5700萬用戶數據被盜，黑客勒索贖金，優步的做法讓人大跌眼鏡！

每經編輯｜每經記者 蔡鼎    

自從優步中國和滴滴打車合并之后，優步的日子越來越不好過。今年6月，由于公司內部頻發性騷擾案件，優步炒掉了20名員工；同月優步的聯合創始人、前首席執行官卡蘭尼克被迫辭職……

而今天，優步再一次因為自己的愚蠢做法而被推上風口浪尖。

用戶信息被盜 優步知情不報

北京時間11月22日凌晨，優步公司CEO達拉·科斯羅薩西（DaraKhosrowshahi）在公司官網上發布一份公告，公告稱：我最近得知，在2016年底，有兩名公司外部人員竊取了優步公司儲存在第三方云服務器中的用戶數據。

▲圖片來源：優步公司公告

兩名黑客竊取并下載了全球5700萬優步用戶的姓名、電子郵箱、電話號碼等，其中包括60萬美國境內優步司機的姓名、駕照信息。但優步表示，社會安全碼、信用卡信息和行程細節等數據沒有被盜。

優步CEO的公告發出后，彭博社等媒體提出了質疑，去年10月份5700萬名乘客和司機的個人數據遭到泄露，優步為什么在時隔一年才將這一重大安全漏洞對外公布？

達拉·科斯羅薩西解釋說：當數據泄露發生時，我們立即采取措施保護用戶數據，并關閉了未經授權形式的個人訪問，我們還實施了安全措施，限制了對基于云計算的存儲賬戶的訪問，并加強了控制。我也很疑惑，為什么公司一年之后才公布該消息。因此，我向公司相關部門提出了幾項處理措施：咨詢了有關專家，指導優步公司安全管理團隊工作；就個人信息被下載一事，單獨向相應的優步用戶和司機發出通知；通知監管部門；公司正在密切監控被竊取賬戶情況。

根據彭博社報道，優步的聯合創始人、前CEO卡蘭尼克在2016年11月，也就是黑客入侵的一個月后，便得知了此事。但目前，卡蘭尼克本人拒絕就此事置評。

值得注意的是，優步在得知用戶信息遭竊取之后，不僅并沒有對外披露，還給黑客交“贖金”。

據彭博社報道，首席安全官喬·沙利文（Joe Sullivan）和一名副手“盡職”地向黑客支付了10萬美元的贖金，讓黑客刪除盜竊的信息。本周，優步公司就將這兩人開除。彭博社上月曾報道稱，優步董事會對沙利文的安全團隊的活動進行了調查。正是在這次調查中，優步才發現了這次信息泄露以及公司未對外界披露的事實。

黑客如何入侵優步？

彭博社報道中稱，兩名黑客訪問了優步軟件工程師使用的一個私人GitHub編碼站點，然后使用他們在那里獲取的登陸憑證來訪問儲存在亞馬遜云服務（AWS）賬戶上的數據，而該賬戶的目的正是為優步處理計算任務。而恰恰是在那個賬戶里面，黑客們發現了一個關于優步乘客和司機的檔案。優步表示，黑客給優步發來了電子郵件，以勒索的方式換取贖金。

▲圖片來源：視覺中國

每日經濟新聞記者注意到，根據美國各州和聯邦的法律，當敏感的數據發生泄露時，公司必須通知數據泄露的受害者和政府機構。優步也表示，公司有義務對受害司機們報告其車牌信息被盜的消息，但其并沒有這么做。

自2009年成立以來，優步頻繁涉嫌觸犯法律法規。彭博社援引知情人士稱，美國已經對優步可能涉嫌賄賂、非法軟件、可疑定價計劃以及對競爭對手知識產權的盜竊展開了至少五次刑事調查。此外，優步還面臨著數十項民事訴訟。

近年來，越來越多的公司被黑客攻擊。其實，與雅虎、MySpace、美國第二大零售商塔吉特（Target Corp.）和美國信用機構EquifaxInc等這些公司遭遇黑客入侵的規模相比，優步此次的重大安全漏洞簡直不值一提（今年9月初，美國三大信用評級機構之一的Equifax公司宣布其遭遇黑客入侵，大約1.43億名美國用戶數據泄露）。但令人擔憂的是，優步在得知司機和乘客的個人信息被盜后并非采取積極的彌補措施，而是支付贖金掩蓋此事。

每經記者 蔡鼎

每經編輯 王嘉琦