英国300万乘客数据被泄露 优步被罚款38.5万英镑

英国信息专员办公室(Information Commissioner's Office，ICO)宣布对优步在欧洲的业务处以38. 5 万英镑的罚款，因为优步在 2016 年遭到黑客攻击， 300 万英国用户的数据被泄露。

2016 年 11 月，攻击者入侵优步云服务器，下载了 16 个大型文件，其中包括全球 3500 万用户的资料，比如乘客的全名、电话号码、电邮地址和他们注册该服务的地点。

还有 370 万优步司机也受到影响，其中8. 2 万来自英国，他们的周薪、行程摘要， 甚至有些司机的驾驶执照号码都被泄露。

ICO表示，造成黑客入侵的原因是优步的信息安全工作存在问题，而优步美国公司不仅没有披露此次攻击事件，还满足了黑客的要求，向黑客支付了 10 万美元作为“漏洞赏金”。这种赏金在安全领域很常见：如果你在一家公司的系统缺陷受到攻击之前，发现了他们的安全漏洞，并通知了这家公司，公司会奖励你。

ICO写道：“优步美国公司没有遵循其漏洞奖励计划的正常流程。在这起事件中，从优步美国公司拿到钱的外部攻击者，与合法的漏洞赏金领取者存在本质区别：后者会负责任地披露漏洞，而前者恶意利用该漏洞，获取了优步用户的个人信息。”

ICO表示，优步没有告诉任何用户他们的数据被泄露了。直到攻击发生 12 个月后，该公司才开始对账户欺诈行为进行监控。

不过，优步遭到了从轻处罚，一是因为优步在欧洲的分公司也没有被告知此事，所以无法把此事报告给ICO，二是因为没有证据表明被泄露的数据遭到了滥用。

今年 9 月，在美国，优步美国公司因为没有向司机通报数据泄露事件，被处以罚款1. 48 亿美元。

优步在一份声明中表示：“我们很高兴给 2016 年的这起事件画上句号。在欧洲机构进行调查期间，我们已经表明，在入侵事件发生后，我们持续对优步系统的安全性进行了技术上的改进。我们还对领导层进行了重大调整，以确保为监管机构和用户提供适当的透明度。今年早些时候，我们聘请了公司的第一位首席隐私官、数据保护官，和一位新的首席信任安全官。我们从错误中吸取了教训，继续为赢得用户的信任而努力。”

由于事情发生在 2016 年，所以英国是根据 1998 年《数据保护法》对优步处以罚款的，其中规定罚款最高金额为 50 万英镑。而根据 2018 年《一般数据保护法案》，优步会被处以远远更高的罚款，最高可达优步全球营收的4%。