從Facebook數據泄露事件看網絡運營者對第三方應用的安全管理責任

魏書音

摘 要：Facebook數據泄露事件揭露出網絡運營商對第三方應用收集和利用數據管控薄弱的問題，給大數據時代數據安全監管和個人信息保護工作敲響了警鐘。第三方應用是數據泄露的重要渠道、網絡攻擊的重要目標和非法信息推送、廣告營銷的便捷跳板，網絡運營者有必要落實主體責任，強化對第三方應用的安全管理，切實加強數據安全保護。

關鍵詞：Facebook數據泄露事件；第三方應用安全；用戶數據管理

中圖分類號：DF92 文獻標識碼：A

1 引言

2018年3月，Facebook數據泄露事件曝光，Facebook上約5000萬用戶數據被一家名為“劍橋分析”（Cambridge Analytica）的公司泄露和濫用。事件引發了國際輿論熱議，Facebook股價也隨之大跌。此事件揭露出Facebook對第三方應用收集和利用數據管控薄弱的問題，給大數據時代數據安全監管和個人信息保護工作敲響了警鐘。網絡運營者有必要落實主體責任，強化對第三方應用的安全管理，切實加強數據安全保護。

2 Facebook數據泄露事件經過

2.1 Facebook可與其平臺上的第三方APP共享用戶信息

Facebook為用戶提供“一站式”的社交圈動態信息，可供用戶與社交圈好友共享一些私人信息。為了增強服務體驗，Facebook鼓勵用戶使用其生態中的各種第三方APP，通過第三方APP的特色服務拓展社交的維度和深度。2014年前，Facebook通過開放可實現與平臺直接交互的API給第三方程序，在獲得用戶同意后，第三方APP可讀取用戶本人及其社交圈內其他人相關信息。這樣，Facebook與第三方APP共享用戶在Facebook生成的信息以及使用第三方APP生成的信息，而Facebook并為對平臺數據的交互進行嚴格的管理。

2.2 一款第三方APP利用API接口搜集了用戶及其好友的信息

2013年，劍橋心理學系教授Aleksandr Kogan在Facebook開發上線一款測試應用“this is your digital life”，以“有償心理學研究”為名，用少量金錢為獎勵，誘惑用戶下載，最終獲得了大約30萬種子用戶后，在問卷調查末尾，再請求用戶同意該軟件查看其Facebook資料。當時Facebook開放的是廣告API接口， Kogan在用戶不知情的情況下可以輕易獲取他們的數據，而在用戶點擊同意之后，這一應用軟件不但搜集了用戶本人信息，再利用與Facebook的關聯協議，繞過用戶好友同意，順藤摸瓜地搜集了從Facebook頁面能看到的其所有Facebook好友信息，最終獲取了超過5000萬Facebook用戶的私人數據。

2.3 劍橋咨詢從獲取這款應用搜集的數據進行建模分析并精準投放政治廣告

劍橋咨詢（Cambridge Analytica）此前受聘于美國共和黨的重要金主Robert Mercer，為其研發一個最新的價值1500萬美元的選民研究工具。由于選民心理學檔案的建立需要大量的數據支撐，所以該機構就將目標鎖定在北美擁有超1億用戶的Facebook。劍橋咨詢找到Aleksandr Kogan教授來協助其獲得數據，利用Facebook點贊等機制，依靠算法，根據每個用戶的日常喜好、性格特點、行為特征，預測他們的政治傾向，然后定向向用戶推送新聞，借助Facebook的廣告投放系統，影響用戶的投票行為。

3 Facebook事件因其對第三方應用安全管理不力而引發

3.1 Facebook隱私規則對第三方應用事前限制不嚴，為數據非法收集提供便利

一是設置信息默認公開選項獲得用戶授權。2014前Facebook的用戶隱私設置默認的選項是“公開”，如未改變默認選項，用戶數據可以被任意第三方獲取。二是超出用戶同意范圍收集信息。當時Facebook開放的是廣告API接口，第三方應用在用戶不知情的情況下可以輕易獲取他們的數據，這種交互信息的方式逾越了用戶同意的范圍。三是允許第三方應用未經用戶好友同意收集其信息。Facebook未區分管理用戶頁面中自己發布的信息和他人發布的信息，實際上一旦獲得同意，第三方軟件可看到該用戶頁面上所有內容，包括該用戶所有好友的詳細個人身份信息和行為信息，而被竊取信息的好友并不知情。

3.2 Facebook對第三方應用事中管理不嚴，為數據任意流動敞開后門

一是未設置有效措施監控數據流出。2014年前第三方應用從平臺中提取數據后可隨意在平臺外使用，而Facebook未設置有效技術或其他措施監控數據流出的風險和異常行為。

二是缺乏對第三方主體及其使用行為的風險評估和安全審核機制。這款第三方應用為境外開發者，明顯針對選民進行調查，不局限于學術目的，Facebook對此類軟件完全開放，未有任何審查評估機制。

三是發現風險后未對第三方使用數據進行有效追蹤。在意識到有安全風險后，Facebook僅對此進行詢問，對方答復用戶學術研究后，并未進行核實和追蹤。

3.3 Facebook對第三方應用事后應急追溯和響應能力不足，導致惡性事件覆水難收

一是前期補救措施不徹底。2015年得知事件發生后僅采取下架第三方APP、限制其收集權限和要求其刪除數據等措施浮于表面，并未追溯和確認泄露的數據及其衍生的相關數據被徹底刪除。

二是未能及時向披露此事件。2015年得知后采取隱瞞措施直到2018年被曝光才進行公告，引發信任危機。

三是發現事件后未及時上報主管部門。在得知數據被境外開發者分析用于政治用途后，依然未上報主管部門，網絡安全責任和國家安全意識薄弱。

4 第三方應用是當前網絡運營商安全管理的薄弱環節

4.1 第三方應用是數據泄露的重要渠道，嚴重侵犯用戶合法權益

數據從第三方應用泄露的風險正在持續增長。

一是權限設置和管理問題導致第三方應用竊取用戶信息。訪問協議給予第三方應用過高授權或者未設置有效監控防范措施等都會導致第三方應用對用戶個人信息的隨意竊取。

二是利用第三方惡意軟件盜取網絡運營商數據。如凱悅酒店集團大面積數據泄露事件就是源于第三方惡意軟件代碼被注入一些酒店IT系統。美國加州數據分析公司Alteryx因亞馬遜AWS S3存儲桶簡單的配置錯誤問題，導致1.23億美國家庭的敏感數據泄露。

三是管理不善導致第三方應用獲取的數據泄露。如照片共享應用程序Snapshot系統的第三方應用遭黑客入侵，導致13G照片遭竊取。

4.2 第三方應用是網絡攻擊的重要目標，帶來數據安全隱患

一是第三方應用自身攜帶諸多安全漏洞，成為攻擊者的重要攻擊工具和渠道。

二是網絡運營商與第三方應用間授權協議漏洞可劫持用戶賬號。2012年曝光第三方應用登錄普遍應用使用的授權網絡標準OAuth 存在第三方賬號快捷登錄授權劫持漏洞，可利用此漏洞劫持第三方應用的帳號授權，影響各大電商網站。2018年1月曝出OAuth 2.0依然存在此漏洞。

三是第三方應用成為釣魚網站傳播者。第三方應用通過偽造等方式騙取用戶填寫密碼或誘導用戶授予惡意應用高級權限，利用用戶賬號傳播釣魚網站，帶來嚴重安全隱患。如Google的在線文檔應用 Docs利用谷歌賬號的授權登錄獲得用戶Gmail權限傳播釣魚網址。

4.3 第三方應用是非法信息推送、廣告營銷的便捷跳板，嚴重污染網絡生態

一是第三方應用借助網絡運營商宣傳力和影響力推送大量的非法信息、營銷廣告。近年來，第三方應用體量迅速擴大、方式不斷創新、目的復雜多樣，其所發布的信息量大、種類豐富，非法信息、營銷廣告慘雜其中，可謂亂象叢生，很多主體來源不明，難以監管。

二是第三方應用獲取用戶權限強制用戶關注并發布信息。第三方應用一般通過與網絡運營者的授權協議獲取訪問權限，過高授權、登錄授權漏洞、管控不嚴、第三方應用的接口漏洞都會導致第三方應用獲取用戶賬號密碼，進而代替用戶“自動關注”“自動點贊”等。如新浪微博發生的用戶無故被迫關注上千營銷號并自動推送信息。

三是第三方應用非法獲取用戶信息后發送精準廣告。如此次Facebook數據泄露事件。

4.4 網絡對政治的干預深化，步入目標明確、投放精準、效果直接的新階段

近年來，傳統意義上的間諜、秘密政治影響、恐怖主義等政治安全威脅已經深潛于網絡領域。網絡間諜企圖和網絡政治操縱活動無論在數量和復雜性方面均呈上升趨勢，對政治的影響日益深入，主要有三種方式。

一是通過網絡攻擊進行為恐怖主義造勢宣傳、煽動支持者，并對潛在支持者進行洗腦。如ISIS組織利用攻擊等煽動西方的支持者進行打擊報復。

二是網絡意識形態營銷，即利用網絡來傳播作為思想文化商品的意識形態。如制造熱點新聞假象、創造虛假網絡流量等。

三是通過社交媒體的評論、互動、分享功能影響政治選舉等重大事件走向。相比傳統方式的廣撒網式全掃蕩、長期性滲透、顯性化的干預方式，此次事件是通過數據分析實現精準營銷，更加具有明確性、針對性、有效性、隱蔽性、合理性，對于政治產生的影響更為直接，效果更為顯著，也更難以追溯。

5 加強網絡運營商對第三方應用安全管理的建議

5.1 健全第三方應用數據訪問權限設置機制

一是建立嚴格的數據訪問授權機制。統籌考慮處理過程的性質、范圍、內容和目的，對就個人數據處理操作方式的影響進行評估，對收集的用戶數據信息進行分級分類保護，針對不同背景和等級的第三方應用設置相應的數據開放范圍，根據風險不同附加或減免義務。

二是落實數據保護透明度原則。最大限度地向用戶披露第三方對個人信息的收集范圍、目的和利用方式，以公開、透明的形式加強數據主體對于個人信息的控制權。

三是確保用戶對數據的控制權。設置便捷化操作，實現用戶對數據的查詢、更改、刪除等權利。

5.2 建立第三方應用安全審核和風險評估機制

一是設置第三方應用安全審核機制。通過技術測試和主體審核等，確保接入的第三方應用不存在重大安全隱患。

二是建立個人信息安全風險評估制度。根據動態化的數據收集、使用場景，盡快建立相應的用戶隱私風險評估機制，及時發現并響應安全風險。

三是建立重大安全事件應急響應機制，定期開展應急演練，實現對數據有效追溯、查驗，確保流出數據的可控性。

5.3 全面提升用戶信息安全意識

一是通過網絡媒體廣泛宣傳個人信息保護的重要性和緊迫性，普及和深化用戶隱私保護意識。

二是在有關網絡產品和服務中設置相應教程，傳播相關技術原理和應對措施，如隱私權限設置、信息更改和刪除措施等，提升用戶信息保護能力。

三是健全用戶投訴舉報機制。設置更為便利化、快捷性的舉報機制，快速響應并有效解決用戶投訴問題。

參考文獻

[1] 閆曉麗.歐盟數據保護制度的變革及啟示[J].網絡空間安全，2017（Z1）：22-26.

[2] 肖潔， 袁嵩， 譚天.大數據時代數據隱私安全研究[J].計算機技術與發展， 2016， 26（5）：91-94.

[3] 童端，呂捷，許宏.大數據背景下的數據安全研究[J].網絡空間安全， 2017（12）：17-20+50.