28日，华住酒店集团被曝旗下汉庭、桔子、全季等酒店开房信息遭泄露售卖。爆料称，数据泄露范围包括：官网注册资料约1.23亿条记录；入住登记身份信息约1.3亿条；酒店开房记录约2.4亿条。
28日下午，华住集团发布声明称，已展开调查核实，并第一时间报警，公安机关正在开展调查。
1
近5亿条隐私信息被泄露，
涵盖开房记录，入住登记信息……
8月28日，微信社交平台流传一张“黑客在黑市出售华住酒店集团客户数据”的截图。
截图显示，8月21日，一名ID为“helen250”的黑客在“暗网”（一种不能通过搜索引擎访问到的网络，可简单理解为“地下网络”，有许多灰黑色交易）发帖贩卖华住集团数据。该黑客声称8月14日已经获取华住集团旗下所有酒店的住客数据。
网传帖子
数据既包括华住官网用户注册数据1.23亿条，也包括旅客入住酒店时的登记身份信息（1.3亿条）、以及详细开房记录（约2.4亿条），全部数据售价为8个比特币（约5.6万美元）或520门罗币。
卖家还称，以上数据信息的截止时间为2018年8月14日。售卖信息具体包括三大部分：
一、官网注册资料：姓名、手机号、邮箱、身份证号、登录密码等，共53G，约1.23亿条记录。
二、入住登记身份信息：姓名、身份证号、家庭住址、生日、内部ID号，共22.3G，约1.3亿条。
三、酒店开房记录：内部ID号、同房间关联号、姓名、卡号、手机号、邮箱、入住时间、离开时间、酒店ID号、房间号、消费金额等，共66.2G，约2.4亿条。
图自华住官网
2
华住：已迅速展开内部调查，
并第一时间报警
28日下午，华住集团就疑似信息泄露事件发布官方声明称，已经收到了网上所有信息，并已经报警，并聘请专业技术公司对网上兜售的“相关个人信息是否属实”进行核实，有进展将随时公之于众：
一、兜售、传播个人信息，违反国家法律，情节严重的将构成犯罪。无论网络上相关个人信息是否来源于华住，是否属于擅自传播个人信息均构成犯罪，请相关行为人立即停止传播、兜售个人信息的违法行为并向公安机关投案自首。
二、请相关网络用户、网络平台立即删除并停止传播上述信息。
三、华住集团保留追究相关侵权人法律责任的权利。
28日下午，上海警方通报华住旗下酒店信息数据泄露情况表示，有人在境外网站兜售华住旗下酒店数据，客户信息疑遭泄露，华住公司已启动内部自查，警方已介入调查。
警方表示，将始终严厉打击非法获取、买卖、交换、提供公民个人信息等违法犯罪行为。
3
数据泄露大概率属实？
主因或是有“内鬼”
不少人怀疑是华住集团IT人员在Github上上传了数据库配置文件，但并没有确凿证据证明上传文件者来自华住。目前在Github上该文件也已经被删除。
为了取信买家，发帖人还“附送”了约３万条的样本数据，供买家核实。有媒体对样本数据进行抽样比对后发现，该数据与真实信息吻合度较高。
Github是一个面向开源和私有软件项目的托管平台，全世界数百万名软件开发者活跃在Github上，他们或上传自己写的软件代码供人免费学习和使用，或共同维护完善开源软件项目，Github因此被开发者们戏称为世界上最大的“同性交友社区”。
据新华社报道，网络安全专家高天分析认为，华住集团的开发人员将敏感信息数据库上传到了ＧｉｔＨｕｂ（该网站为公开代码托管库，通常程序员将未完成的代码上传至该网站，以便日后继续编辑），是导致此次信息泄露的主要原因。记者了解到，发帖人还声称，“如果权限不丢失，后续数据还可以免费发给已购买者。”截至记者２９日１５时发稿时，该帖的样本数据显示已有４５７２次直接下载量，但尚未有人完成交易。
4
法律责任如何界定？
网络安全专家表示，当前隐私信息泄露呈高发态势，这些个人信息可被不法分子用以实施精准诈骗，而诸如开房记录等敏感信息外泄，则有可能诱发针对个人的敲诈勒索等犯罪行为。
据了解，中国如今严刑惩治个人数据买卖，根据2017年6月1日生效的《网络安全法》，买卖个人数据50条即可入刑。而国家网络安全法也有规定，对于大规模的严重的信息泄露，相应的公司是需要负法律责任的。
北京盈科（杭州）律师事务所律师方超强表示，该事件需要从两方面来考虑，首先对于华住集团来说信息泄露存在不同的情况，需要根据泄露原因判别酒店是否应承担相应责任；其次从消费者维权的角度来看在是否受害的举证上尚有一定困难，而在追责过程中谁承担责任也需要分而论之。
方超强解释称：
如果出现离职员工泄露数据或者在职员工内外合作的情况，则属于酒店内部管理存在漏洞，需要承担相应责任。
另一种情况，当遇到酒店的信息管理系统出现漏洞被黑客入侵时，如果认定企业没有给予与其规模相匹配的保护则需要承担相应责任，反之企业也是受害方。“像华住这样拥有庞大体量个人信息的集团企业应该配备最高级别的安全防护等级。”
5
华住并非首次被卷入疑似信息泄露事件
2013年10月，国内安全漏洞监测平台“乌云网”披露，自称是中国最大的酒店数字客房服务商的浙江慧达驿站公司，因为安全漏洞问题，使与其有合作关系的大批酒店的开房记录在网上泄露。
数天后，一个名为“2000w开房数据”的文件出现在网上，其中包含2000万条在酒店开房的个人信息，容量达1.7G。
开房数据中，开房时间介于2010年下半年至2013年上半年，包含姓名、性别、国籍、民族、身份证号、生日、地址、邮编、手机、固话、传真、邮箱、公司、住宿时间14个字段。
据媒体此前报道，上述事件的一位受害者（“2000w开房数据”中可以搜索到他曾入住汉庭酒店的具体时间）后来频繁收到各种“精准的”营销电话，从卖房子、卖黄金期货、炒白银、推销保险、推销能接收成人节目的卫星电视等，不一而足。对方可以直接说出他的生日、家庭住址，甚至还知道他住的房子有多大，开的是SUV，而且具体是哪个品牌。因为精神压力巨大，这位受害者最后被迫到派出所改姓。
但华住集团相关负责人当时回复该媒体称，该公司并不是慧达驿站公司Wi-Fi项目的客户，双方在早年间有过合作，但也不涉及Wi-Fi项目，慧达驿站公司只是把所有与其合作的酒店全列在了“合作伙伴”名单里。
今年以来，国内多家机构疑似发生数据库泄露事件。６月１３日，知名视频播放网站Ａ站（ＡｃＦｕｎ）遭遇黑客攻击，数据库近千万条用户数据发生泄露；６月１４日，前程无忧数据库１９５万余条用户数据疑似泄露，但遭该公司声明否认；８月１日，浙江省１０００万条学籍数据疑似泄露，样本数据经核实与真实信息基本一致……
6
我们还能为隐私保护做些什么？
“成立专门负责个人数据保护的独立机构，配备专门人员来执行对违反相关法律法规行为的查处工作。”中国信息安全研究院副院长左晓栋建议，独立机构应不仅打击涉及违法犯罪的公民个人信息泄露倒卖行为，还应将尚未达到犯罪标准的买卖行为纳入社会征信体系，让公民个人信息成为谁都不敢触碰的“高压线”。
“华住事件”折射出一些机构在数据保护的内部架构上出现问题，没有按照信息安全等级保护的相关要求进行内部管理。拥有海量数据资源的企业和政府部门应该配备专门的数据安全团队，参照网络安全法和等级保护要求来保护用户数据。要彻底摒弃“我不是互联网平台，数据保护与我无关”的心理，在发生网络安全事件时要及时向主管机关报告，切实落实网络安全主体责任。
“没事不要随便扫二维码，不要为了几块钱的蝇头小利去填写自己的个人信息。”３６０首席反诈骗专家裴智勇表示，一般用户在保护自身信息时同样要保持清醒，千万不要有“反正现在也没有隐私”的消极想法。
裴智勇建议，不要随意在社交媒体或陌生网页上留下自己的联系方式等个人信息，尤其是在朋友圈转发的一些以低价甚至免费作为噱头的活动信息，切不可轻信或参与。此外，如接到能清晰报出个人信息的陌生来电，一定不要轻易相信，司法机关不会通过电话办案，可直接将此类情况向公安机关报案。
泄露的信息可能造成哪些危害？
基于目前透露的信息，主要产生危害的为入住人姓名、身份证号码及入住时间，主要危害如下：
第一类：信息与电话骚扰
因该数据的泄露未直接批露出手机、电话信息，不法分子需通过其他途径获得电话信息，该危害目前尚小。
第二类：情感威胁
如同一名住客A与不同的异性B、C、D的开房记录，会引发A的家庭纠纷。
不法分子可能会通过其他途径，通过身份信息匹配找到住客A的电话、单位、家庭地址等其他个人信息。
第三类：冒领快递
知道了你的姓名与身份证号，伪造个人身份证，可以到邮局冒领你的邮政快递，类似案例已有发生。
第四类：冒办电话
同第三类一样，通过伪照个人身份证，到电信有关单位冒用你的身份办理电话、移动电话卡，如从事违法犯罪活动或对你的生活或工作造成一些影响，另个冒用身份产生的恶意话费及其他误会，也会耽误你需要提供证据，作一些解释性工作；类似案例已有发生。
第五类：银行开户、证券等
同第三、四类一样，通过伪造个人身份证办理，但是现在二代身份证好很多，一般金融机关都配备了验证机。如果冒开户和办理业务，可能都会影响到你的信用记录。
第六类：登记变更
同样，通过伪造信息，冒用身份办理比如房产证卖车遗嘱赠予，都会带来一定的麻烦。
来源：南方网综合新华社、21世纪经济报道、南方都市报、每日经济新闻、都市快报等
- End-
猜你想看
