魏书音

摘 要：Facebook数据泄露事件揭露出网络运营商对第三方应用收集和利用数据管控薄弱的问题，给大数据时代数据安全监管和个人信息保护工作敲响了警钟。第三方应用是数据泄露的重要渠道、网络攻击的重要目标和非法信息推送、广告营销的便捷跳板，网络运营者有必要落实主体责任，强化对第三方应用的安全管理，切实加强数据安全保护。

关键词：Facebook数据泄露事件；第三方应用安全；用户数据管理

中图分类号：DF92 文献标识码：A

1 引言

2018年3月，Facebook数据泄露事件曝光，Facebook上约5000万用户数据被一家名为“剑桥分析”（Cambridge Analytica）的公司泄露和滥用。事件引发了国际舆论热议，Facebook股价也随之大跌。此事件揭露出Facebook对第三方应用收集和利用数据管控薄弱的问题，给大数据时代数据安全监管和个人信息保护工作敲响了警钟。网络运营者有必要落实主体责任，强化对第三方应用的安全管理，切实加强数据安全保护。

2 Facebook数据泄露事件经过

2.1 Facebook可与其平台上的第三方APP共享用户信息

Facebook为用户提供“一站式”的社交圈动态信息，可供用户与社交圈好友共享一些私人信息。为了增强服务体验，Facebook鼓励用户使用其生态中的各种第三方APP，通过第三方APP的特色服务拓展社交的维度和深度。2014年前，Facebook通过开放可实现与平台直接交互的API给第三方程序，在获得用户同意后，第三方APP可读取用户本人及其社交圈内其他人相关信息。这样，Facebook与第三方APP共享用户在Facebook生成的信息以及使用第三方APP生成的信息，而Facebook并为对平台数据的交互进行严格的管理。

2.2 一款第三方APP利用API接口搜集了用户及其好友的信息

2013年，剑桥心理学系教授Aleksandr Kogan在Facebook开发上线一款测试应用“this is your digital life”，以“有偿心理学研究”为名，用少量金钱为奖励，诱惑用户下载，最终获得了大约30万种子用户后，在问卷调查末尾，再请求用户同意该软件查看其Facebook资料。当时Facebook开放的是广告API接口， Kogan在用户不知情的情况下可以轻易获取他们的数据，而在用户点击同意之后，这一应用软件不但搜集了用户本人信息，再利用与Facebook的关联协议，绕过用户好友同意，顺藤摸瓜地搜集了从Facebook页面能看到的其所有Facebook好友信息，最终获取了超过5000万Facebook用户的私人数据。

2.3 剑桥咨询从获取这款应用搜集的数据进行建模分析并精准投放政治广告

剑桥咨询（Cambridge Analytica）此前受聘于美国共和党的重要金主Robert Mercer，为其研发一个最新的价值1500万美元的选民研究工具。由于选民心理学档案的建立需要大量的数据支撑，所以该机构就将目标锁定在北美拥有超1亿用户的Facebook。剑桥咨询找到Aleksandr Kogan教授来协助其获得数据，利用Facebook点赞等机制，依靠算法，根据每个用户的日常喜好、性格特点、行为特征，预测他们的政治倾向，然后定向向用户推送新闻，借助Facebook的广告投放系统，影响用户的投票行为。

3 Facebook事件因其对第三方应用安全管理不力而引发

3.1 Facebook隐私规则对第三方应用事前限制不严，为数据非法收集提供便利

一是设置信息默认公开选项获得用户授权。2014前Facebook的用户隐私设置默认的选项是“公开”，如未改变默认选项，用户数据可以被任意第三方获取。二是超出用户同意范围收集信息。当时Facebook开放的是广告API接口，第三方应用在用户不知情的情况下可以轻易获取他们的数据，这种交互信息的方式逾越了用户同意的范围。三是允许第三方应用未经用户好友同意收集其信息。Facebook未区分管理用户页面中自己发布的信息和他人发布的信息，实际上一旦获得同意，第三方软件可看到该用户页面上所有内容，包括该用户所有好友的详细个人身份信息和行为信息，而被窃取信息的好友并不知情。

3.2 Facebook对第三方应用事中管理不严，为数据任意流动敞开后门

一是未设置有效措施监控数据流出。2014年前第三方应用从平台中提取数据后可随意在平台外使用，而Facebook未设置有效技术或其他措施监控数据流出的风险和异常行为。

二是缺乏对第三方主体及其使用行为的风险评估和安全审核机制。这款第三方应用为境外开发者，明显针对选民进行调查，不局限于学术目的，Facebook对此类软件完全开放，未有任何审查评估机制。

三是发现风险后未对第三方使用数据进行有效追踪。在意识到有安全风险后，Facebook仅对此进行询问，对方答复用户学术研究后，并未進行核实和追踪。

3.3 Facebook对第三方应用事后应急追溯和响应能力不足，导致恶性事件覆水难收

一是前期补救措施不彻底。2015年得知事件发生后仅采取下架第三方APP、限制其收集权限和要求其删除数据等措施浮于表面，并未追溯和确认泄露的数据及其衍生的相关数据被彻底删除。

二是未能及时向披露此事件。2015年得知后采取隐瞒措施直到2018年被曝光才进行公告，引发信任危机。

三是发现事件后未及时上报主管部门。在得知数据被境外开发者分析用于政治用途后，依然未上报主管部门，网络安全责任和国家安全意识薄弱。

4 第三方应用是当前网络运营商安全管理的薄弱环节

4.1 第三方应用是数据泄露的重要渠道，严重侵犯用户合法权益

数据从第三方应用泄露的风险正在持续增长。

一是权限设置和管理问题导致第三方应用窃取用户信息。访问协议给予第三方应用过高授权或者未设置有效监控防范措施等都会导致第三方应用对用户个人信息的随意窃取。

二是利用第三方恶意软件盗取网络运营商数据。如凯悦酒店集团大面积数据泄露事件就是源于第三方恶意软件代码被注入一些酒店IT系统。美国加州数据分析公司Alteryx因亚马逊AWS S3存储桶简单的配置错误问题，导致1.23亿美国家庭的敏感数据泄露。

三是管理不善导致第三方应用获取的数据泄露。如照片共享应用程序Snapshot系统的第三方应用遭黑客入侵，导致13G照片遭窃取。

4.2 第三方应用是网络攻击的重要目标，带来数据安全隐患

一是第三方应用自身携带诸多安全漏洞，成为攻击者的重要攻击工具和渠道。

二是网络运营商与第三方应用间授权协议漏洞可劫持用户账号。2012年曝光第三方应用登录普遍应用使用的授权网络标准OAuth 存在第三方账号快捷登录授权劫持漏洞，可利用此漏洞劫持第三方应用的帐号授权，影响各大电商网站。2018年1月曝出OAuth 2.0依然存在此漏洞。

三是第三方应用成为钓鱼网站传播者。第三方应用通过伪造等方式骗取用户填写密码或诱导用户授予恶意应用高级权限，利用用户账号传播钓鱼网站，带来严重安全隐患。如Google的在线文档应用 Docs利用谷歌账号的授权登录获得用户Gmail权限传播钓鱼网址。

4.3 第三方应用是非法信息推送、广告营销的便捷跳板，严重污染网络生态

一是第三方应用借助网络运营商宣传力和影响力推送大量的非法信息、营销广告。近年来，第三方应用体量迅速扩大、方式不断创新、目的复杂多样，其所发布的信息量大、种类丰富，非法信息、营销广告惨杂其中，可谓乱象丛生，很多主体来源不明，难以监管。

二是第三方应用获取用户权限强制用户关注并发布信息。第三方应用一般通过与网络运营者的授权协议获取访问权限，过高授权、登录授权漏洞、管控不严、第三方应用的接口漏洞都会导致第三方应用获取用户账号密码，进而代替用户“自动关注”“自动点赞”等。如新浪微博发生的用户无故被迫关注上千营销号并自动推送信息。

三是第三方应用非法获取用户信息后发送精准广告。如此次Facebook数据泄露事件。

4.4 网络对政治的干预深化，步入目标明确、投放精准、效果直接的新阶段

近年来，传统意义上的间谍、秘密政治影响、恐怖主义等政治安全威胁已经深潜于网络领域。网络间谍企图和网络政治操纵活动无论在数量和复杂性方面均呈上升趋势，对政治的影响日益深入，主要有三种方式。

一是通过网络攻击进行为恐怖主义造势宣传、煽动支持者，并对潜在支持者进行洗脑。如ISIS组织利用攻击等煽动西方的支持者进行打击报复。

二是网络意识形态营销，即利用网络来传播作为思想文化商品的意识形态。如制造热点新闻假象、创造虚假网络流量等。

三是通过社交媒体的评论、互动、分享功能影响政治选举等重大事件走向。相比传统方式的广撒网式全扫荡、长期性渗透、显性化的干预方式，此次事件是通过数据分析实现精准营销，更加具有明确性、针对性、有效性、隐蔽性、合理性，对于政治产生的影响更为直接，效果更为显著，也更难以追溯。

5 加强网络运营商对第三方应用安全管理的建议

5.1 健全第三方应用数据访问权限设置机制

一是建立严格的数据访问授权机制。统筹考虑处理过程的性质、范围、内容和目的，对就个人数据处理操作方式的影响进行评估，对收集的用户数据信息进行分级分类保护，针对不同背景和等级的第三方应用设置相应的数据开放范围，根据风险不同附加或减免义务。

二是落实数据保护透明度原则。最大限度地向用户披露第三方对个人信息的收集范围、目的和利用方式，以公开、透明的形式加强数据主体对于个人信息的控制权。

三是确保用户对数据的控制权。设置便捷化操作，实现用户对数据的查询、更改、删除等权利。

5.2 建立第三方应用安全审核和风险评估机制

一是设置第三方应用安全审核机制。通过技术测试和主体审核等，确保接入的第三方应用不存在重大安全隐患。

二是建立个人信息安全风险评估制度。根据动态化的数据收集、使用场景，尽快建立相应的用户隐私风险评估机制，及时发现并响应安全风险。

三是建立重大安全事件应急响应机制，定期开展应急演练，实现对数据有效追溯、查验，确保流出数据的可控性。

5.3 全面提升用户信息安全意识

一是通过网络媒体广泛宣传个人信息保护的重要性和紧迫性，普及和深化用户隐私保护意识。

二是在有关网络产品和服務中设置相应教程，传播相关技术原理和应对措施，如隐私权限设置、信息更改和删除措施等，提升用户信息保护能力。

三是健全用户投诉举报机制。设置更为便利化、快捷性的举报机制，快速响应并有效解决用户投诉问题。

参考文献

[1] 闫晓丽.欧盟数据保护制度的变革及启示[J].网络空间安全，2017（Z1）：22-26.

[2] 肖洁， 袁嵩， 谭天.大数据时代数据隐私安全研究[J].计算机技术与发展， 2016， 26（5）：91-94.

[3] 童端，吕捷，许宏.大数据背景下的数据安全研究[J].网络空间安全， 2017（12）：17-20+50.