Facebook超5亿用户数据泄露，近十年全球信息安全问题集中频发

近日，美国社交媒体脸书（Facebook）超5亿用户的个人数据遭到泄露，包括电话号码、电子邮件等信息。俄媒称，脸书创始人扎克伯格的电话号码也遭泄露。

据新闻网站商业内幕（Business Insider）报道，一个低级别的黑客论坛3日曝光了5.33亿脸书用户的个人数据，这些用户涉及 106个国家，泄露的信息包括脸书ID、用户全名、位置、生日、个人简介以及电子邮件地址。

令大众吃惊的是，公布的这些个人隐私信息数据涉及来自 106 个国家的 5.33 亿 Facebook 用户，其中包括 3200 万美国用户，1100 万英国用户，600 万印度用户。

俄罗斯卫星通信社4日报道，遭泄露的5.33亿脸书用户数据中包含一些名人的信息，扎克伯格的电话号码也在其中。有消息称，遭泄露的电话号码与扎克伯格的真实号码是一致的。

网络犯罪情报公司Hudson Rock的首席技术官加尔首先发现了脸书用户数据泄露，通过比对他所认识的人的信息，证实至少有一部分内容是真实的。

事发后，脸书公司在4月3日的一份声明中称，上述数据来自2019年发生的信息泄露事件，当年8月已经进行修复。

脸书已不止一次发生用户信息泄露事件

此前，Facebook曾将8000万用户数据与剑桥分析公司（Cambridge Analytica）进行分享，而后者则将这些数据用于2016年美国大选政治广告，这严重违反了Facebook的服务条款。扎克伯格承认对此事负有责任并道歉。随后，美国联邦贸易委员会对此事展开调查，并对脸书开出50亿美元罚单。

国际上也有应对此事的相关法律条令和组织，例如「GDPR」是 (The European) ，意思为「通用数据保护条例」，是欧盟议会和欧盟理事会在 2016 年 4 月通过，在 2018 年 5 月开始强制实施的规定。

GDPR 本质上来说是一系列「打鸡血」版强制执行隐私条例，规定了企业了在对用户的数据收集、存储、保护和使用时新的标准；另一方面，对于自身的数据，也给予了用户更大处理权。GDPR虽然保护范围只在于欧洲生活的人民，但因为考虑到「全球性」是写入互联网基因内的属性，几乎所有的服务都会受到影响，所以生活在欧洲之外的人其实也会从此条例中获益。

据公开信息纰漏，如果2018年脸书的“剑桥分析事件”发生在了GDPR的管辖范围之内，则其可能被处罚1700万英镑或全球营业额4%的巨额罚款。

全球用户隐私数据泄漏事件愈发频繁

过去，影响几百万人的数据泄露事件就能成为新闻头条，而如今，影响数亿甚至数十亿的事件却比比皆是。

雷锋网通过公开资料，对关于21世纪以来的典型的数据泄漏事件整理，得知主打的数据安全泄漏主要发生在于以下几家公司：Adobe、Adult Friend Finder、Canva、Dubsmash、eBay、Equifax、Heartland 支付系统、LinkedIn、My Fitness Pal、MySpace、雅虎、Zynga等等

以下列举几件具有代表性的事件：

数据泄漏公司：Adobe；日期：2013年10月and2019年10月；影响：1.53亿用户记录

在2013年10月上旬，根据安全博主Brian Krebs的披露，Adobe最初报告说，黑客窃取了将近300万个加密的客户信用卡记录，以及数量不确定的用户登录信息帐户。但根据后来的调查表明，已经有超过1.5亿用户密码被泄露，黑客还暴露了用户名称、ID、密码以及借记卡和信用卡信息。

2015年8月的一项协议要求Adobe支付110万美元的法律费用，并向用户支付赔偿，金额数量并未公开，以解决违反《客户记录法》和不公平商业行为的指控。据报道，2016年11月支付给客户的金额为100万美元。

2019年10月Adobe再次出现数据泄露事故超过700万名用户受影响，所幸这次泄露的数据不含账号密码和信用卡数据等。

数据泄漏公司：Adult Friend Finder；日期：2016年10月；影响：4.122亿个帐户

AdultFriendFinder所属公司被黑客入侵，泄露4.12亿用户数据，这将是2016年最大的一次数据泄露事件，也是20年来最大的一次数据泄露事件。

因为公司在安全方面的欠缺，导致几乎所有的账户密码都泄露了，甚至连已经删除的账户也被黑客翻了出来。在4.12亿数据中，有3.39亿数据来源于AdultFriendFinder网站，有超过1500万数据是已经被删除的用户数据。

仔细分析数据库之后得知，6200万数据来源于Cams.com，700万来源于Penthouse.com，其余的数据则来源其他FriendFinder网站。

数据泄漏公司：eBay；日期：2014年；影响：1.45亿用户

eBay曾与2014年初发生大规模用户数据泄露事故，约1.45亿用户数据遭泄露，这些数据包括用户名、电子邮件地址、家庭地址、电话号码和生日等隐私信息，但eBay表示用户密码经过加密处理，黑客并不容易获得，而用户的信用卡数据并未泄露。

eBay的数据泄露规模甚至超过了美国零售商Target的数据泄露事故（4000万信用卡遭泄露，1.1亿用户数据遭泄露），不过McAfee的副总裁Raj Samani认为eBay泄露的数据中未包含信用卡等支付数据，因此情况并没有Target的数据泄露严重。

数据泄漏公司：LinkedIn；日期：2012年（和2016年）；影响：1.65亿用户帐户

LinkedIn是商务专业人士的主要社交网络。对于希望进行社交工程攻击的攻击者来说，LinkedIn极具吸引力。2012年1月，一位名叫“Andrev”的黑客通过Pastebin发布了一则消息，声称其攻击了LinkedIn服务器，并窃取了约1.59亿的用户信息。为证实其行为，他发布了一个包含100个用户的信息名单，名单中包括帐户信息、登陆密码等。据称，泄露的用户中包含一些国际知名企业CEO。

然而，直到2016年该事件的影响范围才完全揭露。出售MySpace数据的黑客仅用5个比特币（当时约为2,000美元）就提供LinkedIn上的用户电子邮件地址和密码。LinkedIn承认已意识到该漏洞，并表示已重设了受影响帐户的密码。

数据泄漏公司：MySpace；日期：2013年；影响：3.6亿用户帐户

早在2007年底，MySpace的Alexa全球排名已经稳定在第六名。曾有数据显示，每个MySpace的注册用户的平均浏览页面数高达30以上，用户粘性极强。而这次事件的主导者就是上次售卖超过1.64亿Linkedln用户数据的同一个黑客，而现在该黑客宣称已经拿到了3亿6000万MySpace用户的电子邮件地址以及密码。

因为有3.6亿个MySpace用户的帐户泄漏，在LeakedSource（可搜索的数据库，其中包含被盗帐户）和暗网市场The Real Deal 上出售，要价为6比特币（当时约为3,000美元）。

据该公司称，丢失的数据包括在2013年6月11日之前创建的部分账户电子邮件、密码和用户名。根据HaveIBeenPwned的Troy Hunt的介绍，密码存储为SHA-1哈希，密码的前10个字符转换为小写。

数据泄漏公司：雅虎；日期：2013-14年；影响：30亿用户帐户

雅虎于2016年9月宣布，自己是2014年里数据泄露事件最大的受害者。攻击者窃取了5亿用户的真实姓名、电子邮件地址、出生日期和电话号码。大多数泄露的密码多哦为散列密码。

在2016年12月，雅虎披露了另一位攻击者自2013年以来的数据窃取行为，该攻击行为泄露了10亿个用户帐户的名称、出生日期、电子邮件地址和密码以及安全性问题和答案。雅虎于2017年10月修订了这一估计数，总计包含30亿用户。

最初的数据泄露公布的时机不好，因为雅虎正在被Verizon收购，后者最终以44.8亿美元的价格收购了Yahoo的核心互联网业务。此次泄露事件使公司价值缩水了约3.5亿美元。

写在最后

当然全球数据泄漏事件不断频发的今日，用户数据隐私保护就变得尤为重要性。GDPR是2018年全球跨国公司数据安全领域所关注的焦点。这一年，受GDPR启发，欧盟之外的其他法域国家也推出了综合性的个人数据安全保护的法规体系。比如：

巴西：2018年8月14日，巴西总统批准了《巴西通用数据保护法》(Lei Geral de Proteção de Dados Pessoais，简称 “LGPD”)。LGPD将于18个月的过渡期后，在2020年2月15日正式生效。实际执行中，2020年8月26日，博索纳罗总统批准了巴西数据保护局(ANPD)的监管结构和整体框架。ANPD将负责监督个人数据保护措施，制定相关指导方针，调查和执行LGPD，并与其他国家数据保护当局开展合作。

就在今年年初，巴西数据保护局（下称ANPD）向外界公布了其监管工作战略规划及2021年至2022年工作计划，其中有提及到ANPD机构的发展愿景即：打造巴西国内及全世界数据保护机构的样板。

美国加州：2018年6月28日，美国加利福尼亚州（“加州”）颁布了《2018年加州消费者隐私法案》（“CCPA”），2020年1月1日正式生效。CCPA旨在加强消费者隐私权和数据安全保护，CCPA被认为是美国国内最严格的隐私立法。

随后2020年11月3日，美国加利福尼亚州选民投票通过第24号提案，即《加州隐私权法案》（CPRA）。CPRA在去年刚刚生效的《加州消费者隐私法》（CCPA）的基础上，将进一步赋予加州居民一些新的权利，比如更正个人信息以及限制敏感个人信息的使用和披露的权利。

新加坡：新加坡的个人数据保护立法已有9年多历史，其《个人数据保护法令》于2012年10月由议会通过，该法主体部分于2014年7月生效。随后该国又制定九部配套的附属立法，其中重要的有2014年《个人数据保护规例》等。

2018年以来，新加坡在个人数据保护法的立法方面又有一些颇受瞩目的新进展，其中主要有2019年1月14日颁布的重要案例、2018年8月31日颁布的《关于国民身份证及其他类别国民身份号码的（个人数据保护法令）咨询指南》和2020年5月14日《个人数据保护法（修订）草案》的公开征求意见稿等。

而国内方面，今年3月19日，国家互联网信息办公室副主任杨小伟19日在新闻发布会上说，目前加紧制定出台《数据安全法》、《个人信息保护法》，从而在法律层面为数据安全和个人隐私保护提供法律保障。正在加紧制定相关法规标准，建立数据资源的确权、开放、流通以及交易的相关制度，从而在运行机制上进一步完善数据产权保护制度，为我们的数据安全和个人隐私、个人信息保护提供制度保障。