本刊记者 覃澈

　　“只要登录页面并输入姓名或者身份证号码，就能查到该人最近的开房记录——2000万数据任你查询下载。”伴随沸沸扬扬的“开房记录曝光事件”，以及“黑白帽子”在黑客江湖中一正一邪的倾情表演——互联网信息隐私安全，被再次推上风口浪尖。

　　“我承认不应该出去开房，但那都是过去的事情了，现在只能接受分手。”前段时间，沈阳女孩娜娜(化名)向当地媒体讲述了自己开房信息被泄露的遭遇。

　　娜娜今年刚刚大学毕业，经人介绍认识了现在男友，由于男方特别传统，娜娜隐瞒了大学期间的一段感情经历。可是最近，男友气急败坏地找到了她，将她在2011年9月份的一次开房记录，扔在了她的面前。

　　两人最终分手。后来，娜娜得知，男友竟然是从一家网站上查到了自己的开房记录。

　　——2013年10月8日，一篇名为《开房要小心了》的网帖，引发轩然大波。

　　文章声称，如家、汉庭等知名酒店由于使用了安全等级过低的wifi服务网络，导致客户数据在传输时泄漏，大量开房记录信息遭曝光。同时，文章还贴出旅客入住酒店时所登记的名字、身份证号码、房间号等详尽资料的数据截图，以证所言非虚。

　　一石激起千层浪。“开房记录被曝光”瞬间成为网络最热门话题，并以病毒般的传播速度蔓延。

　　一边是抱着猎奇心理上网查询一验真假的好事网友；另一边，一家名为浙江慧达驿站的网络公司则被推至风口浪尖——此次大部分涉事酒店所使用的网络服务系统，正是由其维护运营。

　　“2000万数据任你查询下载”

　　“每天都有来自各界的质问。只要网络上一有人发声，不管情况是否属实，网友都会认为是我们的责任。”尽管事隔多日，慧达驿站市场总监韩冰仍然备感疲倦。

　　2013年10月11日，国内安全漏洞监测平台乌云发布报告称，如家、汉庭等多家酒店使用了浙江慧达驿站开发的管理系统，导致客户开房记录等信息泄露。

　　据称，此次信息泄露的原因，是由于这些酒店全部或者部分使用了慧达驿站开发的酒店wifi管理、认证管理系统。据媒体披露，慧达的wifi服务系统将所有用户信息储存于互联网上，虽有密码的验证限制，但并未对传输数据进行加密，导致任何第三方都可以轻松截获到服务器传递的明文密码。

　　紧接着，慧达驿站在其官方网站发表了声明，宣布其在无线门户业务领域与传闻中的汉庭酒店、杭州维景国际大酒店、东莞虎门东方索菲特酒店等客户没有合作关系，从而为这几家酒店洗去嫌疑，但如家并没有出现在撇清关系的名单中。

　　同时，浙江慧达驿站承认自己的无线门户系统存在信息安全加密等级较低的问题，有信息泄露的安全隐患，其公司技术团队针对现有无线门户认证系统已完成全面升级。同时表示此次有关无线门户系统的安全性问题，是慧达驿站之责，与任何酒店客户无关。

　　——尽管慧达驿站及时对安全漏洞做了补救，也“仗义”地发出揽责声明。但没想到的是，看似逐渐平息的事件却在一周后再度发酵。

　　10月13日，一个同样以曝光开房信息为噱头的网站出现在网友面前。这个名为“查开房”的网站高调宣称，只要登录页面并输入姓名或者身份证号码，就能查到该人最近的开房记录，“2000万数据任你查询下载”。

　　消息迅速传播开来，无数好事网友疯狂涌入并进行尝试，短短一周时间就有19万次的下载记录。让人震惊的是，在经过试验后，大多数网友对所查询到的包括姓名、手机号码、家庭住址等在内的隐私信息竟得出“基本属实”的结论！

　　让韩冰和慧达驿站郁闷的是，这2000万开房数据来源太过莫名其妙，谁也不知道它是由何人从何种渠道散播的。但由于在时间上和此前“乌云事件”太过接近，不少媒体和网友都习惯性将两者联系在一起。

　　对于误解，韩冰一次次地向外界解释自己和2000万数据根本毫无关系，甚至列出时间跨度来以证清白：“其所记载的数据是从2011年到2013年的这段时间，而慧达驿站做网络wifi服务系统仅是从2012年才开始，时间跨度上根本对不上号。”

　　无独有偶。几乎在酒店行业爆发信息泄露的同一时间，网上再度传来隐私泄露的报道。而此次，“中枪”的是航空行业。

　　2013年11月，中国民航局消费者投诉事务中心被来自各地的愤怒群众所挤满。他们中的大多数人在购买了南航、东航等知名航空公司的航班准备外出时，却意外收到一条以106开头的号码发来的短信，其声称因航班取消，需要顾客支付一定费用办理退票手续。

　　短信中过于详细的信息，让乘客信以为真，殊不知，在按短信操作后才发现这竟然是诈骗短信！由于在办理“退票改签”手续时涉及到银行卡信息，更有不少乘客因此丢失大量钱财。

　　令人不解的是，这些原本只在开房或者购买机票时才留下的个人信息，究竟是从何泄露出去？又是谁盗走了原本属于网友的隐私？

　　两种演出——谁是黑手？

　　“第一次知道公司系统存在安全隐患，是由乌云网监测出来的。”韩冰在接受采访时，曾数次提及“乌云”二字。

　　——何为乌云？乌云又是谁？

　　这个很少被普通网友知晓的网站，在IT圈内有着赫然的地位。自2010年上线后，其曾因先后爆出天涯、当当、京东商城[微博]等网站存在安全漏洞而声名鹊起，如今更是以全国知名安全漏洞监测平台的名义见诸报端。与之同时，乌云在另一部分人眼里，则是国内数得上号的知名“黑客网站”。

　　乌云的组织者Mooyun(化名)曾这样定义自己的网站：“我们并不是一个组织，只是一个社区平台，上面聚集的是一些爱好安全技术的独立白帽子。”

　　所谓“白帽子”，即是指正面的黑客。他们往往在识别计算机系统或网络系统中的安全漏洞后，不会恶意利用，而是联系上平台厂商告之其漏洞并进行修补。而此次慧达驿站所泄露的隐私安全漏洞，正是由乌云网站上一个名为“Yep”的白帽子，在8月21日所提交的。

　　如同太极两仪，有白帽子的存在，自然也会有相对的黑帽子——以恶意窃取商业机密以及隐私数据而获求巨大利益的黑客。

　　白帽子，黑帽子——工作内容相似但行为上却有着天壤之别的两拨人，在互联网厂商平台上以一正一邪的姿态，进行着一场又一场关于豪夺抑或保护的“演出”。

　　“我们之所以采取网络监察手段来查询漏洞，正是希望能抢在黑帽子进行破坏之前，让厂商做好充分的准备。”曾在国内一家漏洞监控平台担任白帽子工作的林凌(化名)，对黑白帽子之间的对峙关系有着深刻的感触。

　　在他看来，黑白帽子在价值观念和行事风格上都有着巨大的差别。此前爆发的慧达驿站和2000万数据，就是分辨彼此行事风格的最好例子。白帽子以“保护”的方式，帮助慧达驿站发现系统漏洞，进而升级修补；而黑帽子则全凭个人喜好进行“豪夺”，先是在不知名的网站上恶意上传2000万“开房”数据，继而再通过网友所输入的验证资料收集更多的个人信息，牟取利益。

　　——正如前文所提及的航空信息曝光事件，黑帽子的豪夺本性与牟利取向，更是体现得淋漓尽致。

　　“航空行业向来都是黑帽子盯得最紧的对象。”在林凌的记忆中，航空公司时常会出现系统漏洞的情况，“因为航空公司的数据群相当庞大，其中的用户相对其他群体也更有经济实力。”

　　2012年3月，白帽子“十月”发现深圳航空出现“可访问任意订单号对应详情，来获取乘机人姓名、身份证号、联系方式等敏感信息”的漏洞；2013年9月，白帽子“noah”发现中国国航后台出现可篡改他人邮箱以及删除乘客信息等严重漏洞……尽管这些漏洞都被相应航空公司做了修补，但也间接佐证了“黑客爱航空”的传闻。

　　“此次黑帽子很可能还是通过漏洞从航空公司官网、第三方票代以及订票网站等地方，窃取到各大航空公司的用户信息，再以诈骗方式导致乘客经济受损。遗憾的是，我们没有在黑帽子下手之前发现这个漏洞。”

　　黑白帽子的战争，不仅体现在漏洞的“攻防”上，还聚焦在时间上。“我们就是在打一场时间仗，谁先发现企业漏洞，谁就胜利。”

　　然而让韩冰和慧达驿站难以释怀的是，白帽子提醒商家注意系统隐患是好事，但为何不能私下沟通？又为何在商家解决漏洞后，还是要公布于众？

　　“乌云是个‘自由平等开发的漏洞报告平台’，我们希望保护的对象是厂商的用户，也就是普通网友，他们在信息泄漏之时需要有知情权。如今很多厂商为了自身形象考虑，往往会刻意回避或者遮掩，这对普通用户是不公平的，所以我们想借这个平台来做这个事情。”

　　但林凌却给出不同的意见。毕竟酒店登记入住涉及个人隐私和资料，一旦信息被泄露，对企业和个人都存在侵权，这俨然违背了乌云最早的初衷。

　　阴影下的赚钱术

　　“豪夺和保护”，是黑白帽子在网络江湖的行事方式。然而，豪夺究竟能为黑帽子带来怎样的实际利益，白帽子又是如何通过“保护”来名利双收？

　　众所周知，早些年黑帽子的主要利益来源于窃取私人聊天工具，以假冒熟人的方式向受害者身边朋友实施诈骗。然而由于窃取后台技术相对简单，越来越多新入行的黑帽子都习惯性以这种方式来当作自己牟利的第一选择。从事的人多了，自然，利润也就薄了。一些资深的黑帽子开始不再满足以这种方法赚钱，他们寻找着利益更为丰厚的赚钱渠道。

　　2013年，国内某游戏玩家在登录游戏时发现账号被盗，尽管在工作人员帮助下最终成功上线，但他却惊讶地发现，自己原本价值20多万元的游戏装备以及虚拟金币早被清空。显然，游戏账号被人恶意窃取！

　　网警在数天的侦查后，终于将盗号团队抓获。但可怕的是，这个团队如同一支正规的队伍，每个人分工明确——

　　队伍中病毒编写者只负责更新木马程序，然后木马交给总代理负责市场销售；总代理再将木马程序销售给代理；代理拿到木马程序后，再寻找合适的流量商；流量商则将木马程序挂到自己掌握的网站上进行传播。而当木马程序盗取的网游账号密码回传到代理指定的地址后，代理将批发给专业的游戏工作室，最终由工作室将玩家的虚拟货币、游戏装备盗卖。各个位置环环相扣、严丝合缝。

　　如今，在游戏以及私人信息账号下安置木马病毒，已成为黑帽子最热衷的赚钱模式。曾有业内专家坦言，2012年，中国的木马产业链一年的收入已经达到惊人的百亿元。如此高收益的模式，谁不心动？

　　当然，黑帽子中并不是所有人都喜欢以团队形式出动，靠窃取他人隐私发财的他们对自己的隐私安全看得格外重要。而这些习惯单兵作战的黑帽子，同样有着属于自己的生财之道。

　　喜欢单干的黑帽子，青睐于考生信息市场。太多的考试炒热了这个原本并不起眼的市场，也给喜欢单干的黑帽子带来了牟利机会。他们承诺帮考生轻松过关，双方在以3000元~5000元的“行价”成交后，黑帽子进入考试后台数据库修改分数。这种作案只需要一台电脑就能搞定，俨然是不少单体黑帽子的“最爱”。

　　这边厢，黑帽子近似疯狂地利用各种信息隐私漏洞捞取暴利；那边厢，白帽子却只能单纯地依靠技术，过着“网络苦行僧”般的生活。

　　——2013年10月，一件颇为尴尬的事在乌云内部发生。两位白帽子先后发现某网站的系统漏洞。但两人却选择了不同的上报平台：一位按常规流程报告给了乌云，而另外一位则直接上报给了该网站。

　　“白帽子并非隶属乌云或者其他网站，他们都是独立的个体。因此在发现厂商漏洞时，上报给谁有着自己的选择决定。”对于两人的选择，林凌如此解释。

　　通常来说，白帽子换取利益的方式十分简单：将漏洞发现提交给网站或者厂商，再由其给予自己奖励。

　　如果将漏洞直接提交给厂商，白帽子就将和厂商直接对话，那么有可能会从厂商处获得更为直接的利益；而如果选择的是交给平台，再由平台将漏洞反馈给厂商的话。那么和厂商直接对话的是平台，和白帽子没有直接的关系。至于是否有所回报也只能看平台和厂商之间的协议。

　　和黑帽子利用漏洞牟利有着天壤之别的是，白帽子所获得的回报只能用“清廉”来形容。通常在上报后，白帽子可能获得的，仅是平台的积分；运气好的话，则有希望得到厂商赠送的礼物。

　　既然同为合理的上报，那么为何不能多为自己争取一些利益？

　　——令人担忧的是，网络江湖中“黑白”色彩，并没有清晰的划分；选择哪方阵营，也都是完全依赖个人道德的约束。而黑白帽子过于悬殊的获利对比，是否会让部分年轻的白帽子抵制不了心中诱惑，最终“染色”？

　　冰山的另一角

　　开房记录曝光、航空名单泄漏……2013年，互联网隐私信息被泄露的事件，如同多米诺骨牌般一波接一波地向大众袭来。

　　尴尬的是，这些发生在互联网上的信息泄密，仅是掀开了个人隐私信息危机这座巨大冰山的一角。如果算上传统的物流客户资料被卖、电话号码机主身份泄漏等常态事件，得出的答案必然更会让人惊恐。

　　尽管有黑帽子作恶的原因，但究竟是怎样的原因助长了他们肆无忌惮的气焰？

　　——用户网络安全意识过于薄弱？

　　如今国内太多的用户还存在网络安全意识薄弱的状况。曾有网络公司就密码更改进行过调查。73%的网民不更换或者很少更换密码，依照使用地点更换密码的用户只有9%。而每月更换以及每周更换的比例更低，两者都不到3%。更有不少用户在登录不同软件工具时，所使用的都是同样密码。而这很容易被黑帽子破解，进而盗取更多的个人信息。

　　——互联网公司安全意识薄弱？

　　早在2009年，中国软件评测中心对婚恋交友网站、游戏、招聘网站、电子商务领域等近70家网站的个人信息保护情况进行了调查。但结果不容乐观。

　　——互联网网站收集信息而未能妥善保存造成资料流失？

　　太多的网站或明或暗地收集着用户的资料。但对于这些原本应该妥善保护的信息，他们却因为管理乏力而造成随意转移、公开个人信息；甚至还有部分网站没有采用安全方式进行密码数据传输。而这些，无疑为黑帽子提供了太多的可趁之机。

　　更让人担忧的是，越来越多的传统行业纷纷渗入互联网拓展业务，它们对网络安全方面却很是看轻。太多的前车之鉴或许将告诉这些新入行的企业，如果对数据安全不在意的话，稍不注意就会发生“踩雷”事件。