多家酒店資訊洩露 大資料時代個人資訊安全拉響警

今年美國爆發的「棱鏡門」事件，引起了全球對於個人資訊安全的思考。 的確，身處大資料時代，任何一個小動作都可能成為資訊洩露的源頭。 近日，國內安全性漏洞監測平臺烏雲就發佈報告稱，浙江慧達驛站網路有限公司（以下簡稱「慧達驛站」）為國內大量酒店提供的無線門戶認證系統存在資訊洩露的安全隱患。


　　酒店Wi-Fi


　　疑為洩露源頭


　　烏雲網于10月5日公開的報告顯示，如家、漢庭、7天、格林豪泰等不少知名經濟型連鎖酒店全部或部分使用了慧達驛站開發的酒店Wi-Fi管理、認證管理系統。 慧達驛站在伺服器上即時存儲了這些酒店客戶的記錄，包括客戶名、身份證號、開房日期、房間號等敏感、隱私資訊。


　　漏洞發現者表示，當入住這些酒店的住客連接酒店的開放Wi-Fi上網時，會被要求通過網頁進行認證。 值得注意的是，這個認證並不是通過酒店的伺服器而是在慧達驛站的伺服器上完成的，與此同時該伺服器也保存了一份酒店住客的資訊。 由於系統設計存在漏洞缺陷，客戶輸入的姓名、房號、身份證號碼等資訊，在上傳至伺服器過程中就可能被竊取。


　　對此，慧達驛站于10月10日在公司網站上發表聲明，承認無線門戶系統存在資訊安全加密等級較低，有資訊洩露的安全隱患，技術團隊也已對現有門戶無線認證統統完成全面升級。 同時，慧達驛站還強調有關無線門戶系統的安全性問題是公司的責任，與任何酒店客戶無關，並且澄清公司與漢庭酒店(華住集團)、杭州維景國際大酒店等酒店客戶並無合作關係。


　　開房資訊被泄


　　一度可線上查詢


　　對於客戶資訊是否已經洩露，慧達驛站在通告中予以否認。 公司的市場總監韓冰表示，「目前協力廠商漏洞監測平臺提供的截圖在某種程度上只是該機構作為技術驗證漏洞的一種展示，並不能說明已經存在資訊洩露。 」


　　然而就當慧達驛站10月12日發佈漏洞已被修復、隱患已被解除的確認通告後，15日淩晨一個可檢索酒店住客資訊的查詢網站的出現，讓資訊洩露事件進一步升級。


據瞭解，該網站主頁只有最上方的「查詢」兩字，以及一個「姓名或身份證」輸入框和「查詢」按鈕。 輸入姓名後就能得到資料庫中所有同名者的個人資料，包括身份證號、電子郵箱、手機號碼和(住宿)登記日期等。 如果輸入的是身份證號，則能定向查到該人士在酒店的開房資訊。 多位網友通過查詢自己及朋友的開房資訊，均表示身份證和手機號對得上。 雖然目前該網站已無法訪問，但住客開房資訊洩露已是不爭的事實。


　　資訊洩露損失


　　目前尚無衡量標準


　　事實上，早在今年6月就有網友爆料，錦江之星連鎖酒店將至少5萬份精准客戶資料轉給一家旅遊網站，其中包括姓名、身份證號、郵箱和手機等隱私資訊。 隨後錦江之星就此事發佈聲明對此進行了否認。 據記者瞭解，目前網上還流傳這一個名為「某酒店2000W資料」的壓縮檔供線民下載。


　　個人資訊洩露的背後，實際上還隱藏著一條倒賣個人資訊的灰色產業鏈。 許多不法分子通過出售他人資訊獲取利益，購買者則通過資訊來進行廣告推銷或作出電話詐騙等一些違法行為。 對此，威諾律師事務所主任楊兆全在接受《證券日報》記者採訪時表示，目前我國尚未出臺個人資訊保護相關法律法規，需要加強洩露公民資訊民事賠償制度的建立和落實。 他告訴記者，目前個人資訊洩露受害者要求賠償還存在困難，一方面，單個人的損失金額較小，如果提起訴訟，訴訟成本相對較高。 現在我國還沒有集體訴訟的制度，受害者也不可能群體進行訴訟；另一方面，公民資訊被洩露的損失還沒有明確的界定和具體的衡量方法，這也是訴訟中的一大困難和障礙。