蔚来数据泄露几十万车主遭殃！智能汽车“安全漏洞”何解？

《拾盐士》出品

日前，在蔚来 NIO DAY 2022 媒体会上，蔚来董事长李斌再次对用户数据泄露遭黑客勒索一事做出回应：“坚决不和犯罪份子妥协，不做赔付的先河。哪怕公司赔破产了，也不会妥协”。同时，李斌也呼吁行业不要向数据买卖者妥协，不要助长犯罪分子的气焰。

据悉，12月11日蔚来收到外部邮件，声称拥有蔚来内部大量用户行为数据，并以225万美元等额美元比特币勒索，陷入到巨大的客户信任危机中。在这封来自黑客的勒索邮件中，黑客表示：“给了蔚来两次机会，但蔚来不愿意买断这部分数据来保护各位车主和用户，决定有偿曝光。”

12月20日蔚来官方承认了这一事实，称2021年8月前的部分用户，基本信息和车辆销售信息被窃取。同时，蔚来表示，对这次事件遭受影响的用户深深道歉，并会积极协助有关部门彻查此事，

当晚，李斌就数据泄露一事道歉，表示会“承担责任”“对窃取和买卖此次事件相关数据的违法犯罪行为追查到底”。

数据泄露事件发生后，蔚来车主忧心忡忡，担心隐私安全、车辆被人控制从而产生安全风险，也将蔚来推上了舆论的风口浪尖。

用户隐私被窃

蔚来如何应对“安全漏洞”？

一张流传于网络的图片显示，有黑客宣称破解了蔚来大量数据，并公开叫价出售。其列出的数据涉及蔚来的经营以及客户隐私，包括蔚来员工数据、订单数据、用户及企业代表联系人数据，还包括车主身份证、用户地址，甚至车主亲密关系、车主贷款数据等极为隐私的信息。

而这些信息被明码标价，价格均以比特币为单位，比如2.28万条员工数据，售价0.15比特币；3.99万条车主身份证数据，售价0.25比特币；全部数据打包，售价1比特币。

《拾盐士》了解到，早在三个月前，“蔚来”首席信息安全科学家、信息安全委员会负责人卢龙就曾公开表示，当下智能汽车的个人信息保护和数据保护面临挑战。作为被称为“车界海底捞”的蔚来汽车，极致的用户体验一直是其追求的目标，也是其能够在众多智能汽车中脱颖而出的“法宝”。

而“极致的用户体验”也意味着需要收集用户更多的隐私信息，一直以来，“蔚来”利用超级APP、小程序等方式，通过与用户互动，搜集了大量用户信息其中就包括用户大量的隐私数据。

为了提供更好的服务，“蔚来”公司除收集用户的基础信息，包括姓名、手机号码、证件号码、车辆信息、支付信息等，还收集了用户的行驶信息，“蔚来”表示，会收集和使用和“车内及车外摄像头影像资料”。理论上说，车内的一举一动，行车轨迹，都是蔚来公司的数据收集范围。

而蔚来隐私数据的收集行为是否会影响行车安全，成了车主们最为担心的因素之一，因为行车数据很可能会被不法分子控制，车主的人身安全不能得到充分保证。

而在这场信息泄露事件之中，蔚来是否存在着打着提升用户产品体验的旗号，过度搜集用户隐私信息的问题，也成为了蔚来车主的争议点之一。

更令人担忧的是，在黑客公布的信息中，“蔚来公司宁愿花费千万请歌手，也不愿意买断这部分数据来保护各位车主和用户”，也加重了车主对于蔚来的质疑——蔚来是否存在对用户隐私安全投入不足，重视不够的问题？

事实上，在蔚来公司的财报中，并没有单独披露在“网络安全”上投入的费用。而讽刺的是，在2022年1月，蔚来声称自己的网络安全管理系统拿到了欧盟发挥认证，但之后发生的泄漏事件却表明，蔚来内部的确存在安全漏洞。

除了安全问题，成立至今蔚来汽车虽然交付量一直位居国内造车新势力榜首，却始终难以摆脱亏损的命运，距离盈利似乎遥遥无期。数据显示，蔚来短短六年已经亏损超过650亿元。而如今面临的用户数据隐私安全问题，也成为了摆在蔚来发展道路上的“拦路石”。

汽车“新四化”不能以用户安全为代价

事实上，近几年汽车行业遭遇黑客攻击和勒索的情况屡见不鲜，随着车辆智能化程度的不断加深，一辆车需要获取的用户信息越来越多，信息安全若无法充分保障，那么弱点也会越来越多。从车锁、车机屏幕到数据后台，乃至汽车企业本身，都成为了黑客们的攻击对象。

2022年3月，日本电装株式公社遭遇客攻击事件，该公司超过15.7万份订购单、电子邮件和设计图纸等共计1.4TB的资料意思被泄露。

无独有偶，在今年8月，德国汽车零部件巨头大陆集团也遭遇了网络黑客攻击。在拒绝支付赎金后，黑客威胁称要将包括大陆集团预算、投资和战略规划，以及客户相关信息在暗网出售。

Uber早在2016年10月就曾遭遇黑客攻击，被窃取了5700万名乘客和司机的个人数据。在面对黑客的曝光威胁时，该公司时任首席安全官乔·沙利文（Joe Sullivan）和副手选择向前者支付10万美元的赎金。更荒谬的是，优步联合创始人、前CEO卡兰尼克到了一个月之后，才知道了这件事。而乔·沙利文直到一年之后，才被公司开除。

虽然以上案例都是有关于国外汽车企业，但中国境内的智能汽车企业遭遇黑客攻击勒索的事件也时有发生。汽车企业的数据安全一直都是企业中最薄弱也是最容易被忽视的问题，大多数企业由于其技术上的限制，只能采用“息事宁人”的方法解决，支付赎金以求解决。

透过蔚来数据被泄露，智能汽车的隐私安全问题也逐渐进入到人们的视野中，更令人触目惊心的，是个人信息泄露背后的灰黑色产业链。

“车主用户身份证数据……从事黑灰产的可以关注” “车主亲密关系……挖掘社会关系的可以关注”，将个人信息如此直白地明码标价，让蔚来的准车主望而却步。

“蔚来注册用户数据……蔚来竞争对手可以关注”，将企业信息如此暴露，也引发了业内对于智能汽车行业恶性竞争的担忧。在智能汽车日益普及的今天，未来用户个人数据也会不会成为企业间博弈的筹码？这些都是值得深入思考的问题和可能产生的隐患。

对此，有行业专家认为，虽然智能化、网联化是汽车新四化的主要发展方向，但是智能汽车除了在设计、生产、用户体验下猛功，最终的落脚点还是要落在安全性上来。如果汽车的智能化、网联化需要以用户的隐私透明化为代价，汽车企业无法做到对网络数据安全的管理和数据的加密和保护，那么这样的智能汽车是毫无意义的。