蔚來遭遇勒索

楊松　鄢子為

2022年底，李斌遇到了一件難事。

蔚來收到一封勒索郵件。黑客稱，擁有蔚來內(nèi)部數(shù)據(jù)，希望它支付225萬美元等額比特幣贖回。

蔚來創(chuàng)始人、董事長李斌沒有付錢，稱“不會(huì)妥協(xié)”。

2022年12月20日，黑客表示，“給了兩次機(jī)會(huì)，蔚來不愿意買斷這部分?jǐn)?shù)據(jù)來保護(hù)用戶，決定有償曝光?！?/p>

他在網(wǎng)上公開售賣信息?！拔祦韮?nèi)部員工數(shù)據(jù)2.28萬條，包含總裁到一線員工，售價(jià)0.15比特幣；車主用戶身份證數(shù)據(jù)39.9萬條，售價(jià)0.25比特幣......”

李斌道歉，表示會(huì)“承擔(dān)責(zé)任”。

信息泄露

數(shù)據(jù)泄露事件發(fā)生后，蔚來車主憂心忡忡，擔(dān)心行駛中車輛被人控制，產(chǎn)生安全風(fēng)險(xiǎn)。

為了提供服務(wù)，蔚來收集了各類用戶信息，大體可以分為基礎(chǔ)信息、行駛信息等。

2022年10月15日，該公司更新《蔚來汽車隱私政策》，詳細(xì)說明了如何收集、使用、存儲(chǔ)和共享用戶個(gè)人信息。

假如你訂購了一輛蔚來汽車，該公司會(huì)收集一系列基礎(chǔ)信息，包括姓名、手機(jī)號(hào)碼、證件號(hào)碼、車輛信息、支付信息。針對(duì)家庭復(fù)購場景，蔚來還要額外收集結(jié)婚證、戶口本等資料。

你提了車，坐上駕駛室后，更多信息傳給公司。蔚來表示，會(huì)收集和使用“車內(nèi)及車外攝像頭影像資料”。理論上說，你在車?yán)锏囊慌e一動(dòng)，都是公司的數(shù)據(jù)。

該事件暴露出，蔚來沒有很好地管理用戶數(shù)據(jù)。該公司調(diào)查后發(fā)現(xiàn)，黑客竊取的信息為2021年8月前的部分用戶基本信息和車輛銷售信息。

就是說，此次泄露的，是用戶基礎(chǔ)信息，非行駛數(shù)據(jù)。

截至2021年8月，蔚來三款車，累計(jì)交付量達(dá)到131408輛。照此推算，即便不計(jì)當(dāng)時(shí)已下單未提車的用戶，涉及車主也可能以10萬計(jì)。

蔚來首席信息安全科學(xué)家、信息安全委員會(huì)負(fù)責(zé)人盧龍也表示，此次信息泄露事件，不涉及車輛使用中產(chǎn)生的數(shù)據(jù)（如行車軌跡、座艙數(shù)據(jù)），也不影響車輛的駕乘或遠(yuǎn)程控制。

盧龍履歷豐富，曾任螞蟻集團(tuán)首席安全架構(gòu)師，美國東北大學(xué)終身教授。

他公開表示，當(dāng)下智能汽車的個(gè)人信息保護(hù)和數(shù)據(jù)保護(hù)面臨挑戰(zhàn)。

比如智能汽車行駛時(shí)，為了保證行駛安全，會(huì)采集各類必要的交通數(shù)據(jù)?！霸谶@樣復(fù)雜的汽車使用場景下，保證個(gè)人信息安全的任務(wù)較為艱巨?！北R龍表示。

這家千億市值的車企，為了完成這項(xiàng)“艱巨”任務(wù)，投入了哪些資源？

該公司有設(shè)置“數(shù)據(jù)安全員”崗位，要求“識(shí)別企業(yè)數(shù)據(jù)安全風(fēng)險(xiǎn)，利用技術(shù)方案保護(hù)企業(yè)數(shù)據(jù)安全”。

蔚來還表示：“針對(duì)已收集的信息，我們可能會(huì)通過技術(shù)手段進(jìn)行匿名化或去標(biāo)識(shí)化處理后，再進(jìn)行研究、訓(xùn)練、統(tǒng)計(jì)、分析。”

財(cái)報(bào)里，蔚來沒有單獨(dú)披露在“網(wǎng)絡(luò)安全”上投入的費(fèi)用。

有意思的是，2022年1月，蔚來聲稱，自己的網(wǎng)絡(luò)安全管理系統(tǒng)（CSMS）拿到了歐盟法規(guī)認(rèn)證，是中國第一家獲得認(rèn)證的公司。從后續(xù)泄露事件表明，蔚來內(nèi)部網(wǎng)絡(luò)安全存在漏洞。

年關(guān)難過

汽車行業(yè)資深分析師梅松林認(rèn)為，沒有任何流程，可以完全保證數(shù)據(jù)不泄露，最重要的是，讓違法獲取的數(shù)據(jù)沒有交易市場。“沒有買賣，就沒有殺害；沒有交易，就沒有泄露。”

黑客要求的贖金，折合人民幣約1500萬，蔚來拒絕交付。

它表示，不會(huì)向網(wǎng)絡(luò)犯罪行為低頭，將協(xié)助有關(guān)執(zhí)法部門深入調(diào)查此次事件，并依法堅(jiān)決打擊相關(guān)的數(shù)據(jù)竊取、買賣行為。

數(shù)據(jù)泄露事件或會(huì)影響車主對(duì)品牌的信任。

花40多萬買車的蔚來用戶，注重個(gè)人隱私安全。在蔚來社區(qū)，盧龍的聲明，一天獲得890條評(píng)論。

2022年全年，蔚來共交付新車122486輛，同比增長34%，距離15萬輛年度目標(biāo)仍有差距。

虧損額也創(chuàng)紀(jì)錄。財(cái)報(bào)顯示，蔚來三季度的凈虧損為41.1億元，同比增虧392.1%，環(huán)比增虧49.1%。

李斌解釋稱，蔚來研發(fā)投入比較大，主要在芯片、手機(jī)、子品牌、電池領(lǐng)域，每個(gè)季度的研發(fā)投入在30億元以上。

原材料漲價(jià)，又少了幾十億元的毛利，他希望，多賣車分?jǐn)傃邪l(fā)成本。

為了提高銷量，蔚來推出售價(jià)更低的新品牌“阿爾卑斯”，定價(jià)在20萬元到30萬元之間，預(yù)計(jì)2024年量產(chǎn)。最新發(fā)布的ET5，價(jià)格下探到33萬元。

此外，蔚來出海速度加快，今年進(jìn)入到德國、荷蘭、丹麥、瑞典等海外市場，歐洲本地化銷售和服務(wù)團(tuán)隊(duì)人數(shù)已超過720人。

蔚來希望賣出更多車輛，李斌更是立下“2030年成為世界前五大汽車制造商之一”的目標(biāo)。

信息安全事件，給立下大志向的李斌澆了一盆冷水。

梅松林認(rèn)為，隨著汽車數(shù)字化轉(zhuǎn)型，“用戶數(shù)據(jù)安全保護(hù)，將變得日益重要?！鲍@取了海量數(shù)據(jù)的蔚來們，只有充分保護(hù)信息安全，才能擁有更多用戶。

蔚來的2022年劃上一個(gè)不光彩的句號(hào)。