觀察者網(wǎng)訊（文/胡毓靖 編輯/莊怡）近日，河南省商丘市睢陽區(qū)人民法院公布的刑事判決書顯示，逯某和黎某兩男子通過自己開發(fā)的爬蟲軟件，對淘寶實施了長達(dá)八個月的數(shù)據(jù)爬取，而在阿里發(fā)現(xiàn)這一問題前，他們已經(jīng)獲取了近12億條用戶消息。

法院裁定，逯某和黎某均犯侵犯公民個人信息罪，判處徒刑3年以上，共處罰金45萬元，違法所得上繳國庫。

觀察者網(wǎng)就此事聯(lián)系阿里巴巴方面，截至發(fā)稿，未收到回復(fù)。

而據(jù)《華爾街日報》援引一位阿里巴巴發(fā)言人回應(yīng)稱，該公司主動發(fā)現(xiàn)并處理了這起事件，正與執(zhí)法部門合作保護用戶。但該發(fā)言人并未明確說明具體有多少用戶受到影響，只表示沒有用戶信息被賣給第三方，也沒有產(chǎn)生經(jīng)濟方面的損失。

觀察者網(wǎng)查閱判決書發(fā)現(xiàn)，作案者逯某受雇于黎某，從2019年11月開始，在淘寶網(wǎng)站上使用自己設(shè)計的網(wǎng)頁爬蟲軟件收集用戶ID、手機號碼和用戶評論等內(nèi)容，并將其中淘寶客戶的手機號碼提供給黎某開設(shè)的瀏陽市泰創(chuàng)網(wǎng)絡(luò)科技有限公司用于經(jīng)營活動，而自2019年8月份至2020年7月份，該公司非法獲利395萬元。

判決書還顯示，瀏陽市泰創(chuàng)網(wǎng)絡(luò)科技有限公司主要業(yè)務(wù)為“淘寶客”，主要是在微信群進(jìn)行淘寶商品推廣，從而獲得淘寶網(wǎng)傭金和商家服務(wù)費，證人王某證言稱，其公司社群組組員建好各自的微信群后將群二維碼提供給老板黎某，然后就有人自動進(jìn)群。

作為國內(nèi)最大的購物平臺之一，淘寶積累了海量用戶隱私和消費數(shù)據(jù)。據(jù)阿里巴巴最新公布的2021財年第四季度財報，其中國零售市場的移動月活用戶達(dá)9.25億。2021財年，阿里巴巴全球活躍消費者達(dá)10億。

數(shù)據(jù)安全保護存疏漏

用戶隱私泄露在互聯(lián)網(wǎng)科技企業(yè)中頻頻出現(xiàn)，而電商平臺一直是信息泄露的重災(zāi)區(qū)。2016年12月，京東因安全漏洞問題致使12G數(shù)據(jù)遭泄露，在黑市流通，信息包括用戶名、密碼、郵箱、QQ號、電話號碼、身份證等多個維度，數(shù)據(jù)多達(dá)數(shù)千萬條。

在用戶信息泄露的暗面，是網(wǎng)絡(luò)倒賣隱私的猖獗。據(jù)證券時報此前調(diào)查，有從事數(shù)據(jù)采集軟件開發(fā)的公司，可從京東、淘寶、拼多多電商平臺獲取用戶信息，軟件交價僅3800元，用戶只要購買，就能通過后臺按照自己的需求，比如行業(yè)、地區(qū)、性別等導(dǎo)出自己想要的數(shù)據(jù)。

數(shù)據(jù)泄露信息頻發(fā)，側(cè)面體現(xiàn)了數(shù)據(jù)的重要性和價值，但也對互聯(lián)網(wǎng)公司的數(shù)據(jù)保護能力提出了新的要求。北京觀韜中茂律所胡楊律師向觀察者網(wǎng)表示，本次案件中犯罪嫌疑人采取了非法手段爬取阿里系統(tǒng)內(nèi)地數(shù)據(jù)，隱蔽性強。但阿里在該案件中并非毫無責(zé)任。

胡楊表示，該案件暴露出阿里對其數(shù)據(jù)安全保護的疏漏和不足，并且沒有及時發(fā)現(xiàn)并采取補救措施。根據(jù)《網(wǎng)絡(luò)安全法》第六十條，對其產(chǎn)品、服務(wù)存在的安全缺陷、漏洞等風(fēng)險未立即采取補救措施，或者未按照規(guī)定及時告知用戶并向有關(guān)主管部門報告的，由有關(guān)主管部門責(zé)令改正，給予警告。

拒不改正或者導(dǎo)致危害網(wǎng)絡(luò)安全等后果的，處五萬元以上五十萬元以下罰款，對直接負(fù)責(zé)的主管人員處一萬元以上十萬元以下罰款。故，主管部門可對阿里巴巴給予責(zé)令改正警告的相關(guān)處罰。

胡楊認(rèn)為，隨著數(shù)據(jù)違法行為頻發(fā)暴露了互聯(lián)網(wǎng)公司對數(shù)據(jù)安全保護的重視和投入不足。國家近期正式發(fā)布了《數(shù)據(jù)安全法》，數(shù)據(jù)安全保護對于互聯(lián)網(wǎng)公司來說不再是”選修課“，而是”必修課“，應(yīng)當(dāng)嚴(yán)格按照法律規(guī)定保護數(shù)據(jù)安全。

業(yè)內(nèi)人士建議：加強接口管控

上海謀樂網(wǎng)絡(luò)科技有限公司聯(lián)合創(chuàng)始人&CTO 張雪松告訴觀察者網(wǎng)，在本次淘寶用戶信息泄露事件中，阿里有技術(shù)能力可做到數(shù)據(jù)防泄漏。他推測，造成12億條信息泄露，可能來自淘寶內(nèi)部接口設(shè)計缺陷，以及違法方使用IP池手段規(guī)避了淘寶的反查。

張雪松介紹，淘寶有兩個數(shù)據(jù)接口，在正常情況下反扒機制運行很好，對于連續(xù)爬取行為會及時阻斷。但在接口設(shè)計上，淘寶并沒有增加權(quán)限管控，禁止非本人訪問用戶的手機號等信息?！翱赡苁腔趥鞑バ枨蠡蚴瞧渌憷男枨箝_放了接口”，“我認(rèn)為這是一個設(shè)計問題，而不是能力問題”。

此外，代理IP池的手段也讓淘寶的反查機制難以準(zhǔn)確運行。張雪松介紹，同一個IP爬取大量信息時，會觸發(fā)淘寶的反查機制，但在使用代理IP的模式下，難度就非常高，“這本身也是行業(yè)難題”，他表示。

在本次事件中，犯罪嫌疑人爬取的是淘寶的數(shù)據(jù)，但實際受害的確是用戶。對于用戶隱私的維護，張雪松認(rèn)為，阿里可以在接口設(shè)置上加強管控手段，尤其是手機號等隱私信息。

針對IP代理模式，張雪松認(rèn)為阿里也完全有能力去建構(gòu)風(fēng)險庫，將風(fēng)險IP設(shè)為威脅特征庫，加入到防控和風(fēng)控體系內(nèi)。此外，阿里還可適當(dāng)引入第三方安全公司合作機制，對于海量數(shù)據(jù)進(jìn)行更全面的核查，這樣會完善安全機制。

本文系觀察者網(wǎng)獨家稿件，未經(jīng)授權(quán)，不得轉(zhuǎn)載。