誰(shuí)出賣了你的隱私？
——車企用戶敏感信息泄露調(diào)查

｜本刊見(jiàn)習(xí)記者/李少展

誰(shuí)出賣了你的隱私？
——車企用戶敏感信息泄露調(diào)查

當(dāng)你剛買完車就接到車險(xiǎn)推銷的電話時(shí)，請(qǐng)不要太驚訝。

因?yàn)槟愕膫€(gè)人敏感信息，很可能早已變成excel里的一行數(shù)據(jù)，被貼上1到5元不等的價(jià)簽，變賣于數(shù)據(jù)黑市之上。一方面，我們當(dāng)然要向數(shù)據(jù)販子們追究責(zé)任，另一方面，我們也需要知道那些保留用戶隱私數(shù)據(jù)的企業(yè)們是否足夠重視“用戶信息安全”。

《消費(fèi)者報(bào)道》重新梳理互聯(lián)網(wǎng)安全漏洞報(bào)告平臺(tái)——烏云網(wǎng)上的7000多條涉及敏感信息泄露的安全漏洞發(fā)現(xiàn)，答案并不盡如人意。10萬(wàn)雪鐵龍車主信息或遭泄露的同時(shí)，奔馳、寶馬、凱迪拉克官方網(wǎng)站上的信息漏洞卻兩年不補(bǔ)。時(shí)下流行到瘋狂的打車軟件車主、用戶信息漏洞中，滴滴、快的和優(yōu)步也是“榜上有名”。

——專題執(zhí)筆 李少展 劉家路

10萬(wàn)雪鐵龍車主信息或遭泄露

｜本刊見(jiàn)習(xí)記者/李少展

目前汽車行業(yè)沒(méi)有較成熟的網(wǎng)絡(luò)安全管理體系，運(yùn)營(yíng)和行政人員的安全素質(zhì)都有待提高，很多車企網(wǎng)站是外包給第三方公司開(kāi)發(fā)的，沒(méi)有交付信息安全公司進(jìn)行評(píng)估，就有可能留下信息安全風(fēng)險(xiǎn)。

“一邊整理車企的安全漏洞，一邊覺(jué)得這可能真是個(gè)大事”。2015年5月，互聯(lián)網(wǎng)安全漏洞報(bào)告平臺(tái)——烏云網(wǎng)合伙人鄔迪告訴《消費(fèi)者報(bào)道》記者，在重新評(píng)估因車企網(wǎng)站漏洞而涉及到的車主信息泄露時(shí)，他覺(jué)得“超出了自己的想象”。

想象已經(jīng)部分變成現(xiàn)實(shí)。一方面，黑客“拿下”一個(gè)個(gè)車企網(wǎng)站數(shù)據(jù)庫(kù)，再轉(zhuǎn)手交由數(shù)據(jù)販子以每條1至5塊錢的價(jià)格倒賣。另一方面，車企信息安全意識(shí)淡薄，以至于對(duì)于已知的網(wǎng)站漏洞長(zhǎng)期不管不顧，任由車主信息泄露。

雪鐵龍車主信息泄露規(guī)模或超10萬(wàn)

“全國(guó)東風(fēng)雪鐵龍網(wǎng)站后臺(tái)的售前信息我都有，還可以提供即時(shí)的”，一位網(wǎng)名叫做“貓哥”的黑客在網(wǎng)絡(luò)上兜售車主信息。

為了證明所言非虛，“貓哥”提供了數(shù)據(jù)庫(kù)截圖。截圖上顯示了7個(gè)城市的15個(gè)訂單信息，具體包括了車主姓名、手機(jī)號(hào)碼、意向購(gòu)車型號(hào)。下單時(shí)間則集中在2015年5月4日晚8點(diǎn)以后，最新的訂單信息則發(fā)生在5分鐘之前。到底有多少條車主信息？黑客“貓哥”提供的數(shù)據(jù)截屏顯示，其后還有540676條信息。不過(guò)黑客向記者解釋，“54萬(wàn)條數(shù)據(jù)里重復(fù)的很多，不算重復(fù)的，有10萬(wàn)條售前信息”。

除幾個(gè)沒(méi)有撥通的電話外，經(jīng)本刊記者隨機(jī)電話確認(rèn)，黑客提供的電話主人都是不久前購(gòu)買過(guò)東風(fēng)雪鐵龍汽車的車主。

這可能只是冰山一角。黑客“貓哥”還向記者表示，凡是東風(fēng)雪鐵龍的潛在客戶在易車網(wǎng)、汽車之家留下的訂單和電話他也能查到。按照黑客提供的電話信息，一位接聽(tīng)電話的用戶對(duì)記者表示，他剛在易車網(wǎng)的詢價(jià)平臺(tái)留下了自己的個(gè)人信息。

易車網(wǎng)技術(shù)人員則對(duì)本刊回應(yīng)稱，“易車網(wǎng)僅提供詢價(jià)的平臺(tái)入口，詢價(jià)者的信息會(huì)直接發(fā)送給對(duì)應(yīng)的品牌經(jīng)銷商，易車網(wǎng)不會(huì)做任何保存”。

即使是只有姓名、手機(jī)、城市和意向車款的詢價(jià)信息，黑客“貓哥”已經(jīng)要價(jià)一塊錢一條，試駕者信息則開(kāi)到了兩塊一條。“真正搶手的還不是售前數(shù)據(jù)，像車主信息數(shù)據(jù)比較全的，一到手就被‘秒’了”。黑客“貓哥”表示。

東風(fēng)雪鐵龍官網(wǎng)的用戶信息為何能輕易地就被盜走？

黑客“貓哥”給出的答案是 “太懶”。“東風(fēng)雪鐵龍基本不管自己的后臺(tái)，這是能輕易拿下數(shù)據(jù)的主要原因”。他說(shuō)。

2015年4月29日，曾有白帽子（不惡意利用安全漏洞的黑客）向?yàn)踉破脚_(tái)提交名為“東風(fēng)雪鐵龍某后臺(tái)弱口令可導(dǎo)致全國(guó)幾百個(gè)經(jīng)銷商賬號(hào)與大量個(gè)人數(shù)據(jù)泄露”的漏洞。

對(duì)于這個(gè)漏洞，綠盟科技NSTRT團(tuán)隊(duì)負(fù)責(zé)人張佳發(fā)告訴本刊記者，如有攻擊者登錄后臺(tái)，可以看到東風(fēng)雪鐵龍經(jīng)銷商全部的敏感數(shù)據(jù)，可導(dǎo)致全國(guó)幾百個(gè)經(jīng)銷商賬號(hào)與大量個(gè)人數(shù)據(jù)泄露。

“該漏洞沒(méi)太多技術(shù)含量，非常容易被利用”。烏云網(wǎng)主站運(yùn)營(yíng)者孟卓告訴本刊記者，“一旦這些數(shù)據(jù)落入買家手上，很多車主可能會(huì)接到賣車或者保險(xiǎn)的推銷電話騷擾。還有更加惡劣的結(jié)果可能就是保險(xiǎn)詐騙，即以違章記錄的名頭來(lái)騙取違約金”。

就是這個(gè)“沒(méi)有太多技術(shù)含量”的漏洞，直到2015年6月其狀態(tài)仍然顯示為“已經(jīng)通知廠商但是廠商忽略漏洞”。

對(duì)此，東風(fēng)雪鐵龍公關(guān)公司——靈思公司公關(guān)梁婧回復(fù)本刊稱，“東風(fēng)雪鐵龍明確不回應(yīng)信息泄露的相關(guān)問(wèn)題”。

奔馳寶馬凱迪拉克官網(wǎng)漏洞兩年不補(bǔ)

類似東風(fēng)雪鐵龍的這種“疏忽”，在一線車企中并不是孤例。

“我們發(fā)現(xiàn)很多車企不夠重視自身的信息安全建設(shè)。從烏云白帽子提交的漏洞來(lái)看，很少有車企會(huì)在聯(lián)系之后來(lái)認(rèn)領(lǐng)，個(gè)別的甚至?xí)鲃?dòng)忽略”，鄔迪說(shuō)。

2011年至今，白帽子在烏云平臺(tái)上總共提交了有關(guān)于車企網(wǎng)站的58個(gè)漏洞（如圖1）。其中接近一半的漏洞都可能造成網(wǎng)站用戶的信息泄露，背后涉及到百萬(wàn)車主的信息安全。而絕大多數(shù)漏洞狀態(tài)都是“未聯(lián)系到廠商或者廠商積極忽略”。

2013年6月，烏云網(wǎng)ID為“愛(ài)上平頂山”的核心白帽子曾提交過(guò)凱迪拉克官網(wǎng)的后臺(tái)弱口令漏洞。然而時(shí)隔近兩年后，他重新查看漏洞，發(fā)現(xiàn)問(wèn)題依然存在。

“按照專賣店乘以單數(shù)的算法，后臺(tái)車主信息的量級(jí)在20萬(wàn)以上。網(wǎng)站泄露了經(jīng)銷商的門(mén)店、賬號(hào)密碼等信息，黑客如果用這些密碼登陸經(jīng)銷商后臺(tái)，就可以拿到任意凱迪拉克車主的詳細(xì)個(gè)人資料。”他對(duì)記者表示。

更嚴(yán)重的是，凱迪拉克官方網(wǎng)站已經(jīng)被掛了“黑鏈”。“黑鏈”指的是Web服務(wù)器被黑客入侵拿下之后， 在網(wǎng)站首頁(yè)或者其他頁(yè)面嵌入惡意代碼。在“愛(ài)上平頂山”展示的一張Google搜索截圖上，凱迪拉克的官網(wǎng)確實(shí)被接入了“傳奇私服”的“黑鏈”。

“官網(wǎng)被掛黑鏈，也很有可能被掛木馬病毒。如果黑客是通過(guò)拿下shell，即拿下提供使用者界面的命令解析器的渠道來(lái)掛黑鏈，那么不僅僅所有用戶的數(shù)據(jù)庫(kù)，甚至是整個(gè)網(wǎng)站包括服務(wù)器都不保了。”張佳發(fā)指出。

類似的問(wèn)題也發(fā)生在寶馬和奔馳的網(wǎng)站上。

經(jīng)白帽子測(cè)試，2012年8月提交的寶馬數(shù)據(jù)庫(kù)注冊(cè)漏洞和2013年6月提交的奔馳越權(quán)漏洞依然存在，均有泄露大量用戶信息的風(fēng)險(xiǎn)。

梅賽德斯-奔馳公關(guān)吳遜蕾回應(yīng)本刊稱，奔馳公司暫時(shí)不方便回復(fù)信息泄露的問(wèn)題，“但奔馳公司始終以客戶滿意度為中心，全力保障客戶的各方面安全。”

“目前汽車行業(yè)沒(méi)有較成熟的網(wǎng)絡(luò)安全管理體系，運(yùn)營(yíng)和行政人員的安全素質(zhì)都有待提高，很多車企網(wǎng)站是外包給第三方公司開(kāi)發(fā)的，沒(méi)有交付信息安全公司進(jìn)行評(píng)估，就有可能留下信息安全風(fēng)險(xiǎn)。”張佳發(fā)最后指出。