您的位置：首頁 >綜合 > 產(chǎn)經(jīng) >
熱門：首例支付網(wǎng)絡安全贖金被控妨礙司法罪案宣判，前Uber高管面臨八年牢獄之災
首例支付網(wǎng)絡安全贖金被控妨礙司法罪案宣判，前Uber高管面臨八年牢獄之災
【資料圖】
作者 記者吳立洋 實習生仲澤涵
近日，Uber前首席安全官Joseph Sullivan因其涉嫌參與掩蓋2016年黑客針對Uber公司的安全攻擊，被美國聯(lián)邦法院陪審團認定妨礙公務刑事罪名成立。作為美國第一起針對公司高管因外部人員入侵而提起的重大刑事案件，本次審判受到社會各界密切關注。
案件起源于Uber收到的一封匿名電子郵件，兩名黑客在郵件中表示其發(fā)現(xiàn)了Uber的安全漏洞，使能夠利用其遺留的數(shù)字密鑰進入公司的亞馬遜數(shù)據(jù)庫，從而查看并提取超過5000萬Uber乘客和60萬名司機的未加密備份數(shù)據(jù)。
在初步溝通后，Sullivan領銜的安全團隊試圖以Uber漏洞賞金計劃的形式向黑客支付最高一萬美元的報酬，以換取黑客刪除相關數(shù)據(jù)，但對方表示報酬不得低于六位數(shù)美金，并威脅要公布被盜數(shù)據(jù)。
所謂漏洞賞金，是指IT企業(yè)面向社會發(fā)布的公開安全漏洞懸賞，在合法范圍內(nèi)，任何發(fā)現(xiàn)并向公司提交重要安全漏洞的個人或團體，均可申請相應的物質(zhì)獎勵。但值得注意的是，在本次數(shù)據(jù)泄露事件中，黑客已經(jīng)非法盜取了Uber公司的數(shù)據(jù)內(nèi)容，并實施了勒索行為，其本質(zhì)顯然已脫離“合法”范疇。
隨后，雙方展開了長時間的談判，并最終以10萬美元的價格達成交易協(xié)議。在通過各種方式查出黑客的真實身份后，Sullivan也要求其承諾完全銷毀盜取的數(shù)據(jù)，且不會透露雙方的交易行為。
但該案最終還是遭到曝光，實施勒索的兩名黑客遭到逮捕并對一系列勒索和交易行為供認不諱。負責本案的檢察官稱，Sullivan滿足了黑客的勒索要求，與犯罪分子達成了保密協(xié)議，對其違法行為保持沉默。與此同時，其還將對安全勒索的付款行為偽裝成漏洞賞金，并為此做出虛假陳述。
此外，Sullivan還向 Uber 時任的首席執(zhí)行官發(fā)送了一封電子郵件，稱該事件是常規(guī)的“安全事件”，而非嚴重的數(shù)據(jù)泄露。
在為期三周的審判之后，美國聯(lián)邦法院在本周三做出了裁決，作為一名前舊金山網(wǎng)絡犯罪檢察官，歷任Facebook、Uber和Cloudflare等多家大型企業(yè)的安全主管，Sullivan面臨妨礙司法罪的五年監(jiān)禁，以及另一項未報告重罪的三年監(jiān)禁。
事實上，由于大部分網(wǎng)絡安全團隊在應對黑客事件的問題上的模糊態(tài)度，類似于Sullivan支付安全贖金的事件屢見不鮮。
Bugcrowd創(chuàng)始人Casey Ellis明確表明，絕不止Uber一家公司利用漏洞賞金計劃掩蓋了根據(jù)法律法規(guī)，本應披露的安全問題。
“支付漏洞勒索贖金，實際上比大眾所認知的更為普遍?！卑踩綜ritical Insight創(chuàng)始人Michael Hamilton說。
但與之相反的是，近年來美國政府對此類事件表露出更為嚴厲的態(tài)度。
該案檢察官表示：“公司有義務保護其所收集的數(shù)據(jù)，并在這些數(shù)據(jù)被黑客竊取時提醒客戶和當局。有些企業(yè)高管更關心自己和雇主的聲譽，而非保護用戶安全，從而選擇對公眾隱瞞重要信息，如果這種行為違反了聯(lián)邦法律，它將被起訴?！?/p>
“本次有罪判決所傳達的信息是明確的：存儲客戶數(shù)據(jù)的公司有責任保護這些數(shù)據(jù)，并在發(fā)生漏洞時依法進行處理?！甭?lián)邦調(diào)查局特別代理主管表示，“我們不會允許科技公司的高管為了自身利益將消費者個人信息置于危險中。”
