美团销售主管窃取商户信息被判刑 比“用户隐私被卖”更甚

来源:猎云网

2018-04-25 08:28

猎云注:从目前黑产行业流传的个人信息来源看,主要来自“内鬼违规泄露”和“黑客技术获取”两条路径。除了内鬼和黑客之外,有一些规则上的疏忽也可能带来隐患。文章来源:黑奇士(ID:hqssima)作者:simaziyu

4月23日,有媒体爆出网上可买到美团外卖的客户资料,包含电话姓名、订餐地址在内的隐私资料,每条价格不到1毛钱。根据记者调查,报价最低的甚至可以到1万条个人隐私仅需800元。

在记者购买这些隐私的过程中,“商家”不但没问其购买用途,还向其炫耀自己资料的真实性、可靠性,“数据是由美团系统内部人员提取的,每天更新4万条左右,每天中午更新一次,晚上就能卖完”。

这些数据是怎么来的,是用户无意间泄露的,还是美团公司有内鬼?内鬼的权限有多高,我们在美团订餐还安全吗?我们应该怎么保护自己的隐私?

针对这些网友关心的问题,黑奇士展开了调查。

90后“内鬼”做到美团销售主管 去年底已被判刑

黑奇士在中国裁判文书网上进行搜索,发现今年3月份刚刚公布的判例:

广东省阳江市江城区人民检察院于2017年11月,对被告人方某、蓝某提起起诉。方某出生于1992年,在犯案前任职于互诚信息技术公司,职位为阳江地区销售主管。互诚信息是原美团网和大众点评合并之后注册的法律实体,可以被认为是法律意义上的“美团网”。

(江城区人民法院)

起诉书指控,被告人方某为了个人目的,想获取阳江及广州地区的美团大众点评网(下文简称美团)商户信息,于是利用自己是销售主管的工作之便,将自己的登陆账号和密码交给蓝某,指使蓝某窃取美团公司的商户信息。

被告人蓝某通过方某的美团账号密码,登陆公司内网盘古、apollo系统,利用自己编写的程序大量获取系统中的商户个人信息,窃取包括姓名、联系方式、地址在内的敏感信息。

窃取行为自7月27日开始至8月2日,持续约7天,两被告获取大量商户机密资料。由于案发时间较短,两人还未来得及出售或转移,即被民警控制。

12月1日,法院宣判,因为侵犯公民个人信息罪,方某被判6个月有期徒刑,缓刑一年;蓝某被判7个月有期徒刑,缓刑一年。

让我觉得诡异的是,自该判决书3月22日公开,到现在整整一个月,向来嗅觉灵敏的媒体居然没有爆出任何消息。(原因如何,我不敢瞎说)

专家解析报道:美团资料外泄有两种主要途径

就新京报的深度报道,黑奇士采访了个人隐私方面的安全专家李先生,李先生表示:从目前黑产行业流传的个人信息来源看,主要来自“内鬼违规泄露”和“黑客技术获取”两条路径。

首先是内鬼泄露,以新京报的报道为例,要想达到“每天更新4万条、每天中午更新”这种量级和频率,只有掌握美团系统较高权限的内部员工(高级内鬼),才能做到这种效果。如果是黑客攻击,即使是严重漏洞,也仅仅可能一次获取大量数据,不可能做到定期更新。(因为不可能每天黑客都去攻击一次,这样太容易被发现了)

至于报道里提到的“外卖骑士出售”,李先生认为这种情况有,但可能性不大,也就是偶发现象。因为不单是美团,所有的外卖、快递行业都是固定分片配送,一个外卖骑士最多能接触到上千个外卖客户的信息,这些用户信息即使都卖出去,也卖不了多少钱。(几百元对于月收入七八千的骑士工资,并不具备吸引力,而且很容易被公司查获)但也不排除有某些利欲熏心的骑士,连这点钱都要赚。

其次是黑客利用技术手段获取。在过去几年中,美团曾经多次爆出过网站漏洞,如果这些漏洞被黑客利用,则可能带来大量用户资料外泄。

除了内鬼和黑客之外,有一些规则上的疏忽也可能带来隐患。

例如新京报报道中提到的“代运营公司用爬虫收集商户信息”,报道中的覃某表示,自己可以获得的信息包括“姓名、性别、电话、地址,订餐次数都有,但具体能有多少条我要查一下才知道”,报价5毛一条。

安全专家李先生表示,目前不少美团商户使用了代运营公司,但代运营公司对其代运营数据的获取是无限制的,你把店铺交给人家运营,那你所有的订单信息、用户资料都是透明的,如果像报道中提到的用爬虫类软件批量获取,那暗藏的风险就会更大,不仅是报道里提到的用于营销目的,实际上还可以用于更恶劣的用途。

个人隐私泄露之后:诈骗多发,数据外泄是黑产“原油”

新京报的报道中,对于购买数据的过程描述的很详细,对于数据泄露之后的后果描述甚少。黑奇士就这个问题请教了专家,专家表示,类似美团外泄这样的数据,是黑产界的“原油”,通过这些数据,可以衍生出很多安全问题。

比如最简单的是,是广告电话骚扰,你买了纸尿裤,一堆卖婴儿用品的商家烦你;买了机油,就有一大堆汽车后服务、卖二手车的商家烦你,其令人厌烦程度,无需我多说。

更为进一步的是,针对成年人的性用品传销、针对老年人的保健品骗局,其骗局开端,都是各个电商网站外泄的用户购物行为数据。

2016年9月徐玉玉案之后,人民网曾经报道,股民老张只要一从事股票交易,几分钟内就有诈骗电话打进来,骗子了解他交易的股票类型和数量,明显是有备而来。

类似这样的案例被媒体报道多起,只要大型电商公司的数据外泄,总会有各种诈骗案件出现。

专家支招,如何防止数据外泄

黑奇士采访的安全专家表示,像美团这样的大型公司,应该把保护用户隐私放在首位,用户的数据放在你的网站上,其实是用户赋予的莫大信任。

但严酷的现实是,包括美团在内的很多网站无论是硬件安全措施,还是软件规则,都存在种种不足之处,在这种情况底下,专家建议:

1、尽量不要赋予类似的电商网站过多权限,不要透露太多个人信息。例如,点外卖的时候,完全可以用“王先生、李先生”这样的化名下单,这样既不影响外卖的正常收取,也不会透露太多个人信息。

2、如果遇到可疑的安全事件,一定要第一时间报警,不要姑息。黑奇士在中国裁判文书网上发现,有人在网上购买1条外卖地址、900多条用户信息,就被法院判处7个月徒刑。

3、对于美团这样的公司来讲,一定要对隐私泄露提起足够重视,不要试图掩盖和敷衍,一定要追查到底。

责任编辑:于文凯
美团
观察者APP,更好阅读体验

荷兰“拼了”:阿斯麦,别走!

“嫌犯从乌克兰获大量资金和加密货币,有确凿数据”

美方对俄隐瞒了部分信息?克宫回应

这条中马“一带一路”重点铁路项目 “或延伸至泰国”

国防部表态:中方不会在南海问题上任菲胡来