“谢广军女儿‘开(kai)盒’他人隐私信(xin)息”事件爆发后，公众对互(hu)联网平台(tai)上隐私数(shu)据安全的担忧演迅(xun)速变成了一场信(xin)任危机(ji)。舆论中心的百(bai)度此前对开(kai)盒事件启(qi)动了内(nei)部调查。
“开(kai)盒事件“当事人百(bai)度副总裁谢广军是这次调查的对象。3月14日，百(bai)度内(nei)部接(jie)到举报，百(bai)度安全团队牵头成立技术调查组，调查重点放在谢广军是否可能通过任何手段接(jie)触到开(kai)盒事件涉及的数(shu)据。
第(di)一步的调查目标是谢广军否有权限访问到“用户数(shu)据”。调查组先调取查阅了百(bai)度内(nei)网的数(shu)据管理平台(tai)审计中心，系统结果显示谢并(bing)未有此权限。
第(di)二步的调查目标排查是否有证据指向谢广军是否有参与。调查组浏览了百(bai)度内(nei)部的数(shu)据管理平台(tai)审计中心、服(fu)务器审计系统，都没有发现谢本人的登陆访问记(ji)录。
最后一步是检查办(ban)公室日志系统，关注谢在工作中是否有接(jie)触到“用户数(shu)据”的异(yi)常访问行为。调查结果也排除了这种可能性。
17日，负责这次调查的百(bai)度安全负责人陈洋在内(nei)网发帖公布了调查结果，确认“开(kai)盒事件”所涉数(shu)据并(bing)非从百(bai)度泄露。百(bai)度内(nei)部实行数(shu)据匿名化(hua)、假(jia)名化(hua)处理及权限分离，谢广军无数(shu)据库权限。调查也没有发现谢本人有参与开(kai)盒的异(yi)常行为。
对于“开(kai)盒事件”发生后在网上流传的“当事人承认家长给她数(shu)据库”截图，调查团队核实后发现，该截图的信(xin)息内(nei)容不(bu)实。其原意为博(bo)主收到家人红包后，在平台(tai)晒出红包截图，博(bo)主回复“我家长给的”，本意是想说明红包的来源，而与“开(kai)盒”无关。在后续事件爆发中，这一信(xin)息遭到不(bu)实曲解大量(liang)传播。
陈洋后来回忆，这次内(nei)部调查全程基本是按照“有罪推定”的思路，一步步按“有没有权限、干(gan)没干(gan)过、干(gan)了什么”来逆向排查谢参与“开(kai)盒”的嫌疑。相关调查取证结果也联系了第(di)三方机(ji)构北(bei)京精诚公证处公证。
内(nei)部调查进展到这一步已经(jing)排除了谢参与的可能性，但仍未停止。为了搞清楚开(kai)盒信(xin)息数(shu)据到底来自哪里，调查组经(jing)多方确认，开(kai)盒信(xin)息来自海外(wai)社交平台(tai)Telegram上的“天网社工库”。
陈阳(yang)在网络(luo)安全行业工作多年。在他看(kan)来，信(xin)息安全保护是一场同(tong)黑客团队持续博(bo)弈的”攻防战”。
以百(bai)度为例(li)，企业通过“用户数(shu)据加密假(jia)名”与统一管控等手段，在内(nei)部将“管理用户敏感信(xin)息”和“业务系统访问数(shu)据”在权限上划分为两把不(bu)同(tong)的”钥匙”，而不(bu)同(tong)的钥匙由(you)交给不(bu)同(tong)部门的人去掌管，第(di)一步首先确保百(bai)度任何职级(ji)的员工及高管都无法在内(nei)部直接(jie)获取用户的隐私数(shu)据。
但即使是这样(yang)的安全防御依然不(bu)够。安全行业一条永恒不(bu)变的定律(lu)“没有一个系统是100%安全，总可能存在漏(lou)洞(dong)”。百(bai)度也日常定期做攻防的演练，扮演黑客去检查系统有无安全漏(lou)洞(dong)。
在这套安全体系中，百(bai)度网盘、百(bai)度搜索等一系列(lie)产品应用及用户信(xin)息数(shu)据是最高密级(ji)数(shu)据，统一进行保护。
而在调查期间，陈洋团队发现，社工库“开(kai)盒”数(shu)据的来源也多种多样(yang)，有网站漏(lou)洞(dong)，也有黑客的抓取，也有少部分来自相关人员的线下(xia)交易，但最常见的还是网站漏(lou)洞(dong)。在这次“开(kai)盒事件”将“开(kai)盒”这一盗(dao)取用户隐私数(shu)据的黑色(se)产业暴露出来后，整(zheng)个行业接(jie)下(xia)来都需要参与到安全体系的建设中，减少网站漏(lou)洞(dong)引发的信(xin)息数(shu)据风险。
陈洋先容，在有关政府(fu)部门的引导下(xia)，百(bai)度愿意积极响应和倡议推进“反(fan)开(kai)盒”联盟的成立，共同(tong)加强数(shu)据隐私防护，严(yan)厉打击非法数(shu)据窃取及泄露。