng)絡(luò)安全事件造成或者可能造成用戶個(gè)人信息泄露的，相關(guān)互聯(lián)網(wǎng)信息服務(wù)提供者應(yīng)當(dāng)立即采取補(bǔ)救措施；造成或者可能造成嚴(yán)重后果的，應(yīng)當(dāng)立即向工業(yè)和信息化部及相關(guān)省、自治區(qū)、直轄市通信管理局報(bào)告，并配合相關(guān)部門進(jìn)行調(diào)查處理。

????而就在剛結(jié)束的十一屆全國人大常委會第二十三次會議上，也表決通過關(guān)于修改居民身份證法的決定，修改后的居民身份證法加大了對泄露公民個(gè)人信息行為的處罰力度。泄露公民個(gè)人信息，不僅要面臨刑事處罰，還要承擔(dān)經(jīng)濟(jì)賠償?shù)让袷仑?zé)任。

????這也就是說，如果確定是當(dāng)當(dāng)網(wǎng)泄露了公民個(gè)人信息，公民可依法提起民事訴訟，要求賠償。面對如此嚴(yán)重的法律后果，也不難理解當(dāng)當(dāng)網(wǎng)為何公關(guān)“倉促”冷卻事件了。

 ???國內(nèi)個(gè)人信息安全存在隱患

????“從專業(yè)安全領(lǐng)域來看，這次當(dāng)當(dāng)網(wǎng)泄漏用戶資料的事件可謂非常嚴(yán)重?！苯鹕骄W(wǎng)絡(luò)反病毒工程師李鐵軍(微博)在接受南方日報(bào)記者采訪時(shí)對這次事件發(fā)表了自己的看法，“從問題曝光之后，在安全領(lǐng)域的圈內(nèi)引起了極大的反響，有網(wǎng)友利用漏洞輕易獲取了當(dāng)當(dāng)網(wǎng)上超過4000萬用戶的詳細(xì)個(gè)人信息，雖然當(dāng)當(dāng)網(wǎng)方面宣稱是因?yàn)樾孪到y(tǒng)上線導(dǎo)致的短時(shí)間內(nèi)的漏洞，但是其實(shí)從技術(shù)上很難判斷這個(gè)漏洞是最近才有還是一直存在的，總共到底有多少用戶資料被泄漏?！崩铊F軍認(rèn)為當(dāng)當(dāng)網(wǎng)的處理說法并不夠說服力，更多的是用來應(yīng)付普羅大眾的公關(guān)舉措。

????“通過當(dāng)當(dāng)網(wǎng)這個(gè)事件，應(yīng)該敲響對安全領(lǐng)域特別是個(gè)人信息安全的警鐘?！崩铊F軍特別強(qiáng)調(diào)了每個(gè)用戶應(yīng)該重視自己的信息安全?！爸袊M(fèi)者安全意識還過于薄弱，普遍的現(xiàn)象是如果自己的信息在身邊被泄漏的話，可能還會比較緊張，但是通過第三方，如網(wǎng)絡(luò)這些渠道的泄漏，則顯得無所謂，但是危害其實(shí)非常大！”近日就有媒體報(bào)道了個(gè)人資料泄露造成損失的案例：一位遠(yuǎn)在上海的消費(fèi)者從電子商務(wù)網(wǎng)站上購買物品后選擇了貨到付款方式，結(jié)果沒有想到所購買的真貨還沒有送到，騙子已經(jīng)捷足先登，搶先于正規(guī)的電子商務(wù)網(wǎng)站送貨上門并領(lǐng)走貨款，用戶和電子商務(wù)網(wǎng)站多番交涉后才知道原來中間被騙。這個(gè)案例的最大根源就是不法分子利用非法手段盜取了消費(fèi)者的購物信息，然后再利用網(wǎng)上購物需要進(jìn)行商品配送的特點(diǎn)對消費(fèi)者進(jìn)行了詐騙。