蔚來攤上事兒了。

12月20日，蔚來汽車首席信息安全科學(xué)家、信息安全委員會(huì)負(fù)責(zé)人盧龍?jiān)诠俜缴鐓^(qū)發(fā)布公告：

(資料圖片)

在這個(gè)月11日的時(shí)候，蔚來公司收到外部郵件，聲稱擁有蔚來內(nèi)部數(shù)據(jù)，并以泄露數(shù)據(jù)勒索225萬美元（1568萬元人民幣）等額比特幣。

創(chuàng)始人李斌隨即發(fā)布道歉聲明，稱“絕不向不法行為妥協(xié)”。

很快，#蔚來用戶數(shù)據(jù)遭竊取被勒索225萬美元#、#李斌致歉#等詞條沖上熱搜，引起熱議。

幾天后的平安夜，即將迎來蔚來汽車的2022年度NIO Day，在蔚來的官方首頁(yè)，吸睛的倒計(jì)時(shí)跳動(dòng)著數(shù)字，此時(shí)此刻被推上風(fēng)口浪尖的李斌，如坐針氈、如芒刺背、如鯁在喉，留給他的時(shí)間不多了。

被上了一課

事情經(jīng)初步調(diào)查，蔚來被竊取數(shù)據(jù)為2021年8月之前的部分用戶基本信息和車輛銷售信息。

一時(shí)間網(wǎng)友炸了鍋，有的人聲討蔚來不保護(hù)用戶隱私安全，有的人表示網(wǎng)絡(luò)安全事件頻發(fā)，無奈卻理解。

為了安撫用戶情緒，20日晚間，創(chuàng)始人李斌在蔚來官方社區(qū)就用戶數(shù)據(jù)泄露一事發(fā)文致歉。

李斌表示：“保護(hù)好用戶信息安全是我們的責(zé)任，我們沒有做好，向大家深表歉意，會(huì)對(duì)此次事件給用戶帶來的損失承擔(dān)責(zé)任。我們會(huì)協(xié)同有關(guān)部門深入調(diào)查此次事件，對(duì)竊取和買賣此次事件相關(guān)數(shù)據(jù)的違法犯罪行為追查到底。我們不會(huì)與不法行為妥協(xié)，也請(qǐng)大家及時(shí)提供線索。”

可是據(jù)《Tech星球》報(bào)道，針對(duì)用戶數(shù)據(jù)泄露一事，蔚來汽車客服人員表示，不會(huì)做出主動(dòng)賠償，但“對(duì)因本次事件給用戶造成的損失承擔(dān)責(zé)任。”

劃一下重點(diǎn)：目前蔚來采取的做法是不主動(dòng)、不負(fù)責(zé)，只有用戶真的因?yàn)檫@件事造成了損失才會(huì)承擔(dān)責(zé)任。

1500萬人民幣，蔚來不想花，李斌也不想花。那怎么辦？只能報(bào)警了。可紙是包不住火的。

所以，據(jù)蔚來所說，12月11日那一天接到了“恐嚇信”，公司當(dāng)天即成立專項(xiàng)小組進(jìn)行調(diào)查與應(yīng)對(duì)，并第一時(shí)間向有關(guān)監(jiān)管部門報(bào)告此事件。可直到一周有余之后的20日，才向公眾公開此事。

兩處漏洞

數(shù)據(jù)到底是如何泄露的？是黑客攻擊，還是員工泄露？此次事件疑點(diǎn)重重。

“快2023年了還能中勒索病毒，這IT得爛成啥樣？”一網(wǎng)友如此評(píng)論，表示對(duì)于企業(yè)遇到黑客攻擊事件不理解。

事實(shí)上，數(shù)據(jù)泄露時(shí)時(shí)刻刻發(fā)生。根據(jù)Identify Theft Research Center中心的數(shù)據(jù)顯示，與2021年同期相比，2022年第一季度實(shí)際報(bào)告的數(shù)據(jù)泄露事件數(shù)量增加了14%，達(dá)到404起。

新能源車市場(chǎng)攻城容易守城難。根據(jù)乘聯(lián)會(huì)最新數(shù)據(jù)顯示，2022年1月到11月，蔚來汽車?yán)塾?jì)銷量為106671臺(tái)。相比去年同期，其銷量上漲了31.8%。

然而，銷量上漲背后，一些基礎(chǔ)設(shè)施也許并未跟上，這才導(dǎo)致蔚來被上了一課。

如果是黑客所為，那么對(duì)方一定是掐好了時(shí)間點(diǎn)，特意選定的“良辰吉日”，因?yàn)?2月24日，年度盛典NIO Day就要開始了。事情還在發(fā)酵，留給蔚來的時(shí)間不多了。

歷史證明，已經(jīng)有不少企業(yè)為數(shù)據(jù)泄露買單，而根源就在于IT系統(tǒng)的安全性太低。Identify Theft Research Center數(shù)據(jù)報(bào)告提到重要的一點(diǎn)，數(shù)據(jù)泄露事件大多數(shù)是由網(wǎng)絡(luò)釣魚和勒索軟件攻擊引發(fā)的，其他還包括惡意軟件、憑證填充和不安全的云工具。

具體案例也很多，今年一家國(guó)外企業(yè)Beetle Eye就發(fā)生了一起重大數(shù)據(jù)泄露事故，由于AWS S3存儲(chǔ)桶未進(jìn)行任何加密且配置錯(cuò)誤，泄露了大約700萬人的敏感數(shù)據(jù)。

還有，微軟在2020年公開了一起長(zhǎng)達(dá)14年的數(shù)據(jù)泄露事故，期間2.5億條客戶服務(wù)和支持記錄在網(wǎng)上泄露。公司表示，個(gè)人數(shù)據(jù)在存儲(chǔ)之前已從記錄中刪除，但一些明文電子郵件和IP地址被暴露。最后，微軟將其歸因于內(nèi)部數(shù)據(jù)庫(kù)安全規(guī)則的錯(cuò)誤配置。

還有一種可能，那就是內(nèi)部管理對(duì)于數(shù)據(jù)安全的缺失，導(dǎo)致內(nèi)部員工有意或無意泄露。

今年4月，蔚來在一份內(nèi)部通知中表示，2021年9月1日風(fēng)險(xiǎn)管理部門收到相關(guān)投訴，聲稱一位員工利用職位之便，使用公司內(nèi)部服務(wù)器進(jìn)行了以太坊挖礦，時(shí)間長(zhǎng)達(dá)一年以上。

蔚來強(qiáng)調(diào)，該行為已經(jīng)違反法律，同時(shí)也對(duì)公司系統(tǒng)安全和業(yè)務(wù)信息安全產(chǎn)生了負(fù)面影響。該涉事員工已承認(rèn)了自己的行為。

挖礦不僅占用CPU資源影響正常服務(wù)，還會(huì)產(chǎn)生大量的耗電。但蔚來在一年多的時(shí)間中都沒有發(fā)現(xiàn)這一點(diǎn)，足以證明其內(nèi)部管理存在漏洞。

即便有了“前車之鑒”，可似乎蔚來并沒有怎么放在心上。截至「科技新知」發(fā)稿，蔚來依舊沒有找到此次數(shù)據(jù)泄露的“罪魁禍?zhǔn)住薄５梢钥隙ǖ氖牵瑹o論何時(shí)，企業(yè)都不應(yīng)將數(shù)據(jù)安全單純地托付給任何一款工具，小到員工培訓(xùn)，大到公司的策略和管理，這些環(huán)節(jié)缺一不可。

然而，這件事情背后也映射出一個(gè)更為深刻的問題。根據(jù)網(wǎng)上流傳的消息，黑客向蔚來喊話：“給了蔚來兩次機(jī)會(huì)，但是寧愿花費(fèi)千萬請(qǐng)歌手，也不愿買斷這部分?jǐn)?shù)據(jù)。”這種重營(yíng)銷、輕技術(shù)的商業(yè)歪風(fēng)，何時(shí)才能到頭？

數(shù)據(jù)定義軟件

有些損失是不可挽回的。

自開啟交付至2021年7月，蔚來汽車共計(jì)交付12.55萬輛汽車。超過12萬車主的身份證、用戶地址，甚至車主親密關(guān)系、車主貸款數(shù)據(jù)等極為隱私的信息，都成為不法分子索要巨額錢財(cái)?shù)幕I碼。

即使蔚來認(rèn)栽贖回，然而電子數(shù)據(jù)是可復(fù)制的，或許這些信息早已散落在各個(gè)隱秘的角落。

雖然，盧龍稱本次數(shù)據(jù)泄露并不影響車輛駕乘或遠(yuǎn)程控制，不涉及車輛使用中產(chǎn)生的數(shù)據(jù)（如行車軌跡、座艙數(shù)據(jù)）；也有分析人士表示，這次泄露的數(shù)據(jù)，大部分是存儲(chǔ)在后端、數(shù)據(jù)庫(kù)或者云端的個(gè)人數(shù)據(jù)，黑客如果選擇攻擊車輛本身，還是有一定的技術(shù)門檻，而汽車本身有車載的安全網(wǎng)關(guān)也會(huì)進(jìn)行攔截。

但是，用戶的不信任，就是一件一件小事聚沙成塔。蔚來此事，似乎又喚起了網(wǎng)友以及用戶對(duì)于新能源汽車的種種擔(dān)憂，更是重新挑起了新能源和燃油車兩派擁護(hù)者之間的矛盾。

“如果數(shù)據(jù)安全都這么水，自動(dòng)駕駛不是很危險(xiǎn)？”“知道為啥買燃油車了吧，電車還是不成熟。”有網(wǎng)友如此評(píng)論。

都說軟件能定義一切，因此這些年汽車賽道也刮起了“軟件定義汽車”的風(fēng)。現(xiàn)如今，軟件+汽車還是一門好生意嗎？

看好派認(rèn)為，軟件將在技術(shù)、產(chǎn)品、運(yùn)營(yíng)理念、組織架構(gòu)等方面給汽車產(chǎn)業(yè)帶來全面改變，例如這兩年興起的OTA，就是從軟件的邏輯出發(fā)，能使用戶從線上進(jìn)行系統(tǒng)升級(jí)和更新。

想讓軟件發(fā)揮最大價(jià)值的前提就是收集海量數(shù)據(jù)，這些沉淀下來的數(shù)據(jù)，不僅僅是企業(yè)的資產(chǎn)，更是屬于整個(gè)社會(huì)的共同資產(chǎn)。

一旦數(shù)據(jù)管理出現(xiàn)問題，小則影響用戶隱私，大則威脅國(guó)家安全。因此，種種信號(hào)表明，野蠻生長(zhǎng)的時(shí)期已經(jīng)結(jié)束了，尤其是被軟件定義的新能源汽車。

去年9月，工信部印發(fā)了《關(guān)于加強(qiáng)車聯(lián)網(wǎng)網(wǎng)絡(luò)安全和數(shù)據(jù)安全工作的通知》，在加強(qiáng)數(shù)據(jù)安全保護(hù)、健全安全標(biāo)準(zhǔn)體系等六方面提出17項(xiàng)具體要求。

今年4月，工信部聯(lián)合公安部、交通運(yùn)輸部等五部門聯(lián)合發(fā)布了《關(guān)于進(jìn)一步加強(qiáng)新能源汽車企業(yè)安全體系建設(shè)的指導(dǎo)意見》，明確提出要對(duì)車輛網(wǎng)絡(luò)安全狀態(tài)進(jìn)行監(jiān)測(cè)，加強(qiáng)對(duì)車輛運(yùn)行數(shù)據(jù)的分析挖掘。

可以預(yù)見的是，智能網(wǎng)聯(lián)汽車在中國(guó)的數(shù)據(jù)管控力度，還會(huì)進(jìn)一步加大。

至于蔚來，以及其他車企，無論樂意與否，都應(yīng)該盡快擺脫未成年人的心態(tài)。在沖銷量的同時(shí)，不要忘記對(duì)用戶、社會(huì)多負(fù)責(zé)。

在軟件定義一切的時(shí)代，人們想生活變得更智能，就得交出數(shù)據(jù)的管理、使用權(quán)。

去年9月，一位2020款理想ONE車主向媒體反應(yīng)稱，理想汽車車機(jī)更新時(shí)出現(xiàn)的“理想智能系統(tǒng)軟件許可協(xié)議”，只給了同意選項(xiàng)，不同意協(xié)議甚至無法繼續(xù)用車。

最隱私、最珍貴的東西被別人攥在手里，除了心里默念“但愿受傷的那個(gè)人不是我”之外，別無選擇。可是，誰又能真的逃過？

關(guān)鍵詞：