再现数据泄露事件，2018是脸书的灾难年？

本文作者陈招财，首发于支付宝“金融简单说—金融凯侃”，欢迎关注。

摘要：多次跌倒于数据安全事件，2018，是脸书的灾难年吗？

自年初爆出引起全球舆论一片哗然的数据泄露丑闻后，脸书在数据保护问题上可谓举步维艰，频繁被爆或自爆的用户数据安全事件，让公众对这家全球最知名社交服务平台产生了质疑。近期，脸书宣布，第三方应用在未经许可的情况下获取了数百万用户的私人照片，最多可能有680万名用户受到了影响，而这一问题，来源于脸书系统的漏洞。

多次跌倒于数据安全事件，2018，是脸书的灾难年吗？

大数据时代，数据安全事件不可避免地发生，不少知名企业纷纷入坑，但脸书踩的坑，似乎有点多。

1、3月剑桥咨询数据门

2018年3月，英国媒体相继报道，脸书将大量用户的信息与数据分析公司Cambridge Analytica分享，涉及5000万用户。事件发酵，脸书的创始人扎克伯格不得不出席美国国会听证会，就脸书用户数据泄露一事接受参众议员连续两天的盘问。

事件的起因，来源于一款第三方应用：this is your digital life，这是一款个性分析测试，2.7万名脸书用户下载这一应用。借助这个应用，开发者获得了这些用户及其所有脸书好友的信息，包含居住地、用户资料信息、点赞内容，以及用户的朋友发布的信息，借此实际共获取至少5000万用户的数据。 

该第三方应用开发者并没有遵守与脸书的约定，私自将用户信息提供给剑桥咨询，由后者根据用户数据，分析用户的行为模式、性格特征、价值观取向、成长经历等；分析出的结果，被用于推送竞选广告。

剑桥分析被指不当影响选举，操纵美国大选及英国脱欧公投；而脸书也不可避免地受到指责：为何会在用户不知情的情况下，将用户数据分享给第三方，并用于非社交目的？脸书以用户的隐私，换取广告带来的商业利益？

2、6月“NameTests”第三方测试应用漏洞

丑闻余波未过，第三方应用继续闯祸。

剑桥咨询数据门过后，为加强数据管理，脸书又启动了数据滥用漏洞赏金计划(Data Abuse Bounty Program)。根据这项计划，如果有人在Facebook平台上发现了数据滥用的现象并加以举报，则可获得由该公司发放的赏金。这项赏金最低500美元起，而如果举报者发现了大规模的数据滥用现象，则可拿到4万美元以上的奖金。

漏洞赏金猎人Inti De Ceukelaire举报，一个名叫NameTests的第三方应用存在安全缺陷。这是一个智力测试应用，用户登陆进入后进行测试，以此来推断更像哪个人物。在这个过程中，用户在脸书上的个人数据，包括姓名、出生日期、婚姻状态、好友名单、图片等，都会被该应用获取。即便用户事后删除这些应用，数据仍有被泄露的可能。

在正常情况下，这些数据本该止步于这个第三方应用，其他网站无法访问。但在这个漏洞中，用户的数据被装在未经加密的javascript中，而未经加密的javascript能够被其他软件或网站轻易获取明文数据。这意味着，其他软件或网站只要其他请求，都可以共享这个第三方应用通过脸书获取的用户信息。

脸书的解决速度并不高效。从赏金猎人第一次上报，到脸书修复这个漏洞，花了两个月的时间。

3、9月黑客窃取用户“访问令牌”

9月28日，脸书证实，黑客利用系统安全漏洞，窃取允许自动重新登陆脸书平台的“访问令牌”，3000万用户的“访问令牌”因此失窃。

黑客通过窃取“访问令牌”，进入用户账户，浏览了1500万脸书用户的姓名、电话号码和电子邮件地址，以及1400万用户的性别、宗教、籍贯、生日和最近到访地点，剩余的100万用户信息没有泄露。

幸运的是，这次入侵的黑客只偷窥了数据，并没有借此对数据进行利用。

脸书发现被入侵，两天后完成漏洞修复工作。

4、12月用户非公开照片泄露

12月14日，脸书宣布，第三方应用在未经许可的情况下获取用户并未公开的照片，最多可能有680万名用户受到了影响。

约1500个第三方软件的876名应用开发商可以浏览用户并未公开分析的照片，包括用户上传到脸书服务器但并未发布的照片。

目前该漏洞已被解决，而那些被非法获取的用户照片，尚未透露出相关滥用信息。

通过2018年脸书的数据泄露事件，我们不难看出，在这类事件中，至少有三类直接的原因导致事件发生。

1、系统漏洞

几乎所有的数据泄露事件都可以轻易归因于系统漏洞，程序猿们则是最直接的背锅侠。系统优化过程中，漏洞在所难免，即使脸书是当前最成熟的社交服务媒体，我们也无法苛责它的系统能做到万无一失。

然而，如果数据泄露事件一出，就以系统漏洞为由，那跟“都是临时工干的”又有什么区别呢？

2、第三方应用

除了系统漏洞外，第三方应用也常被视为数据泄露事件的作恶者。

第三方应用可分为两类，一类是在脸书平台上运营的第三方应用，通过调用脸书的接口，获取用户的数据，比如3月份剑桥分析数据门中的个性测试应用。脸书与这类应用之间的关系，类似于商场与入驻商场的商家，两者之间属于合作伙伴，双方知道彼此的存在，互相利用彼此的资源来达到自己的目的。这类应用，要想获得脸书的用户数据，需要得到脸书的同意。但这类应用如果不正当使用数据，将会造成难以想象的后果，因为它的数据来源太容易了。

另一类应用则完全独立于脸书平台，两者只是共存于用户的手机、电脑等设备中，彼此相互独立。这类应用获取脸书用户的数据，那就不能算是无心的了，因为它并没有获得用户的同意，甚至没有获得脸书的同意。这类应用获取用户的数据多样化，比如通过本地文件，用户在社交服务平台上产生的数据，可能存档于用户设备的本地文件，比如javascript，如果这类本地文件没有加密，很容易就会被恶意应用轻松获取明文数据；也有可能通过流氓软件的植入，在用户不知情的情况下，在后台默默窃取用户数据；还有可能是通过诸如公共WIFI的方式，在用户使用WIFI的过程中，截留中途产生的数据。

不过，到底是自身有问题，还是甩锅到第三方，这事谁能说得清？

3、制度有缺

在甩锅系统漏洞和第三方应用都没办法解释事件缘由的情况下，企业不得不承认，在某种程度上，自家的制度存在一定的缺陷。

比如，当进驻平台的第三方应用违背与其之间的协议，违约对外提供用户数据时，企业至少要承担缺乏监管和追责机制失效的责任。