撰文| 吳坤諺

編輯| 吳先之

3月20日，為解答“開盒”風波后外界產生的信息安全疑慮，百度召開安全溝通會釋疑并復盤了該新聞事件的全過程。

據悉，百度方面自3月17日凌晨接到外部舉報后，便成立技術調查組展開內部排查，確認當事人沒有百度用戶個人身份信息的數據權限，也未訪問過任何百度數據庫與服務器。經核實，確認開盒信息并非從百度泄露。

“任何職級員工都無權限觸碰用戶數據，即使是我也沒有相關權限”，溝通會上，身穿印有“很安全”字樣部門工服的百度安全負責人陳洋表示。

在排除內部數據泄露可能后，百度快速定位“開盒”相關數據源頭是海外灰產組織“社工庫”。經輿論發酵，該組織目前已停止運作。

百度將用戶安全放在首位

移動互聯網時代，用戶使用互聯網公司開發的應用普遍需要開放權限。本次風波中，社會情緒的關注點也在于互聯網公司的員工能否調取查看個人隱私信息。

針對這個疑問，陳洋介紹了百度內部有可能訪問數據的三個方式，分別是數據系統、服務器以及辦公系統。任何系統的登錄均需要有相應權限，且訪問與信息調取均會留下訪問日志，因此百度得以快速排除當事人的嫌疑。

針對網友對個人數據安全的疑問，陳洋進一步表示，所有在百度相關產品注冊的用戶自個人信息注冊階段，其原始數據便會進行實時的假名化處理，而原始數據則單獨加密隔離并設置多重“密鑰”保護。“密鑰”分別由不同部門的不同個人保管，確保即使有人擁有訪問數據的權限，在權限分離與統一管控的情況下，也無法調取任何一個用戶的個人數據。

這個持續迭代的信息安全系統是用戶個人數據的第一道防線，在此基礎上，百度還由設置了安全部門、內審部、稽核部、職業道德建設部等部門多方風控，以及定期開展安全培訓和攻防演練。百度方面強調，自百度成立的20多年以來，其未曾出現過任何數據泄露及信息安全問題。

為查漏補缺，百度早在2014年便向社會發起“漏洞獎勵計劃”，邀請各界安全專家及用戶提交信息系統可能存在的漏洞。

此外，百度亦積極參加海內外的互聯網信息安全標準建設，聯合行業共同創建了80余項安全標準，通過了104項國家級安全認證。據悉，百度是在《數據安全法》出臺后，首批通過數據安全管理人DSM的企業，以及國內首家數據安全承受過四級認證的企業。

“我們部門工服上的‘很安全’不是為今天準備的，每個人入職的時候都會收到這件工服，因為我們把用戶安全永遠放在首位”，陳洋表示。

溝通會上，百度展示了經三方公證的“（2025）京精誠內經證字第 1642號”公證書，證實事件與百度無關。

個人信息安全保護刻不容緩

繼核實“開盒”事件始末后，百度逐一解答了媒體關于用戶個人隱私的種種疑問。

陳洋表示，個人隱私信息通常有三種泄露途徑：一是黑客入侵網站漏洞后進行抓取；二是黑灰產人士利用爬蟲爬取；三是通過數據交易被獲取。前兩種是較為常見的方式，黑客攻擊有漏洞的網站后，直接將網站的全量數據庫下載下來，以碰撞的方式將未加密或弱加密的密碼明文解密，而后便可以憑賬號與密碼“撞庫”獲取其他網站或應用的賬號。

由于互聯網企業的信息安全技術愈發成熟，灰產組織寄希望于前兩種途徑獲取個人信息變得越發困難。因此，目前灰產市場上流轉的個人信息有相當一部分源自多年前。

自當下用戶數據的全生命周期來看，最有可能導致信息泄露的薄弱環節是數據采集環節，即安裝使用App、IoT設備時開放的通訊錄、相冊等權限。百度方面呼吁，用戶應警惕未在正規應用市場上架的任何應用。

此外，針對“開盒事件”發生后在網上流傳的“當事人承認家長給她數據庫”截圖，百度核實后發現，該截圖的信息內容不實，其原意為博主收到家人紅包后，在平臺曬出微信紅包截圖，博主回復“我家長給的”，本意是想說明紅包的來源，與“開盒”無關。據核實，事件發生后的大量傳播信息均為不實。

數據時代高速發展，個人信息安全亦常溫常新。百度方面表示，在相關政府部門的指導下，愿意積極響應和倡議推進“反開盒”聯盟的成立，共同加強數據隱私防護，嚴厲打擊非法數據竊取及泄露行為。

微信號｜TMTweb

公眾號｜光子星球

別忘了掃碼關注我們！