外媒报道特斯拉涉大规模泄露用户隐私数据，一名举报者向德国当局通报数据泄露事件：100GB的特斯拉数据除首席执行官马斯克的社保号码、员工工资等信息，还包括约4000份有关意外加速或“幽灵刹车”的投诉。

南都大数据研究院梳理发现，继去年年底蔚来汽车被爆出部分用户数据遭窃取，遭网络黑客勒索225万美元以来，已有多家车企发生用户数据泄露事件。智能车企用户数据泄露引发公众担忧：数据泄露给车主带来电话、短信骚扰怎么解决？对于用户数据安全究竟如何保障？

外媒称特斯拉100GB用户数据遭泄露

【资料图】

外媒援引德国勃兰登堡州的数据保护办公室的话称，德国当局表明特斯拉可能违反数据保护规定。报道透露，在名为“特斯拉文件（Tesla Files）”的数据中储备大量客户数据，有100GB，包括超过10万名前任和现任员工的姓名（包括特斯拉首席执行官马斯克的社会安全号码）、私人电子邮件地址、电话号码、员工工资、客户银行详细信息和生产的秘密细节，还有约4000份有关意外加速或“幽灵刹车”的投诉。

外媒报道位于德国勃兰登堡州的数据保护中心称此次数据泄露“规模巨大”，当地监管机构已经移交荷兰方面处理。若违规行为被证实，特斯拉可能被处以高达其年销售额4%的罚款，即32.6亿欧元。特斯拉荷兰的数据监管机构发言人对此回应：“我们了解到相关情况，正在调查。”

据了解，此前有外媒报道提到，九名已离职特斯拉员工透露2019年至2022年期间，特斯拉员工在内部聊天系统中私下分享大量由车主汽车摄像头记录的敏感图像和视频，其中一些内容极度侵犯了客户的隐私。

去年来多家车企发生数据泄露事件

梳理发现，去年以来多家车企发生数据泄露事件，包括日产汽车北美公司、蔚来汽车、和泰汽车等。2022年9月26日，日产汽车证实客户数据泄露，涉及约1.7万名客户，包括全名、出生日期和NMAC账号（日产金融账户）等信息。日产汽车称2022年6月21日便收到软件开发供应商的数据泄露通知，该第三方供应商接收日产汽车客户数据为其开发和测试软件解决方案，因数据库配置不当致数据泄露。TechCrunch披露一名资安研究员发现“和泰汽车”一个云端资料库没有密码保护，任何人都能浏览或存取会员资料，包括和泰汽车旗下共享汽机车平台iRent用户的姓名、电话、驾照照片、信用卡资讯等，这些数据2022年5月已经外泄。

2022年12月11日爆出的蔚来汽车“数据泄露门”，备受公众关注：蔚来汽车收到外部邮件，以数据泄露勒索225万美元等额比特币。网上被公开售卖信息涉及员工数据、订单数据、用户及企业代表联系人数据，还有车主身份证、用户地址，甚至车主亲密关系、车主贷款数据等极为隐私的信息。有媒体根据公开信息估算此次蔚来泄露数据或涉及10余万车主。2022年12月20日，蔚来汽车在官方社区发布《关于数据安全事件的声明》，确认2021年8月之前部分用户基本信息、车辆销售信息被窃取并致歉。当晚，蔚来汽车创始人、董事长、首席执行官李斌在社交媒体公开发文称深表歉意，承诺对因数据泄露事件给用户造成的损失承担责任。

建议建立企业自身敏感数据资产目录

智能汽车如何保障用户数据安全？在原点安全产品总监杨欣明看来，车联网分为云、管、端三个层面，数据处理贯穿于各环节。为给用户提供信息服务类、智慧交通类应用，均需要收集汇聚车主实名、人脸特征等身份信息，以及用户关注内容、汽车运行数据、汽车状态信息、用户行车轨迹等大量高价值数据，进行智能分析与决策。随着数据开发、数据分析、开发运维、基于数据的智能应用等数据业务不断演进，车企有越来越多内部人员使用云端数据，必然催生数据滥用、侵犯用户隐私、数据暴露面增大以及数据泄露的风险。

他建议，针对智能网联汽车云端的数据安全及使用合规需求，立足于数据分类分级、数据访问授权、数据权限管控、动态数据脱敏、API敏感数据监测、敏感数据访问全链路跟踪、数据安全风险分析、数据安全合规等方向开展安全防护实践。具体而言，数据分类分级方面，从个人信息为入手点逐步扩充识别及保护的数据范围，建立起企业自身的敏感数据资产目录，实时监测敏感数据增删改查等。敏感数据访问及权限管控应实施粒度到人员，采用虚拟账号等手段降低数据源口令的泄露风险，严格限制、数据访问留痕至真实数据操作者，降低开发运维侧以及业务系统的敏感数据暴露面。同时，构建起“用户-应用-数据”的数据流转路径和用户访问数据的轨迹记录体系，便于企业数据安全管理人员及时发现针对重要数据和敏感数据的外部攻击、内部人员威胁和异常。在审计数据访问行为基础上，深度审计行为涉及的数据位置和位置存在的敏感数据类型；实现用户(谁/对应真实的人)-应用-API-数据库账号-数据库/表-数据类型(身份证号、银行卡号、护照号等)全链路，满足实时审计、问题回溯分析等需求。

建议智能车企多方向开展安全防护

南都大数据研究院注意到，随着汽车智能化加速，智能汽车涉及数据不仅包括地理位置、基础信息，还包括车内私密空间内语音、画面等，数据显示2021年智能汽车渗透率达63.8%。智能化汽车数字化应用场景更广泛，往往基于对车主个人信息、车辆位置，出行轨迹、速度和方向等数据的大量授权、采集与分析。

对于汽车数据安全保障，工信部2021年8月12日发布《关于加强智能网联汽车生产企业及产品准入管理的意见》，明确企业应建立健全汽车数据安全管理制度，依法履行数据安全保护义务，加强个人信息与重要数据保护，建设数据安全保护技术措施，确保数据持续处于有效保护和合法利用的状态，依法依规落实数据安全风险评估、数据安全事件报告等。2021年10月1日实施的《汽车数据安全管理若干规定（试行）》提到，利用互联网等信息网络开展汽车数据处理活动，应当加强汽车数据保护，依法履行数据安全义务。汽车数据处理者（比如车企）在处理汽车数据时应该坚持：默认不收集原则，除非驾驶人自主设定，每次驾驶时默认设定为不收集状态；脱敏处理原则，尽可能进行匿名化、去标识化等处理。开展汽车数据处理活动造成用户合法权益或者公共利益受到损害的，汽车数据处理者应当依法承担相应责任。

数据合规专家、泰和泰(深圳)律师事务所合伙人易怀炯律师认为，智能化汽车基于互联网、大数据充分应用，如同巨大“移动”终端，给车主极好用户体验，但是以车主授权大量个人数据为代价。建议各大车企特别是智能化新能源赛道的车企，不要把全部资源放在续航、智能座舱、售后服务等看得见的投入上，需要高度重视数据安全问题。一方面要解决数据安全存储技术、设备上的投入，筑牢防护网，不能让黑客轻易获取，另一方面建立完善数据合规管理制度，包括日常管理和应急处置制度，以合规促安全。数据安全合规，不仅是法律强制性义务，而且是车企的无形竞争力，在竞争如此白热化的新能源汽车赛道，数据安全有可能造成滑铁卢，也有可能助力弯道超车。

（文章来源：南方都市报）