近日，大學(xué)生學(xué)習(xí)軟件App“學(xué)習(xí)通”數(shù)據(jù)庫疑似發(fā)生泄露，引發(fā)關(guān)注。
6月20日晚一微博網(wǎng)友爆料稱，此次泄露信息包含學(xué)校、姓名、手機(jī)號(hào)、學(xué)號(hào)、性別、郵箱等1.7億條。多家媒體隨后跟進(jìn)報(bào)道，并發(fā)現(xiàn)有用戶疑似正在販賣相關(guān)的數(shù)據(jù)信息“學(xué)習(xí)通數(shù)據(jù)單價(jià)為10元一人，購買整個(gè)數(shù)據(jù)庫需要3000元”。
學(xué)習(xí)通官方微博隨后發(fā)布聲明稱，不會(huì)存儲(chǔ)用戶明文密碼，理論上用戶密碼不會(huì)泄露，網(wǎng)傳密碼泄露信息是不實(shí)的。已經(jīng)向公安機(jī)關(guān)報(bào)案，公安機(jī)關(guān)已經(jīng)介入調(diào)查。
目前事件還在調(diào)查中，真相尚未可知。但消息曝出后，不少大學(xué)生表示自己的賬號(hào)存在使用頻次異常、莫名添加關(guān)注、接到騷擾電話等情況。對(duì)此，學(xué)習(xí)通尚未予以解釋。
信息泄露背后的用戶焦慮
近年來，用戶個(gè)人信息泄露事件時(shí)有發(fā)生。
公安部年初公布了2021年侵犯公民個(gè)人信息犯罪十大典型案例，其中數(shù)字令人心驚：
譬如，犯罪嫌疑人何某利用為相關(guān)單位、企業(yè)建設(shè)信息系統(tǒng)之機(jī)，非法獲取醫(yī)療、出行、快遞等公民個(gè)人信息數(shù)十億條；
武漢某公司工作人員徐某等人，利用李某編寫的多款外掛程序，通過系統(tǒng)接口漏洞，竊取酒店、燃?xì)狻⑨t(yī)療健康等33個(gè)網(wǎng)站后臺(tái)公民個(gè)人信息3000余萬條用于債務(wù)催收；
犯罪嫌疑人吳某成立多家健康咨詢公司，通過網(wǎng)上購買、交換有保健品購買記錄的老年人信息200余萬條；
……
此次“學(xué)習(xí)通”疑泄露用戶數(shù)據(jù)事件因其涉及范圍廣、數(shù)據(jù)多、內(nèi)容全面而備受關(guān)注。
北京科技大學(xué)在讀碩士研究生郭雨（化名）是一位“學(xué)習(xí)通”的用戶，他告訴中新社國是直通車，最擔(dān)心存在密碼互通的問題。因?yàn)椤皩W(xué)習(xí)通”的密碼就是他的常用密碼，如果發(fā)生泄露，很有可能會(huì)泄露其他平臺(tái)的信息，尤其是一些涉及個(gè)人財(cái)產(chǎn)的信息，很可能導(dǎo)致財(cái)產(chǎn)損失。
“的確可能會(huì)存在這種情況?！?span>浙江大學(xué)國際聯(lián)合商學(xué)院數(shù)字經(jīng)濟(jì)與金融創(chuàng)新研究中心聯(lián)席主任、研究員盤和林在接受中新社國是直通車采訪時(shí)指出，用戶數(shù)據(jù)泄露會(huì)導(dǎo)致信息詐騙，隱私信息會(huì)被販賣，而有人會(huì)利用用戶的密碼信息去撞庫（注：黑客通過收集互聯(lián)網(wǎng)已泄露的用戶密碼信息，生成對(duì)應(yīng)的字典表，嘗試批量登陸其他網(wǎng)站后，得到一系列可以登錄的用戶），去了解用戶其他應(yīng)用上的賬戶，從而破解用戶密碼，甚至掠奪用戶財(cái)富。
但即使知道有風(fēng)險(xiǎn)，很多人也不會(huì)修改其他平臺(tái)賬號(hào)密碼來規(guī)避風(fēng)險(xiǎn)。郭雨表示：“畢竟其他平臺(tái)賬號(hào)太多，如果一一更改的話，一則可能會(huì)記不住，二則改起來也太麻煩了?！?/p>
西北大學(xué)在讀碩士研究生梁北北（化名）也存在同樣擔(dān)憂，“出了這樣的事，密碼又高度統(tǒng)一，很擔(dān)心會(huì)被盜”。
對(duì)于根據(jù)不同平臺(tái)來設(shè)置賬戶密碼的方式，盤和林提醒，如果經(jīng)查屬實(shí)，修改其他平臺(tái)賬戶密碼一定是必要的。數(shù)據(jù)泄露要看程度，如此完整的數(shù)據(jù)泄露后果非常嚴(yán)重。用已知密碼去探知用戶其他賬戶并非難事，不要存僥幸心理。
個(gè)人信息泄露到底是誰的“鍋”？
隨著互聯(lián)網(wǎng)的普及，萬物互聯(lián)的實(shí)現(xiàn)在一定程度上加深了人與人、人與物之間的聯(lián)接和信息共享。在人們享受信息時(shí)代紅利的同時(shí)，背后的隱憂也不容忽視。
此次“學(xué)習(xí)通”事件，盤和林認(rèn)為，市面上大多數(shù)軟件多多少少存在一些信息安全隱患，但具備較高安全信用等級(jí)的“學(xué)習(xí)通”如果發(fā)生泄露是不應(yīng)該的。
盤和林還表示，用戶個(gè)人信息泄露的情況時(shí)有發(fā)生，這是相關(guān)平臺(tái)沒有重視數(shù)據(jù)信息安全保護(hù)的緣故。一般發(fā)生這種情況還是平時(shí)數(shù)據(jù)安全意識(shí)淡薄，比如通過數(shù)據(jù)庫漏掃（數(shù)據(jù)庫安全評(píng)估系統(tǒng)）、加密、防火墻、脫敏（對(duì)某些敏感信息通過脫敏規(guī)則進(jìn)行數(shù)據(jù)的變形）等技術(shù)手段，都可以在一定程度上防止信息泄露。
“這里尤其無法容忍的一點(diǎn)是，有些用戶刪除了個(gè)人信息，結(jié)果這次還是被泄露了，說明平臺(tái)沒有履行數(shù)據(jù)刪除責(zé)任?！?/p>
保護(hù)信息安全，還需“做減法”
2021年11月1日，《中華人民共和國個(gè)人信息保護(hù)法》正式實(shí)施。其中將個(gè)人信息定義為：以電子或其他方式記錄的與已識(shí)別或者可識(shí)別的自然人有關(guān)信息，不包括匿名化處理后的信息。根據(jù)這一定義，用戶的姓名、出生日期、家庭住址、身份證號(hào)碼、電話號(hào)碼、電子郵件、銀行賬戶、面部信息等都是受到法律保護(hù)的，第三方平臺(tái)有責(zé)任也有義務(wù)保護(hù)用戶個(gè)人信息不受侵犯。
而這些恰巧也是網(wǎng)絡(luò)空間中人們被強(qiáng)制需要上傳的個(gè)人信息。在各類手機(jī)App中，不僅需要上傳個(gè)人基本信息，還要進(jìn)行實(shí)名認(rèn)證，甚至需要進(jìn)行面部識(shí)別，綁定電話號(hào)碼、電子郵箱和銀行卡等操作，個(gè)人與平臺(tái)的捆綁十分緊密。
用戶個(gè)人信息泄露案件頻發(fā)，恰恰從側(cè)面表示在當(dāng)前技術(shù)水平之下，部分軟件平臺(tái)并沒有能力做到對(duì)用戶個(gè)人信息的絕對(duì)保護(hù)。想要從根本上減少此類事件的發(fā)生，保護(hù)用戶個(gè)人信息不受侵犯，專家認(rèn)為根本在于“做減法”。
盤和林認(rèn)為，平臺(tái)收集用戶信息不應(yīng)該是全面的信息，并且需要通過技術(shù)手段對(duì)信息進(jìn)行脫敏存儲(chǔ)。如此一來，至少可以在一定程度上增強(qiáng)數(shù)據(jù)的安全性。
“實(shí)名認(rèn)證其實(shí)可以由統(tǒng)一平臺(tái)來實(shí)施，比如公安實(shí)名認(rèn)證系統(tǒng)，而在軟件服務(wù)器只需要存儲(chǔ)用戶名信息即可?！北P和林認(rèn)為，實(shí)名注冊(cè)制應(yīng)該遵循“信息最小化”原則，不應(yīng)該面面俱到，尤其是很多信息其實(shí)和用戶使用App根本沒有關(guān)系，不上傳此類信息也不影響軟件的使用，用戶沒有必要向平臺(tái)提供如此多的個(gè)人信息。
盤和林表示，《中華人民共和國個(gè)人信息保護(hù)法》其實(shí)注意到了“信息最小化”收集的總原則，但在具體實(shí)施中，需要通過細(xì)則和具體案例解釋來規(guī)范數(shù)據(jù)信息管理行為。