觀察者網(wǎng)訊（文/胡毓靖 編輯/莊怡）近日，河南省商丘市睢陽(yáng)區(qū)人民法院公布的刑事判決書(shū)顯示，逯某和黎某兩男子通過(guò)自己開(kāi)發(fā)的爬蟲(chóng)軟件，對(duì)淘寶實(shí)施了長(zhǎng)達(dá)八個(gè)月的數(shù)據(jù)爬取，而在阿里發(fā)現(xiàn)這一問(wèn)題前，他們已經(jīng)獲取了近12億條用戶(hù)消息。

法院裁定，逯某和黎某均犯侵犯公民個(gè)人信息罪，判處徒刑3年以上，共處罰金45萬(wàn)元，違法所得上繳國(guó)庫(kù)。

觀察者網(wǎng)就此事聯(lián)系阿里巴巴方面，截至發(fā)稿，未收到回復(fù)。

而據(jù)《華爾街日?qǐng)?bào)》援引一位阿里巴巴發(fā)言人回應(yīng)稱(chēng)，該公司主動(dòng)發(fā)現(xiàn)并處理了這起事件，正與執(zhí)法部門(mén)合作保護(hù)用戶(hù)。但該發(fā)言人并未明確說(shuō)明具體有多少用戶(hù)受到影響，只表示沒(méi)有用戶(hù)信息被賣(mài)給第三方，也沒(méi)有產(chǎn)生經(jīng)濟(jì)方面的損失。

觀察者網(wǎng)查閱判決書(shū)發(fā)現(xiàn)，作案者逯某受雇于黎某，從2019年11月開(kāi)始，在淘寶網(wǎng)站上使用自己設(shè)計(jì)的網(wǎng)頁(yè)爬蟲(chóng)軟件收集用戶(hù)ID、手機(jī)號(hào)碼和用戶(hù)評(píng)論等內(nèi)容，并將其中淘寶客戶(hù)的手機(jī)號(hào)碼提供給黎某開(kāi)設(shè)的瀏陽(yáng)市泰創(chuàng)網(wǎng)絡(luò)科技有限公司用于經(jīng)營(yíng)活動(dòng)，而自2019年8月份至2020年7月份，該公司非法獲利395萬(wàn)元。

判決書(shū)還顯示，瀏陽(yáng)市泰創(chuàng)網(wǎng)絡(luò)科技有限公司主要業(yè)務(wù)為“淘寶客”，主要是在微信群進(jìn)行淘寶商品推廣，從而獲得淘寶網(wǎng)傭金和商家服務(wù)費(fèi)，證人王某證言稱(chēng)，其公司社群組組員建好各自的微信群后將群二維碼提供給老板黎某，然后就有人自動(dòng)進(jìn)群。

作為國(guó)內(nèi)最大的購(gòu)物平臺(tái)之一，淘寶積累了海量用戶(hù)隱私和消費(fèi)數(shù)據(jù)。據(jù)阿里巴巴最新公布的2021財(cái)年第四季度財(cái)報(bào)，其中國(guó)零售市場(chǎng)的移動(dòng)月活用戶(hù)達(dá)9.25億。2021財(cái)年，阿里巴巴全球活躍消費(fèi)者達(dá)10億。

數(shù)據(jù)安全保護(hù)存疏漏

用戶(hù)隱私泄露在互聯(lián)網(wǎng)科技企業(yè)中頻頻出現(xiàn)，而電商平臺(tái)一直是信息泄露的重災(zāi)區(qū)。2016年12月，京東因安全漏洞問(wèn)題致使12G數(shù)據(jù)遭泄露，在黑市流通，信息包括用戶(hù)名、密碼、郵箱、QQ號(hào)、電話(huà)號(hào)碼、身份證等多個(gè)維度，數(shù)據(jù)多達(dá)數(shù)千萬(wàn)條。

在用戶(hù)信息泄露的暗面，是網(wǎng)絡(luò)倒賣(mài)隱私的猖獗。據(jù)證券時(shí)報(bào)此前調(diào)查，有從事數(shù)據(jù)采集軟件開(kāi)發(fā)的公司，可從京東、淘寶、拼多多電商平臺(tái)獲取用戶(hù)信息，軟件交價(jià)僅3800元，用戶(hù)只要購(gòu)買(mǎi)，就能通過(guò)后臺(tái)按照自己的需求，比如行業(yè)、地區(qū)、性別等導(dǎo)出自己想要的數(shù)據(jù)。

數(shù)據(jù)泄露信息頻發(fā)，側(cè)面體現(xiàn)了數(shù)據(jù)的重要性和價(jià)值，但也對(duì)互聯(lián)網(wǎng)公司的數(shù)據(jù)保護(hù)能力提出了新的要求。北京觀韜中茂律所胡楊律師向觀察者網(wǎng)表示，本次案件中犯罪嫌疑人采取了非法手段爬取阿里系統(tǒng)內(nèi)地?cái)?shù)據(jù)，隱蔽性強(qiáng)。但阿里在該案件中并非毫無(wú)責(zé)任。

胡楊表示，該案件暴露出阿里對(duì)其數(shù)據(jù)安全保護(hù)的疏漏和不足，并且沒(méi)有及時(shí)發(fā)現(xiàn)并采取補(bǔ)救措施。根據(jù)《網(wǎng)絡(luò)安全法》第六十條，對(duì)其產(chǎn)品、服務(wù)存在的安全缺陷、漏洞等風(fēng)險(xiǎn)未立即采取補(bǔ)救措施，或者未按照規(guī)定及時(shí)告知用戶(hù)并向有關(guān)主管部門(mén)報(bào)告的，由有關(guān)主管部門(mén)責(zé)令改正，給予警告。

拒不改正或者導(dǎo)致危害網(wǎng)絡(luò)安全等后果的，處五萬(wàn)元以上五十萬(wàn)元以下罰款，對(duì)直接負(fù)責(zé)的主管人員處一萬(wàn)元以上十萬(wàn)元以下罰款。故，主管部門(mén)可對(duì)阿里巴巴給予責(zé)令改正警告的相關(guān)處罰。

胡楊認(rèn)為，隨著數(shù)據(jù)違法行為頻發(fā)暴露了互聯(lián)網(wǎng)公司對(duì)數(shù)據(jù)安全保護(hù)的重視和投入不足。國(guó)家近期正式發(fā)布了《數(shù)據(jù)安全法》，數(shù)據(jù)安全保護(hù)對(duì)于互聯(lián)網(wǎng)公司來(lái)說(shuō)不再是”選修課“，而是”必修課“，應(yīng)當(dāng)嚴(yán)格按照法律規(guī)定保護(hù)數(shù)據(jù)安全。

業(yè)內(nèi)人士建議：加強(qiáng)接口管控

上海謀樂(lè)網(wǎng)絡(luò)科技有限公司聯(lián)合創(chuàng)始人&CTO 張雪松告訴觀察者網(wǎng)，在本次淘寶用戶(hù)信息泄露事件中，阿里有技術(shù)能力可做到數(shù)據(jù)防泄漏。他推測(cè)，造成12億條信息泄露，可能來(lái)自淘寶內(nèi)部接口設(shè)計(jì)缺陷，以及違法方使用IP池手段規(guī)避了淘寶的反查。

張雪松介紹，淘寶有兩個(gè)數(shù)據(jù)接口，在正常情況下反扒機(jī)制運(yùn)行很好，對(duì)于連續(xù)爬取行為會(huì)及時(shí)阻斷。但在接口設(shè)計(jì)上，淘寶并沒(méi)有增加權(quán)限管控，禁止非本人訪問(wèn)用戶(hù)的手機(jī)號(hào)等信息?！翱赡苁腔趥鞑バ枨蠡蚴瞧渌憷男枨箝_(kāi)放了接口”，“我認(rèn)為這是一個(gè)設(shè)計(jì)問(wèn)題，而不是能力問(wèn)題”。

此外，代理IP池的手段也讓淘寶的反查機(jī)制難以準(zhǔn)確運(yùn)行。張雪松介紹，同一個(gè)IP爬取大量信息時(shí)，會(huì)觸發(fā)淘寶的反查機(jī)制，但在使用代理IP的模式下，難度就非常高，“這本身也是行業(yè)難題”，他表示。

在本次事件中，犯罪嫌疑人爬取的是淘寶的數(shù)據(jù)，但實(shí)際受害的確是用戶(hù)。對(duì)于用戶(hù)隱私的維護(hù)，張雪松認(rèn)為，阿里可以在接口設(shè)置上加強(qiáng)管控手段，尤其是手機(jī)號(hào)等隱私信息。

針對(duì)IP代理模式，張雪松認(rèn)為阿里也完全有能力去建構(gòu)風(fēng)險(xiǎn)庫(kù)，將風(fēng)險(xiǎn)IP設(shè)為威脅特征庫(kù)，加入到防控和風(fēng)控體系內(nèi)。此外，阿里還可適當(dāng)引入第三方安全公司合作機(jī)制，對(duì)于海量數(shù)據(jù)進(jìn)行更全面的核查，這樣會(huì)完善安全機(jī)制。

本文系觀察者網(wǎng)獨(dú)家稿件，未經(jīng)授權(quán)，不得轉(zhuǎn)載。