小米800万用户数据泄露 谁该为信息安全负责？

　　“为发烧而生”的小米发生用户数据泄露,800万用户私密信息面临威胁。尽管数据遭泄露已不是新鲜事,但此次涉及用户短信、通讯录等私密信息,部分涉事用户颇为恐慌。公民个人信息泄露事件频发,令人唏嘘无奈。究竟该谁为用户数据安全负责?

　　小米800万用户信息泄露　涉及短信、通讯录等

　　13日晚间,有爆料称小米论坛用户数据库疑似泄露,涉及用户约800万。经乌云漏洞报告平台证实,小米数据库已在网上公开传播下载,与小米官方数据吻合。

　　在得知这一消息后,小米手机用户孟卓立即下载上述数据库进行比对。“不看不知道,一看吓一跳!我以前删除过的短信,竟然都在小米云里面。”

　　据安全专家分析,小米论坛官方数据库泄露,涉及800万使用小米手机、MIUI系统等小米产品的用户。泄露数据带有大量用户资料,可被用来访问小米云服务并获取更多的私密信息。甚至可通过同步获得通讯录、短信、照片、定位、锁定手机及删除信息等。

　　360安全专家安扬说:“从网络流传的小米数据库判断,数据库中的密码数据使用了保护措施,黑客还原明文密码的概率约为70%-80%,简单密码容易被破解。此外,疑似小米的泄露数据还带有用户资料,可能被不法分子利用进行诈骗。”

　　小米回应:部分数据确遭泄露　已弃用旧账号体系

　　小米公司安全中心有关负责人回应新华社记者说,经查,确有部分2012年8月前注册的论坛账号信息被非法获取,截至目前,尚未发现可见的流量异动以及投诉报告。

　　上述负责人表示,对于在2012年8月之前注册小米论坛账号,且之后未修改过密码的用户,小米公司将通过短信、邮件等方式提示其尽快修改密码。

　　数据库缘何泄露?小米公司安全中心解释称,在创业初期,小米论坛及依附论坛产生的账号体系都使用了第三方开源程序,确实存在漏洞。基于安全考虑,2012年8月,小米弃用旧论坛账号体系,将所有服务(包括小米云服务、米币等)切换到全新的账号安全体系,采用业界最新安全实践方案,对所有存储数据均进行了极严格的安全加密。

　　“小米将密切关注此次安全事件动态和用户反馈,持续跟进并及时通报。”上述负责人说,小米公司将不遗余力地提升安全保障措施,包括异地登录预警、安全令牌登录等。用户登录使用重要服务(米币中心、小米云服务等)时,还会在手机端得到安全提示推送。

　　尽管此次事件中小米表态积极,部分用户并不认可。“企业发生了数据泄露事件,其责任是无法逃避的。”孟卓说,早在此事被媒体曝光之前,就已经有用户在怀疑小米数据信息泄露,但小米公司没有就此提示用户防范规避风险。

　　网企信息安全事件频发　法律空白亟待填补

　　在此次小米公司数据库泄露之前,互联网用户数据泄密的事件已经多次发生,比如携程用户数据泄露事件,导致用户支付过程中的调试信息可被黑客读取,大量用户银行卡信息泄露。此类事件的频发,凸显信息安全领域需要有更完善的法律支持和司法机关更有作为,比如当事企业的责任、司法机关的作为、事件的定性等。

　　中国计算机学会信息安全专业委员会主任严明说,对数据库泄露事件,首先要明确运营商的责任。因为如果运营商要淡化处理,普通个人用户隔着运营商这层关系,要提出证据难度太大了。所以,最为关键的是把当事企业的责任通过法规明确起来,使其努力追究攻击者责任,维护网络用户的权利。

　　业内人士表示,在类似事件中,一些企业担心自身名誉受损,对数据泄露抱着遮遮掩掩的态度,这种心态正是网络攻击者所期望的局面,也是攻击者有恃无恐的原因之一。网企有意无意地和攻击者站在了同一方,最受伤的是网民,隐私泄露、财产损失,是最为弱势的一方。

　　严明说,当企业发现数据泄露后做了什么,是否第一时间发出警报并采取措施?这是很重要的问题,直接体现了当事公司是否尽到了相关责任。“企业报警没有?能不能立案是公安的事,报没报警是企业的事。报警本身就是对攻击者的一种威慑。”

　　其次,对恶意攻击者的责任追究也同样重要。安全宝CEO马杰说,在加大对企业压力的同时,一定要打击入侵者。否则,竞争对手都会雇黑客去攻击对方数据库。

　　安天实验室首席架构师肖新光认为,我国司法机关在针对网络信息安全方案的立法、执法都滞后于现实。公共安全领域,如果国家机器没有承担足够责任,那么网络企业承担的压力必然加大。

　　第三,专家建议此类信息安全事件不能适用“民不告、官不究”。严明认为,司法机关在处理这类问题时,最主要的问题是于法无据,取证、定损过程比较困难,难以查处。互联网用户数据泄密,由于涉及的人数众多,已经成为涉及到公共安全性质的事件,不能按照“民不告、官不究”的民事纠纷来看待,执法部门应主动介入、积极调查并追责,而不是非要等到立案以后才处理。