出品丨虎嗅汽車(chē)組

(資料圖片)

作者丨周到

編輯丨張博文

頭圖丨視覺(jué)中國(guó)

每當(dāng)有好事臨近，總會(huì)有壞事前來(lái)添堵。

12月20日，蔚來(lái)首席信息安全科學(xué)家、信息安全委員會(huì)負(fù)責(zé)人盧龍?jiān)谠摴竟俜紸PP發(fā)布聲明，對(duì)日前網(wǎng)絡(luò)上有人出售蔚來(lái)相關(guān)數(shù)據(jù)的情況進(jìn)行了回應(yīng)。在該聲明中，蔚來(lái)承認(rèn)了確實(shí)存在用戶基本信息和車(chē)輛銷(xiāo)售信息泄露的情況，并遭遇到了黑客約225萬(wàn)美元的重金勒索。

而這距離蔚來(lái)年度發(fā)布會(huì)NIO Day，僅剩下4天時(shí)間。

在發(fā)布聲明后，蔚來(lái)創(chuàng)始人、董事長(zhǎng)兼CEO李斌在評(píng)論區(qū)對(duì)用戶表達(dá)了歉意，同時(shí)也聲明“不會(huì)與不法行為妥協(xié)”。盧龍則進(jìn)一步透露，他們正在調(diào)查數(shù)據(jù)泄露的原因和影響范圍，但“本次事件不涉及車(chē)輛使用中產(chǎn)生的數(shù)據(jù)（如行車(chē)軌跡、座艙數(shù)據(jù)）”。

誠(chéng)然，蔚來(lái)的這一次用戶數(shù)據(jù)泄露又一次為車(chē)企敲響了信息安全的警鐘，然而在公開(kāi)報(bào)道之外，黑客對(duì)車(chē)企數(shù)據(jù)庫(kù)的共計(jì)并不鮮見(jiàn)。一位在行業(yè)中多年負(fù)責(zé)信息安全業(yè)務(wù)的專(zhuān)業(yè)人士告訴筆者：

“面對(duì)黑客攻擊，大多數(shù)車(chē)企都選擇直接交贖金了事，只有蔚來(lái)這么‘剛’。”

這一次，黑客盜走了哪些數(shù)據(jù)？

從聲明和高管回復(fù)可以看出，目前已經(jīng)被確認(rèn)竊取的數(shù)據(jù)，為2021年8月之前部分用戶基本信息和車(chē)輛銷(xiāo)售信息。然而，筆者提車(chē)的時(shí)間，恰恰就是2021年的7月4日。

“這不巧了么不是。”

所以，黑客有可能從蔚來(lái)的數(shù)據(jù)庫(kù)里，竊取了筆者的哪些信息？

分析這個(gè)問(wèn)題，我們可以從下定到購(gòu)買(mǎi)，以及日常的使用，蔚來(lái)都從筆者這里搜集了哪些信息入手。坦率來(lái)說(shuō)，這個(gè)信息不算少。

首先，是個(gè)人基礎(chǔ)信息。在訂車(chē)過(guò)程中，筆者的手機(jī)號(hào)、身份證等信息已經(jīng)交給了蔚來(lái)APP或相關(guān)工作人員。而在北京、上海等限牌城市，購(gòu)買(mǎi)蔚來(lái)這樣的電動(dòng)車(chē)，用戶還需要給廠商提交購(gòu)車(chē)指標(biāo)或社保卡及工作居住證等信息。

而在完成提車(chē)后，蔚來(lái)APP中還會(huì)搜集用戶的行駛證、車(chē)輛配置、車(chē)架號(hào)等信息。其中行駛證上關(guān)于家庭住址的信息與身份證上一致，而發(fā)動(dòng)機(jī)號(hào)、車(chē)輛VIN碼（每輛車(chē)的全球唯一編碼，相當(dāng)于車(chē)輛身份證）等也赫然在列。

除此之外，蔚來(lái)由于是自帶4/5G通訊模塊的智能汽車(chē)，因此基于主管部門(mén)的要求還需要實(shí)名認(rèn)證后才能使用聯(lián)網(wǎng)功能。為此，筆者還在蔚來(lái)APP進(jìn)行了人臉識(shí)別+身份證的認(rèn)證。這其中產(chǎn)生的數(shù)據(jù)，有沒(méi)有被偷走的可能？

此外，車(chē)主信息中還包括了緊急聯(lián)系人的姓名及電話，云相冊(cè)（車(chē)內(nèi)攝像頭拍攝的用戶合影）、車(chē)輛配置信息等等數(shù)據(jù)。如果這些被黑客賣(mài)給了犯罪分子，其結(jié)果恐怕不容樂(lè)觀。雖然筆者向來(lái)遵紀(jì)守法，不具備罪犯?jìng)兊南胂罅Γ珡拇饲捌?chē)行業(yè)遭遇黑客破解的案例可以看出，車(chē)輛以及車(chē)主信息的被竊，可以給用戶造成多大的麻煩。

早在2016年，日產(chǎn)Leaf（即東風(fēng)日產(chǎn)的啟辰晨風(fēng)）電動(dòng)車(chē)就被曝出存在安全漏洞。該漏洞存在于電動(dòng)汽車(chē)的配套車(chē)載應(yīng)用程序之中，黑客可以通過(guò)漏洞，在獲知車(chē)輛VIN碼后，對(duì)具體到某輛車(chē)的車(chē)主近期行程進(jìn)行監(jiān)控。更要命的是，黑客還可以通過(guò)該漏洞，遠(yuǎn)程操控該車(chē)輛的空調(diào)、門(mén)鎖等功能。輕則讓用戶車(chē)輛因電量耗光而趴窩，重則可以用遠(yuǎn)程開(kāi)鎖將車(chē)內(nèi)財(cái)物洗劫一空。

當(dāng)然，此次黑客從蔚來(lái)竊取的還只是車(chē)主數(shù)據(jù)而已，并不存在程序安全漏洞，且其具體泄露的信息種類(lèi)和范圍尚未公布。但如果有騙子從黑客手中獲得了筆者的姓名、身份證號(hào)、車(chē)牌號(hào)以及緊急聯(lián)系人的信息后，很可能就會(huì)發(fā)生“謊稱(chēng)發(fā)生事故，要求家里人給醫(yī)院打錢(qián)”的故事情節(jié)。

盡管一切還都只是猜測(cè)，但想一想就讓人不寒而栗了。

不過(guò)根據(jù)網(wǎng)絡(luò)上流傳的信息，黑客從蔚來(lái)數(shù)據(jù)庫(kù)中竊取的信息不止于上述提到的車(chē)主數(shù)據(jù)。上到總裁下到一線員工和車(chē)主等各個(gè)群體的信息，黑客“盡在掌握”。

這條信息的真假不論，但僅黑客的態(tài)度就讓筆者感到氣憤：就算蔚來(lái)在每年NIO Day上花錢(qián)去請(qǐng)大牌演藝明星助陣，這也是企業(yè)正常且合規(guī)合法的營(yíng)銷(xiāo)行為。這筆錢(qián)就算再多，也和給黑客交保護(hù)費(fèi)不是一個(gè)性質(zhì)。既然已經(jīng)在賣(mài)黑產(chǎn)了，又何必打出“替天行道”的招牌？

當(dāng)然經(jīng)此一役后，蔚來(lái)肯定意識(shí)到，除了在研發(fā)、營(yíng)銷(xiāo)和服務(wù)上花大錢(qián)之外，數(shù)據(jù)庫(kù)的信息安全建設(shè)也不能遭遇厚此薄彼了。

黑客：如何花式勒索車(chē)企

事實(shí)上，近幾年汽車(chē)行業(yè)遭遇黑客攻擊和勒索的情況屢見(jiàn)不鮮。隨著車(chē)輛智能化程度的不斷加深，一輛車(chē)上的弱點(diǎn)也越來(lái)越多。從門(mén)鎖、車(chē)機(jī)屏幕到數(shù)據(jù)后臺(tái)，乃至汽車(chē)企業(yè)本身，都在成為黑客們的攻擊目標(biāo)。

這樣的例子實(shí)在太多，筆者挑幾個(gè)很典型的分享給各位。這其中有大家耳熟能詳?shù)牡孪岛廊A品牌，也有支撐起匠心日系車(chē)的世界級(jí)供應(yīng)商。

首先來(lái)看奔馳。在2019年8月，來(lái)自奇虎360事業(yè)部Sky-Go的中國(guó)專(zhuān)家團(tuán)隊(duì)專(zhuān)門(mén)研究了汽車(chē)黑客活動(dòng)，他們發(fā)現(xiàn)了奔馳E級(jí)轎車(chē)中的19個(gè)漏洞，其中包括一些可以被攻擊者利用以遠(yuǎn)程入侵車(chē)輛的問(wèn)題。據(jù)介紹，通過(guò)這些漏洞，黑客可以遠(yuǎn)程解鎖車(chē)門(mén)并啟動(dòng)國(guó)產(chǎn)奔馳E級(jí)的發(fā)動(dòng)機(jī)，“僅在中國(guó)，該漏洞就可能影響200萬(wàn)輛汽車(chē)”。

與此同時(shí)，專(zhuān)家們害注意到，奔馳的后端服務(wù)器與“ Mercedes me”移動(dòng)應(yīng)用程序之間缺乏身份驗(yàn)證，這使用戶可以遠(yuǎn)程控制汽車(chē)的多種功能。研究人員解釋說(shuō)，一旦他們?cè)L問(wèn)了后端，就可以控制中國(guó)境內(nèi)大量奔馳汽車(chē)。

當(dāng)然，不幸中的萬(wàn)幸是奔馳對(duì)車(chē)載互聯(lián)應(yīng)用和車(chē)輛的功能安全模塊做了區(qū)隔，研究團(tuán)隊(duì)無(wú)法破解被測(cè)試車(chē)輛的任何關(guān)鍵安全功能。

接著是日本電裝株式會(huì)社（Denso）遭遇黑客攻擊事件。在今年3月，日媒報(bào)道稱(chēng)該公司超過(guò)15.7萬(wàn)分訂購(gòu)單、電子郵件和設(shè)計(jì)圖紙等共計(jì)1.4TB的資料疑被泄露，并被黑客索要贖金。雖然電裝公司發(fā)言人對(duì)此消息表示拒絕評(píng)論，但也承認(rèn)該公司檢測(cè)到其位于德國(guó)的子公司在本周四遭遇過(guò)未授權(quán)登陸并使用勒索軟件。據(jù)悉，電裝公司最初由豐田汽車(chē)中獨(dú)立而來(lái)，是后者乃至多家日系車(chē)企的供應(yīng)商，目前在超過(guò)30個(gè)國(guó)家和地區(qū)設(shè)有170余家子公司。

值得一提的是，僅在半個(gè)月前另一家豐田供應(yīng)商小島沖壓工業(yè)被黑客襲擊，導(dǎo)致豐田汽車(chē)日本所有工廠停工一天。

而在今年8月，德國(guó)汽車(chē)零部件巨頭大陸集團(tuán)被曝出遭遇了網(wǎng)絡(luò)攻擊，在拒絕支付贖金后，黑客威脅稱(chēng)要將包括大陸集團(tuán)預(yù)算、投資和戰(zhàn)略規(guī)劃，以及客戶相關(guān)信息在暗網(wǎng)出售。

除此之外，包括現(xiàn)代、起亞、沃爾沃、通用、大眾、寶馬、英偉達(dá)等汽車(chē)和供應(yīng)商企業(yè)，在今年來(lái)都被曝出遭遇黑客攻擊的事件，其中不乏交過(guò)贖金后依舊遭“背刺”的丑聞。事實(shí)上，Uber在2016年10月就曾遭遇黑客攻擊，被竊取了5700萬(wàn)名乘客和司機(jī)的個(gè)人數(shù)據(jù)。而在面對(duì)黑客的曝光威脅時(shí)，該公司時(shí)任首席安全官喬·沙利文（Joe Sullivan）和副手選擇向前者支付10萬(wàn)美元的贖金。

更荒謬的是，優(yōu)步聯(lián)合創(chuàng)始人、前CEO卡蘭尼克到了一個(gè)月之后，才知道了這件事。而喬·沙利文直到一年之后，才被公司開(kāi)除。

盡管上述新聞都是關(guān)于國(guó)外汽車(chē)企業(yè)，但中國(guó)境內(nèi)的汽車(chē)企業(yè)遭遇黑客攻擊和勒索的情況也時(shí)有發(fā)生。只不過(guò)因?yàn)楦鞣N原因，被媒體曝光的案例并不多。事實(shí)上據(jù)筆者了解，很多車(chē)企在面對(duì)黑客勒索時(shí)，甚至傾向于采用“息事寧人”的方式，支付贖金以求低調(diào)處理。而不是像蔚來(lái)這樣，硬懟回去。

“當(dāng)然，蔚來(lái)這次被要的贖金太高，遠(yuǎn)超行業(yè)水平。”上述專(zhuān)家對(duì)筆者說(shuō)道。

回到蔚來(lái)這次的數(shù)據(jù)泄露事件。盡管黑客從蔚來(lái)竊取用戶數(shù)據(jù)，后者存在保護(hù)不力的責(zé)任，但李斌的這番坦誠(chéng)表態(tài)，的確值得肯定。接下來(lái)蔚來(lái)要做的，便是明確到底哪些用戶的哪些數(shù)據(jù)遭遇了泄露，以及蔚來(lái)會(huì)給出怎樣的賠償方案。更重要的是，后續(xù)蔚來(lái)將在哪些方面加強(qiáng)信息安全建設(shè)，盡所有可能杜絕此類(lèi)事件的再次發(fā)生。

不過(guò)就筆者此前與諸多信息安全行業(yè)專(zhuān)家的交流可知，就像世界上沒(méi)有絕對(duì)安全的保險(xiǎn)柜一樣，也不存在絕對(duì)安全的數(shù)據(jù)庫(kù)。只要這個(gè)數(shù)據(jù)庫(kù)的內(nèi)容需要被實(shí)時(shí)訪問(wèn)、調(diào)用和修改，那么黑客總能找到可供攻擊的漏洞。

從這個(gè)角度來(lái)講，這也許就是智能汽車(chē)的代價(jià)所在。用戶都渴望能獲得一輛越來(lái)越聰明，能夠及時(shí)乃至提前預(yù)判自己需求的汽車(chē)。但這必然意味著，我們需要將自己的社會(huì)信息、行為數(shù)據(jù)乃至生物數(shù)據(jù)交給汽車(chē)企業(yè)。而這些數(shù)據(jù)，也就同樣面對(duì)著被泄露的風(fēng)險(xiǎn)。

也就是說(shuō)，用戶需要控制自己的預(yù)期，車(chē)企也要守住自己的邊界。

建立這個(gè)意識(shí)，對(duì)于我們中國(guó)人民來(lái)說(shuō)尤其重要。畢竟對(duì)于很多人的心態(tài)，某個(gè)大佬有著堪稱(chēng)“話糙理不糙”的經(jīng)典描述：

關(guān)鍵詞： 黑客攻擊 業(yè)內(nèi)人士大多數(shù)車(chē)企給黑