一份被泄露的酒店開房記錄正在形成一團烏云，讓牽涉其中的如家、華住和錦江之星等知名連鎖酒店措手不及，上周末，它們都在忙著擬寫聲明。
日前，國內(nèi)安全漏洞監(jiān)測平臺烏云網(wǎng)發(fā)布報告稱，如家、漢庭等大批酒店的開房記錄因存在第三方存儲和系統(tǒng)漏洞而被泄露。昨日，如家、華住、港中旅、錦江之星等紛紛發(fā)表聲明，稱不涉及泄露資料。
法律界人士則表示，烏云網(wǎng)的手法游走在“灰色地帶”，涉嫌侵權(quán)，目前，酒店客戶資料安全管理的確是個問題，但不應(yīng)通過公之于眾的方式進行。
公布開房記錄是按流程操作烏云網(wǎng)報告稱，如家、咸陽國貿(mào)、杭州維景國際和驛家365快捷等全部或者部分使用了浙江慧達(dá)驛站網(wǎng)絡(luò)有限公司（下稱“浙江慧達(dá)”）開發(fā)的酒店WiFi管理、認(rèn)證管理系統(tǒng)。而浙江慧達(dá)在服務(wù)器上實時存儲了這些酒店客戶的記錄，包括客戶名、身份證號、開房日期和房間號等隱私信息。因浙江慧達(dá)系統(tǒng)存在漏洞，使這些信息存在被泄露的風(fēng)險。
2010年5月上線的烏云網(wǎng)，是一家網(wǎng)絡(luò)漏洞報告平臺，用戶在這里自由上傳漏洞信息，等待廠商核實并修復(fù)；因先后被曝出CSDN、天涯、當(dāng)當(dāng)、京東商城等網(wǎng)站存在安全漏洞，于2011年聲名鵲起。
業(yè)內(nèi)人士“不喝可樂男”告訴《第一財經(jīng)日報》，它在圈內(nèi)很知名，烏云網(wǎng)就是一個“黑客”聚集之地。不過，他們都是“白帽子”。“白帽子”們的戰(zhàn)斗方式是：挖掘網(wǎng)站中的安全漏洞，在“黑帽子”利用它們之前，提交到平臺上，或者向廠商報告，希望廠商及時進行修復(fù)。
在“黑客”的世界中，可被分為三種類型，第一類：白帽子，也即正面的“黑客”，他可以識別計算機系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)中的安全漏洞，但并不會惡意去利用，而是公布其漏洞，讓系統(tǒng)在被其他人利用之前來修補漏洞；第二類：灰帽子，他們擅長攻擊技術(shù)，但不輕易造成破壞；他們精通攻擊與防御，同時頭腦里具有信息安全體系的宏觀意識；第三類：黑帽子，他們研究攻擊技術(shù)，唯一的目的就是惹是生非。
“我們并不是一個組織，只是一個平臺聚集了一些愛好安全技術(shù)的人。很多白帽子都來這里分享漏洞，也只有得到核實并已經(jīng)采取防范措施解決問題后才會被公開。”昨日，烏云網(wǎng)相關(guān)負(fù)責(zé)人向記者證實，該漏洞早在8月21日就已被發(fā)現(xiàn)，在通知廠商后，按照流程于10月5日進行了公開，而消息在10月10日散布到了大眾網(wǎng)絡(luò)。
“雖然浙江慧達(dá)說已升級了系統(tǒng)堵上了漏洞，但在漏洞未發(fā)現(xiàn)前的這一段時間內(nèi)，這些開房記錄依然有已經(jīng)被竊取泄露的風(fēng)險。”上述人士稱，這次發(fā)布其實透露了一種擔(dān)心——既然他們可以拿到賓館的住宿信息，那么就不能排除還有其他人早于他們竊取相關(guān)資料的可能，“我們實際上保護的是廠商的用戶，但是很多廠商基于公關(guān)的考慮，都極力回避（安全漏洞）這些問題，所以我們想借這個平臺來更好地做這個事情。”
烏云網(wǎng)法務(wù)顧問趙占領(lǐng)律師也表示，此次泄露事件其實僅僅是流程中的一次普通發(fā)布。
上述烏云網(wǎng)負(fù)責(zé)人稱，涉事酒店全部或者部分使用了浙江慧達(dá)開發(fā)的酒店WiFi管理、認(rèn)證管理系統(tǒng)。而事情就由此而起——簡單地說，由于各個酒店使用了這套系統(tǒng)，因此該公司在其服務(wù)器上實時存儲了這些酒店客戶的記錄，由于客戶信息在數(shù)據(jù)同步時所使用的認(rèn)證用戶名、密碼都是明文傳輸?shù)模ㄕ沁@點讓泄露出現(xiàn)了可能），很容易就可以被專業(yè)人員從其數(shù)據(jù)服務(wù)器上獲得酒店上傳的客戶信息。
安全與侵權(quán)隱患目前，連鎖酒店的無線IT系統(tǒng)通常有兩種管理模式，一為自行研發(fā)；二為使用第三方系統(tǒng)。前者需要不菲的研發(fā)資金和人力，相對而言安全把控性高；后者研發(fā)投入低，但存在安全風(fēng)險。
本次泄露風(fēng)波的關(guān)鍵當(dāng)事方就是被指存在漏洞的浙江慧達(dá)。
浙江慧達(dá)方面表示，經(jīng)查證，無線門戶系統(tǒng)存在信息安全加密等級較低問題，有信息泄漏的安全隱患，浙江慧達(dá)的技術(shù)團隊針對現(xiàn)有無線門戶認(rèn)證系統(tǒng)已完成全面升級，感謝烏云網(wǎng)對浙江慧達(dá)提升產(chǎn)品安全性的幫助。有關(guān)無線門戶系統(tǒng)的安全性問題，是浙江慧達(dá)的責(zé)任，與任何酒店客戶無關(guān)。浙江慧達(dá)同時聲明，在無線門戶業(yè)務(wù)領(lǐng)域與漢庭酒店、咸陽國貿(mào)大酒店、杭州維景國際大酒店、驛家365快捷酒店、東莞虎門東方索菲特酒店客戶沒有合作關(guān)系。
昨日，如家方面向記者表示，與其合作的無線信息技術(shù)服務(wù)供應(yīng)商確實是浙江慧達(dá)，酒店對此非常重視，已與浙江慧達(dá)方面配合，對漏洞進行了檢查和修補。如家同時稱，將吸取此次教訓(xùn)，建立長效機制，未來將“確保顧客安全”。
而華住及錦江之星方面均表示，在無線項目上與浙江慧達(dá)并無合作。華住方面還表示，保留對烏云網(wǎng)進一步追訴的權(quán)利。
浙江慧達(dá)市場總監(jiān)韓先生在接受記者采訪時稱，對于造成的損失，單純是技術(shù)層面的，沒有直接造成客戶信息的泄露。目前，其安全等級已經(jīng)達(dá)到國家應(yīng)急中心的檢測標(biāo)準(zhǔn)，并確認(rèn)修復(fù)漏洞。
韓先生再次重申，與漢庭等酒店的合作，并沒有在WiFi門戶系統(tǒng)認(rèn)證這一塊，而是其他產(chǎn)品。
記者昨日登錄浙江慧達(dá)網(wǎng)站，點擊其合作伙伴一欄，顯示“系統(tǒng)正在維護中”而無法訪問。
此外，針對烏云網(wǎng)發(fā)布的有關(guān)浙江慧達(dá)無線門戶認(rèn)證的漏洞，國家互聯(lián)網(wǎng)應(yīng)急中心（CNCERT）運行管理部的有關(guān)人士對浙江慧達(dá)實施的修復(fù)措施進行了針對性的檢查，確認(rèn)該漏洞已被修復(fù)。
“據(jù)業(yè)內(nèi)反映，與浙江慧達(dá)進行無線合作的酒店不多，但全國數(shù)千家酒店，總有部分酒店使用過浙江慧達(dá)的電腦租賃，而使用其電腦也存在風(fēng)險，因此安全隱患需重視。”一位經(jīng)濟型酒店業(yè)者指出。
“從法律角度來講，烏云網(wǎng)被業(yè)界認(rèn)為是通過一些‘黑客’手段尋找漏洞，按此說法，烏云網(wǎng)本身涉嫌侵權(quán)，因為其通過非正當(dāng)手段獲取數(shù)據(jù)尋找漏洞。假如烏云網(wǎng)是一名‘善意的黑客’，其目的僅是為幫助企業(yè)修補漏洞，那么烏云網(wǎng)應(yīng)該私下就找出的漏洞與企業(yè)溝通，而不是公之于眾。要知道酒店登記入住涉及個人隱私和資料，一旦信息被泄露不僅涉嫌對企業(yè)侵權(quán)，也涉嫌對個人侵權(quán)，假如客人因此狀告酒店而酒店再以侵權(quán)狀告烏云網(wǎng)，那么烏云網(wǎng)就會很麻煩。”上海袁圓律師事務(wù)所陳軍律師分析。
