蔚来汽车的数据为何如此“脆弱”？

日期：2022-12-26发布：韦韦

蔚来汽车的数据为何如此“脆弱”？

作者丨一视财经鹰瞳

编辑 | 西贝

近日，蔚来宣称用户数据被盗，公司被人勒索225万美元1500万人民币，比特币支付。

勒索邮件收到9天后，蔚来才觉得对方玩针的：一张截图在网络流传，图片显示：

破解了蔚来汽车大量数据，并公开以比特币叫价出售。所列信息，涉及蔚来经营以及客户隐私数据，包括员工、订单、用户、企业代表联系人数据、以及车主身份证、用户地址，甚至车主亲密关系、贷款等极为隐私的数据信息。

这些严重涉及个人隐私的数据信息，均以比特币为单位被明码标价：2.28万条员工数据，售价0.15比特币；3.99万条车主身份证数据，售价0.25比特币；6.5万条用户地址数据，0.15比特币；全部数据打包价1比特币。

对方也理直气壮，说错不在我，是因为蔚来不给钱，这才有偿曝光。他认为蔚来：宁愿花费千万请歌手，也不愿意买断这部分数据来保护各位车主和用户。

黑了蔚来的信息，还不忘给蔚来加一项道德绑架罪。

对此，12月20日蔚来汽车发布的声明表明态度：

在收到勒索邮件后，公司当天即成立专项小组进行调查与应对，并第一时间向有关监管部门报告此事件。

经初步调查，被窃取数据为2021年8月之前的部分用户基本信息和车辆销售信息。

据财报显示，蔚来汽车在2021年1至7月累计交付49887台，2018年全年交付量达11348台，2019年全年交付量达20565台，2020年全年交付量达43728台，目前尚没有准确数据表明官方所说的“部分用户”比例是多少，一旦有交易达成，细思极恐。

尽管蔚来官方宣称已成立专项小组进行调查应对，并第一时间向有关监管部门报告此事件，并协同有关部门深入调查。12月20日晚蔚来创始人、董事长李斌也于蔚来官方社区就此事致歉，但并未打消用户的担忧。

对此，蔚来信息安全委员会负责人卢龙表示，本次数据泄露并不影响车辆驾乘或远程控制，不涉及车辆使用中产生的数据（如行车轨迹、座舱数据），目前车企还在进一步调查数据泄露的原因和影响范围。

有相关技术分析人员表示，此次泄露的数据，大部分是存储在后端、数据库或者云端的个人数据，黑客如果想攻击控制车辆本身，还需要一定的技术门槛，而汽车本身有车载的安全网关也会进行拦截。

数据分析人士都明白“车主亲密关系数据”，一旦落入骗子手里就可以冒充你，给你亲人发短信，进行诈骗。

2.28万条内部员工数据，总裁到一线员工都包含在内了，这些数据对从事新能源招聘的猎头就价值千金了。

目前，这算是智能汽车行业最严重的数据泄露事故。之前APP大量过度搜集个人信息，已经让大家在手机面前“裸奔”了，如今，智能汽车的车主们，也离“裸奔”不远了。

智能时代难逃裸奔

新能源业内技术人士分析，蔚来是被黑客盯上了，估计后续还有动作；较好的做法是一方面加强数据安全，一方面花钱认怂(价格理论上应该能谈到很低，黑客通常都有契约精神)。如遇到较真的黑客会死磕到底，对车企后患无穷。

根据 2020 年 6 月美国国际数据管理公司 Veritas Technologies 的一项调查研究显示，44％的消费者表示会停止从遭受过勒索软件攻击的公司购买商品。

2017年斯巴鲁被曝软件安全漏洞，黑客入侵如履平地，一位名叫艾伦·古兹曼（Aaron Guzman）的独立研究员宣称，他在自己的心爱的2017款斯巴鲁WRX STI中发现了数量惊人的软件漏洞，制作一个能收集无线电信号的简易设备，计算出下一个滚动代码，然后将类似的无线电信号发送回目标汽车，斯巴鲁汽车的遥控钥匙系统就破解了。破解之后，数字钥匙便会无所不能，未经授权的用户——也就是非车主的路人甲——可以自由执行解锁/锁闭车门、鸣笛、获取车辆位置记录等操作。更深一步的入侵后，甚至可以拿到用户车载账户的相关信息，而攻破漏洞的这套装置，成本不到30美元。

当然随着技术进步，很多漏洞被补上了。但总有人能发现新的漏洞。

据悉特斯拉，也经历过被“黑”。360创始人周鸿祎表示，360曾三次破解特斯拉云端的系统；2020年，特斯拉Model X的自动驾驶系统多次被黑客入侵；2021年，一名黑客入侵特斯拉汽车后曝出，车内摄像头记录车内大部分空间信息的监控录像，而陷入“隐私门”。

理论上，只要联网了，任何一家企业都有被破解的可能。关键在于，黑客有没有必要去干这个事，时间成本、技术问题等。

还有业内人士认为蔚来的车主大部分是中产或所谓的有钱人，这些人的信息更值钱，“更好卖。”

高德地图出过一个报告，统计了不同品牌汽车车主的行程轨迹，得出各品牌用户画像：奔驰用户住别墅的比例较高；宝马用户喜欢购物，经常去步行街或购物中心；沃尔沃用户爱好文艺，总是去剧场和名胜古迹等。

脆弱的安全谁来负责

蔚来的数据是如何泄露的？黑客？内鬼？

如果是黑客盗取，并勒索车企，律师表示，窃取或者以其他方法非法获取公民个人信息的，构成侵犯公民个人信息罪，判刑三年以下或拘役，情节特别严重的判刑三到七年，还会有罚金。另外，获得数据的人向蔚来索要赎金，还构成了敲诈勒索罪。

另外，互联网行业历史上发生的数据泄露事件，有不少就是出了内鬼，所以并不排除蔚来内部员工泄密。律师表示，如果违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，按照侵犯公民个人信息罪从重处罚。

内部泄密一定是公司内部的信息安全机制出了问题。

新能源汽车的数据一般会向供应商、合作伙伴、集团其他业务等第三方共享、转让、委托处理数据的情况。大量敏感数据在多部门、组织之间频繁交换和共享，扩大了数据暴露风险，如果公司内部没有完善信息安全保护制度，数据泄露风险无疑会加大。

非法窃取数据进行敲诈勒索，必须坚决予以严厉打击，但掌握着大量用户数据的车企们，更有责任做好风险防范，承担起保护数据安全的责任，这是企业的本分。此次事件，内因是根本。希望车企不要再让车主无故“裸奔”。