10月5日，美國聯(lián)邦法院陪審團對Uber前首席安全官Joseph Sullivan一案作出裁定——Sullivan曾試圖向美國聯(lián)邦貿(mào)易委員會(FTC)隱瞞Uber在2016年的數(shù)據(jù)泄露事件。據(jù)悉，Sullivan被裁定為妨礙司法公正罪和隱瞞罪行罪，可能面臨最高5年和最高3年的監(jiān)禁。

根據(jù)《紐約時報》，這是美國首例企業(yè)高管因黑客攻擊而面臨刑事起訴的案件。但多位安全專家認(rèn)為，Uber可能并不是唯一一家隱瞞數(shù)據(jù)泄露事件的企業(yè)，事實上向黑客支付贖金的行為并不鮮見。不過，這起判決可能會改變企業(yè)安全專業(yè)人士處理數(shù)據(jù)泄露的方式。

黑客攻擊后，首席安全官選擇支付贖金

作為首席安全官，Sullivan在任上的工作涉及了Uber在2014和2016年遇到的兩次數(shù)據(jù)泄露事件。

Sullivan于2015年4月被聘為Uber首席安全官。在他上任一個月后，F(xiàn)TC就2014年數(shù)據(jù)泄露事件向Uber提出了民事調(diào)查要求。此次事件涉及約5萬名消費者的個人信息未經(jīng)授權(quán)訪問，包括姓名和駕照號碼。Sullivan負(fù)責(zé)陳述Uber為保護客戶數(shù)據(jù)安全所采取的措施，并在2016年11月4日向FTC進(jìn)行了宣誓作證。

在作證后十天，2016年11月14日，Sullivan得知Uber再次遭到了黑客攻擊。黑客們通過電子郵件直接聯(lián)系Sullivan，稱發(fā)現(xiàn)了Uber的安全漏洞并獲取了數(shù)字密鑰，從亞馬遜云服務(wù)器盜取了大規(guī)模用戶數(shù)據(jù)，包括約5700萬Uber用戶的記錄和60萬駕照號碼，以此勒索大筆贖金。

盡管明知應(yīng)立即向FTC報告，Sullivan仍然隱瞞下了此事，也沒有將其透露給Uber用戶或任何其他機構(gòu)。在談判后，2016年12月，Sullivan通過比特幣向黑客支付了10萬美元，并將這筆款項掩飾為漏洞賞金計劃的一部分。

作為交換，雙方簽署了保密協(xié)議。據(jù)調(diào)查，黑客在協(xié)議中承諾不會向任何人透露此次數(shù)據(jù)泄露事件，還做出了“沒有獲取或存儲任何數(shù)據(jù)”的虛假陳述。2017年1月，Uber安全小組查出了這兩名黑客的真實身份，要求他們以真實姓名簽署新的保密協(xié)議副本。

證據(jù)表明，Sullivan知道黑客在攻擊和勒索Uber的同時也攻擊了其他企業(yè)，并至少從其中一些企業(yè)獲得了數(shù)據(jù)。后來黑客提交的認(rèn)罪書表明，在Sullivan協(xié)助掩蓋了對Uber的攻擊之后，黑客還對另一家企業(yè)lynda.com進(jìn)行了攻擊和勒索。

2017年秋，Uber的新管理層得知并開始調(diào)查這起2016年的數(shù)據(jù)泄露事件。Sullivan對新CEO和外部律師撒了謊，稱黑客在身份被確定后才得到贖金，還試圖掩飾信息泄露的嚴(yán)重程度。盡管如此，Uber新管理層仍然推進(jìn)了調(diào)查，并在2017年11月向FTC公開披露了此事。事情曝光后不久，Sullivan被企業(yè)解雇。

2018年，Uber與FTC達(dá)成協(xié)議，承諾維持一項長達(dá)20年的隱私計劃。2022年7月，Uber和美國檢方達(dá)成和解協(xié)議，檢方不對Uber企業(yè)進(jìn)行刑事指控。作為交換，Uber正式承認(rèn)為2016年數(shù)據(jù)泄露事件負(fù)責(zé)，向美國50個州支付1.48億美元，并承諾在針對Sullivan的案件中“全力合作”，直到10月5日陪審團的正式宣判。

關(guān)鍵詞： 優(yōu)步前高管 優(yōu)步前高管或因隱瞞數(shù)據(jù)泄露入獄 前高管隱瞞數(shù)據(jù)泄露 數(shù)據(jù)泄露