华住开房记录泄露案进展：尚未有受到任何处罚的消息

　　2018-8-28日，网曝疑似华住集团旗下连锁酒店用户数据在暗网售卖。8月28日下午，华住集团酒店官方回应此事称，“已经报警了。真实性目前无法查证，我们信息安全部门在紧急处理中”。

〓　相关链接

• 华住集团
  

源自：《中国经济周刊》2018年第45期

---

　　“华住开房记录泄露案”该如何处罚

⊙记者：银昕 青岛、北京报道

aef2-hmivixn3822575.jpg  保存到相册

上传时间: 2018-11-20 10:28

文件大小: 129.17 KB

下载次数: 8

点击文件名下载图片

 

（插图：《中国经济周刊》美编 刘屹钫）
　　“从去年7月1日实施以来，《网络安全法》执法力度是很大的，但存在对企业主体追责不明确的问题。”11月1日，在青岛举办的中国保密技术交流大会上，360企业安全集团董事长齐向东首次评论“华住案”。
　　今年8月28日早上6时，一则华住旗下酒店开房记录疑似泄露，在网上明码标价出售的消息在网上流传。被售卖的数据包括华住官网注册资料，酒店入住登记身份信息，还有酒店开房记录等三类，总计近5亿条数据，合计大小141.5G。发帖者称以上数据全部打包价为8比特币，约为38万元人民币。
　　随后华住酒店集团向警方报案，上海警方随即介入调查。360企业安全集团作为技术支持者配合上海警方以技术手段进行侦查，并成功将犯罪嫌疑人抓捕归案。经查，犯罪嫌疑人利用黑客手段窃取华住集团旗下酒店数据并在境外网站兜售，但未交易成功。上海警方还表示，对该案中涉及未落实网络安全措施的责任主体单位，警方将依法予以查处。此后上海警方再未对外公布关于该案的具体内容和侦破过程。
　　齐向东对《中国经济周刊》记者说，《网络安全法》已经在个人信息保护的立法层面进行了比较全面的阐述，但仍有对企业主体追责不够的遗憾，这部分遗憾需要在更加细致的《个人信息保护法》中加以落实。
　　中国消费者协会今年8月发布的《APP信息泄露情况调查报告》显示，我国个人信息泄露总体情况比较严重，遇到过个人信息泄露情况的人数占比为85.2%，没有遇到过个人信息泄露情况的人数占比为14.8%。
　　对我国何时能有一部专门的《个人信息保护法》的讨论随之而来。就此话题《中国经济周刊》记者对相关人士和立法专家进行了采访。

《个人信息保护法》进入立法议程
　　虽然上海市公安局在公告中称“对该案中涉及未落实网络安全措施的责任主体单位警方将依法予以查处”，但《网络安全法》只在相关章节规定了网络运营主体和数据控制方对保护个人信息所负的法律义务，并未规定企业面临的法律后果。
　　《中国经济周刊》记者检索公开资料发现，截至目前，“华住案”中未落实网络安全措施的责任主体单位──华住酒店集团，尚未有受到任何处罚及查处的消息。
　　齐向东认为，作为泄密单位，华住酒店集团给用户造成的损失是不可挽回的，它应该承担什么样的责任，法律上有要求但细节和细则落实不到位。
　　360企业安全集团总裁吴云坤则对记者表示，目前掌握个人信息最多的不是个人用户本地的存储，也不是政府部门，而是企业，“特别是使用频次很高的产品背后的企业，比如微信、支付宝和其他网购平台，所以保护企业所掌握的个人信息其实就是在保护绝大部分的个人信息。”
　　就在9月10日，《个人信息保护法》被写入十三届全国人大常委会立法规划（共116件）的第一类项目，即条件比较成熟、任期内拟提请审议的法律草案，立法的地位和优先级有了巨大提升。
　　从事个人信息保护研究工作的中国人民大学金融科技与互联网安全研究中心主任杨东告诉《中国经济周刊》记者，《个人信息保护法》主要的立法目的就是强化企业的责任，“个人信息泄露的主要出口就是企业的不规范操作。”
　　立法分散是目前个人信息保护的另一个尴尬。国务院信息化办公室从2003年起就开始部署个人信息保护法立法研究工作；2009年修订通过的《刑法修正案（七）》对非法窃取、出售、泄露个人信息的行为作出了规定，《刑法修正案（九）》还设置了非法获取公民个人信息的罪名。除《网络安全法》外，个人信息保护的内容还出现在《民法总则》《消费者权益保护法》《电子商务法》和《全国人民代表大会常务委员会关于加强网络信息保护的决定》等近40部法律、30余部法规和200部规章制度中。“目前的法律现实是对个人信息保护的规定十分分散，缺乏系统性、严谨性和逻辑性，也没有清晰的流程。”杨东说。

相关企业将配置部门管理个人信息
　　值得注意的是，在《网络安全法》生效后不久，一则由全国信息安全标准化技术委员会制定的《个人信息安全规范》（下称“《规范》”）从2017年底开始在各互联网公司等数据控制方中悄然流行。《规范》按照《网络安全法》所规定的原则进行的更加细致的规定，很多企业为避免违反《网络安全法》，就将《规范》作为其业务执行的标准。
　　《规范》明确了个人信息的边界和范围，即关联路径和识别路径下的个人信息同属应被保护的范畴。所谓关联路径是指不能直接识别出某个特定的自然人，但包含了特定自然人的大量行为和习惯数据，如聊天记录，购物记录，经常使用的行车路线和好友名单等的数据，对该段数据进行分析之后可以关联到特定的自然人；所谓识别路径，是指可直接识别出特定自然人的信息，如手机号码、身份证号码和其他证件号码等。
　　以微信、微博和人人网等社交网站为例，在《规范》出台之前，其只将包含用户识别路径下的信息加以保护，而将用户关联路径下的个人信息作为网络运行日志保存而非个人信息对待，这种做法在《规范》的指引下得到了纠正。
　　《规范》还要求规模在200人以上，或处理超过50万人的个人信息的企业设立专职负责人和部门管理个人信息的保护问题。按此标准，零售业巨头阿里巴巴、京东以及社交领域的微信、微博和QQ无一例外都需建立这一部门。根据《中国经济周刊》记者的了解，属医疗行业的丁香园在2018年初已将该负责人部署到位，零售巨头京东和属网络安全领域的360集团早年间就设立了类似的部门。
　　《个人信息保护法》是否会沿用《规范》当中的内容？抑或与时俱进地做出调整？杨东对《中国经济周刊》记者表示，与《个人信息保护法》相比，《规范》更倾向于是对从业者的一种业务层面的“建议”，“不一定所有内容都会进入法律，法律也没有必要过分具体地落地到业务操作层面的规定。但《规范》中一些十分成熟的条文很有可能被法律吸收进来。”杨东说。

　　9月30日上午消息，昨日关于网上传播某客人被华住后台系统备注了“特别提醒”视频一事，华住发表声明称，对于不妥用词给该客人带来的不佳感受，我们致以最真诚的道歉。并已立即第一时间取消了不当备注，更新备注为“给我们提建设性建议的VIP“。
　　华住声明中强调，我们从来都无意，更没有权利对客人进行任何评判，该事件的发生，提醒了我们即使出发点为善也需要经常检查与复核。

以下为华住集团声明全文
　　华住集团声明
　　9月29日，风声视频发布了某客人发现被华住后台会员系统备注了特别提醒的视频，对于不妥用词给该客人带来的不佳感受，我们致以最真诚的道歉。并已立即第一时间取消了不当备注，更新备注为“给我们提建设性建议的VIP“。
　　华住在会员系统中设置特别提醒功能，是为了记录下客人的喜好或特殊要求，以期在客人下次入住时尽可能提供更个性化的贴心服务。我们从来都无意，更没有权利对客人进行任何评判，该事件的发生，提醒了我们即使出发点为善也需要经常检查与复核。我们将再度全面培训相应操作规范，并不定期核查是否符合初心。再一次由衷感谢大家对华住的关注与帮助，是你们让我们有机会变得更好。
　　华住始终欢迎媒体和社会各界的监督，尽管承认不可避免会有瑕疵，但我们会始终坚持完善与精进服务品牌，为成就客人的美好生活而继续努力。
　　华住集团
　　2018年9月30日

tCz0-hkrzyam3376778.png  保存到相册

上传时间: 2018-10-1 06:46

文件大小: 220.57 KB

下载次数: 7

点击文件名下载图片

 

源自：中国新闻网

---

华住数据泄露案犯罪嫌疑人被抓 检察机关提前介入
　　中新网9月20日消息，据长宁检察在线微信公众号消息，上海长宁区人民检察院提前介入华住集团数据泄露案。
　　日前，利用黑客手段窃取华住集团旗下酒店数据并在境外网站兜售（未交易成功）的犯罪嫌疑人刘某某，被上海警方抓获归案。长宁区人民检察院第一时间指派互联网犯罪检察官办公室提前介入该案，引导公安机关侦查取证，切实保护公民合法权益。
　　此前，据媒体报道，论坛上有网帖售卖华住酒店集团客户数据，发帖者称，数据涉及华住集团旗下的汉庭、美爵、禧玥、漫心、诺富特、美居、CitiGo、桔子、全季、星程、宜必思、怡莱、海友等酒店，数据截止到2018年8月14日。
　　此次被兜售的酒店数据共有三个部分：第一部分为华住官网注册资料，包括用户的姓名、手机号、邮箱、身份证号、登录密码等，数据规模共53GB，大约有1.23亿条记录。
　　第二部分是酒店入住登记身份信息，包括住客的姓名、身份证号、家庭住址、生日、内部ID号，共22.3GB，约1.3亿人身份信息。
　　第三部分是酒店开房记录，包括内部ID号，同房间关联号、姓名、卡号、手机号、邮箱、入住时间、离开时间、酒店ID号、房间号、消费金额等，共66.2GB，约2.4亿条记录。

源自：界面

---

原文标题：华住官网：叫卖华住酒店住客信息嫌疑人已被抓获 交易未果
⊙作者：杨舒鸿吉

　　2018年8月，网络流传一张截图称，有人在境外网站兜售华住集团酒店住客信息，包括姓名、身份证号、家庭住址及开房记录，共计5亿余条。事件引发社会关注。9月18日，界面新闻从多个信源证实，涉嫌叫卖公民个人信息的犯罪嫌疑人已落网。
　　2018年8月28日，一张“黑客出售华住酒店集团客户数据”的截图在社交网络中流传。截图显示，一名黑客在“暗网”发帖叫卖华住集团开房数据。数据涉及华住旗下汉庭、美爵、禧玥、诺富特、美居、CitiGO、桔子、全季、星程、宜必思尚品、宜必思、怡莱、海友等所有酒店截至8月14日的数据。全部信息打包售价为8个比特币（约38.3万元人民币）或520门罗币（约36.5万元人民币）。
　　网传信息还显示，数据包括官网注册资料：身份证、手机号、邮箱、身份证号、登录密码等，共53G约1.23亿条记录；入住登记身份信息：姓名、身份证号、家庭住址、生日、内部ID号，共22.3G约1.3亿条；酒店开房记录：内部ID号、同房间关联号、姓名、卡号、手机号、邮箱、入住时间、离开时间、酒店ID号、房间号、消费金额等，共66.2G约2.4亿条。总计近5亿条信息，约140G。黑客还就上述三类数据提供了各10000条免费测试。
　　事件发生后，上海市长宁警方发布微博称，2018年8月28日下午，长宁公安分局接华住集团运营负责人报案称，有人在境外网站兜售华住旗下酒店数据，客户信息疑遭泄漏，公司已启动内部自查。警方即介入调查，并表示将始终严厉打击非法获取、买卖、交换、提供公民个人信息等违法犯罪行为，切实保护公民合法权益，“掌握公民个人信息的企事业单位，应严格落实主体责任，加大信息安全的防护力度”。
　　9月17日，华住酒店集团在官网发布声明称，根据公安机关的最新消息，目前案件已告破，在暗网上试图兜售数据的犯罪嫌疑人已经被缉拿归案，其企图之交易未果。“犯罪嫌疑人还利用舆论声浪，对华住进行敲诈勒索，未遂。”目前，公安机关在进一步的侦办中。关于犯罪嫌疑人在暗网上的宣称是否真实，是否存在数据泄露等各界关心的问题，“需要等待案件侦办完成后才能正式发布。”
　　界面新闻记者从相关部门证实了上述信息。

源自：政府网站

---

原文标题：#警情通报#[话筒]

源自：警民直通车-上海

FWW6-hkhfqns9837013.jpg  保存到相册

上传时间: 2018-9-19 20:01

文件大小: 43.88 KB

下载次数: 13

点击文件名下载图片

 

警情通报
　　上海警方经缜密侦查，抓获了窃取华住集团旗下酒店数据信息的犯罪嫌疑人刘某某（男，30岁）。经查，犯罪嫌疑人利用黑客手段窃取华住集团旗下酒店数据并在境外网站兜售，但未交易成功。目前，案件还在进一步查证中。对于该案中涉及未落实网络安全措施的责任主体单位，警方将依法予以查处。上海警方始终依法严厉打击非法获取、买卖、交换、提供公民个人信息等违法犯罪行为，不断加强互联网安全监管力度，切实保护公民合法权益。

源自：新京报

---

原文标题：华住5亿余信息泄露案犯罪嫌疑人已被抓住，但数据泄露原因、被泄露数据真实性仍是谜团

　　新京报快讯（记者：王真真）华住5亿条信息泄露案有了最新进展，犯罪嫌疑人已控制，交易未成。但至于信息如何泄露、泄露的原因以及已被泄露的数据是否真实等问题依然没有得到进一步回应和解释。
　　在“华住5亿条信息泄露案”发生后的第21天，9月17日，华住集团终于发布了关于案件调查进展的说明，华住集团在美国证券市场发布的信息显示：目前案件已告破，在暗网上试图兜售数据的犯罪嫌疑人已经警方抓获，交易未果。
　　华住在声明中还指出，在暗网交易信息曝光并且在网络上被广泛传播后，犯罪嫌疑人曾利用这波舆论声浪，对华住进行过敲诈勒索，但最被华住拒绝。
　　据悉，此案目前公安机关尚在进一步的侦办中。
　　至于备受关注的“关于犯罪嫌疑人在暗网上的宣称是否真实，是否存在数据泄露等”问题，华住在声明中表示，这些问题都需要等到案件侦办结束后才能正式公布。

华住的“黑色星期二”
　　华住的事件进展声明再一次将人们的记忆拉回到了8月28日那一天。
　　8月28日，星期二，上午6点，有网友爆料称，在暗网中文论坛（暗网中文论坛可以理解为网上黑市商城，但匿名性很高，且无法直接访问）中有网帖声称售卖华住酒店集团客户数据。
　　在网络流传的截图显示，黑客在暗网中文论坛中以8个比特币或520门罗币（约37万元人民币）的标价出售华住旗下所有酒店的数据，共有140G亿约5亿条数据信息。
　　发帖者声称，这批数据涉及华住集团旗下的汉庭、美爵、禧玥、漫心、诺富特、美居、CitiGo、桔子、全季、星程、宜必思、怡莱、海友等酒店，数据截止到2018年8月14日。

此次被兜售的酒店数据共有三个部分
　　第一部分为华住官网注册资料，包括用户的姓名、手机号、邮箱、身份证号、登录密码等，数据规模共53GB，大约有1.23亿条记录。
　　第二部分是酒店入住登记身份信息，包括住客的姓名、身份证号、家庭住址、生日、内部ID号，共22.3GB，约1.3亿人身份信息。
　　第三部分是酒店开房记录，包括内部ID号，同房间关联号、姓名、卡号、手机号、邮箱、入住时间、离开时间、酒店ID号、房间号、消费金额等，共66.2GB，约2.4亿条记录。
　　5亿余条包含姓名、身份证号、手机号、密码、家庭住址等详细信息的数据泄露，有安全专家表示，如果泄露的全部信息为真，这将很有可能是近5年内国内最大最严重的个人信息泄露事件。
　　随后华住集团的声明显示：公司在第一时间报警，公安机关已介入调查；此外，公司也迅速开展了内部调查，还聘请了专业技术公司对网上兜售的“相关个人信息”是否来源于华住集团进行核实。
　　虽然华住在事发后迅速采取了一些措施，但华住股价依然没有抗住用户泄露的恶劣事件对其造成的影响。8月27日周一收盘，华住酒店报35.53美元，8月28日美股盘前暴跌6%，报33.4美元。截至9月18日，华住酒店最新股价报27.07美元。

泄露的用户数据真实性？
　　华住集团在9月17日的事件进展中，对于是否存在数据泄露、泄露数据的真实性并没有给出正面回应。但在事件发生之后的一段时间里，各方媒体通过相关的信息安全行家对兜售数据原帖附件中提供的测试数据进行验证，均认为数据的真实性非常高。
　　第三方安全平台紫豹科技通过技术手段进行验证测试。测试结果显示，所有信息通过哈希加密存储，且测试数据都清晰无码。
　　在暗网中文论坛的兜售原贴中，兜售者为了让感兴趣的买家验证数据真假，提供了三部分数据每部分各10000条数据供下载验证，这三万条数据无需权限即可下载。
　　目前网络上流传的泄露数据也均来源于此。
　　据称，测试数据绝大部分是新泄露的数据，不是历史泄露数据被二次转卖。

用户数据为何泄露？
　　在8月29日用户泄露数据曝光后，华住酒店集团发表声明称已迅速展开内部调查，但在9月17日的事件调查进度说明中，对于数据泄露原因却只字不提。
　　紫豹科技曾表示，华住用户数据泄露疑似与其在Github的项目敏感信息被黑有关，但需要华住通过日志审计的方式进行核实，推断依据是一个Github ID为DENGXIANGLONG001的程序员，曾在Github上传过一个名为CMS的项目，项目的配置文件代码里包含了华住敏感的服务器及数据库信息。
　　Github是一个面向开源及私有软件项目的托管平台，程序员可以在上面快速进行代码分支，也有人讲Github成为代码玩家的社交网络。紫豹科技在其微信公众号上透露，该数据库连接方式在事发前20天上传至Github，而卖家的售卖信息中显示其数据库数据是在8月14日脱裤。
　　但华住方面对此说法却予以否认，并称将对这种造谣行为将采取法律手段。
　　在暗网上售卖数据的帖子中，售卖者曾提及：“如果权限不丢失，后续数据还可以免费发给已购买的大佬”，这难免不让人怀疑是否有人蓄意上传数据后再进行脱裤售卖。
　　在9月4日召开的2018ISC互联网安全大会上，360集团董事长兼CEO周鸿祎在谈及数据泄露事件中曾表示，“我们研究过所有安全事件，最后归根到底再天大的事件都是从攻击一个很小的终端开始。”
　　周鸿祎认为酒店的用户隐私泄露可能存在两种情况，一是企业 App 访问后台数据库的接口存在安全漏洞，这个漏洞可能被别人利用；二是企业内网出现问题，黑客针对企业的某个员工或网管进行有针对的攻击，在员工的个人电脑上做了手脚，再通过其电脑拿到服务器口令。
　　威胁猎人则表示，华住的用户数据的具体流出方式现在还很难分析，因为方向太多，需要配合警方和华住才有可能找到泄露源头。

酒店成用户信息泄露重灾区
　　5万余条的用户数据泄露仍在调查之中，但这并不是华住第一次卷入“泄露门”。2013年，华住旗下的汉庭等经济型酒店便被曝过2000万条开房记录被泄露。
　　当时数据泄露的原因是消费者在连接酒店WiFi上网提交用户记录进行网页验证时，其信息并没有在酒店服务器上进行认证，而是在为酒店提供服务器实时储存的浙江慧达驿站网络有限公司的服务器上，后因该公司系统漏洞被黑客攻击，最终导致客户信息被泄露。
　　不论是2013年的数据泄露，还是今年的此次大规模数据泄露，都让华住的酒店信息安全技术实力受到了质疑。自2005年创办成立，2010年在美国纳斯达克上市，并跻身成为全球酒店前20强，华住集团曾被一些业内行业人士认为已经是国内信息化做的最好的酒店之一。即便如此，用户信息安全依然未能得到完全保障。
　　事实上，酒店早已经成为信息安全泄露的重灾区。
　　2015年，某地市民的7天连锁酒店账户，在不到两个月的时间里，莫名出现700多个订房信息，积分变成负数。
　　2016年1月，凯悦集团在全球约50个国家的250家酒店涉及支付卡数据外泄，其中中国有22家凯悦集团旗下酒店被波及。泄露的信息包括住客支付卡姓名、卡号、到期日期和验证码。
　　2017年2月7日，洲际酒店集团旗下在美洲的12家酒店客户信用卡信息遭到泄露。
　　2017年，凯悦酒店遭遇黑客攻击，导致全球11个国家的41家凯悦酒店面临数据泄露。
　　在美国威瑞森发布的《2017年的数据泄露调查报告》曾指出，在被调查的几万个安全事件中，内部威胁占25%，75%是外部攻击导致。在外部攻击中，51%是网络攻击涉及到有组织有计划的犯罪集团。在数据泄露原因中，62%的数据泄露与黑客攻击有关，81%的数据泄露涉及到撞库（黑客通过收集互联网已泄露的用户和密码信息，尝试批量登陆其他网站后，得到系列可以登录的用户）或弱口令。

酒店重视网络安全应成常态
　　华住用户信息泄露事件让酒店业界信息安全再次成为关注焦点。
　　有资深酒店行业人士表示，虽然不少大型连锁酒店都有组建技术团队自行开发系统，但酒店的管理架构决定了其基本不会在技术上用太多时间，一般都会设有基础的网络运维岗位，但这对于触网程度越来越深的酒店集团而言，是远远不够的。
　　一般而言，一家酒店涉及的成本中，除了必要的酒店硬件、人工和运营之外，市场营销和技术方面的投入是占比较高的。尤其是技术方面的投入，从基础搭建到后期维护都是极耗费用的一项投入，有媒体报道指出，但由于技术的巨大投入，很难直接体现，酒店往往会在更容易见效、提升酒店客房收入的营销方面进行更大投资。
　　华住集团公布的2018年第二季度财报显示，华住酒店第二季度营业净收入25.2亿元，同比增长25.9%，净利润5.58亿元，同比增长39%，其中，包含信息记住在内的的管理费用仅占7.1%，而一比例还并不完全用于信息技术开发。
　　网络信息安全技术能力的完善与提升成为众酒店今后着重加强的部分，且基于网络技术变化更新的速度，这种重视也应成为酒店今后的工作常态。周鸿祎表示，对于信息安全问题，在日常工作中就必须给予防范，做好日常的检修和维护、升级。

源自：澎湃新闻

---

　　华住：网上叫卖5亿条酒店客户信息的嫌疑人被抓，其曾欲敲诈
　　据华住集团官网，北京时间2018年9月17日，华住集团在美国证券市场发布了“关于华住数据疑遭泄露的调查进展说明”。
　　说明称，2018年8月28日，网上传言华住数据疑似发生泄露。当天，华住集团对公众作出了正式声明，并向公安机关报案。根据公安机关的最新消息，目前案件已告破，在暗网上试图兜售数据的犯罪嫌疑人已经被缉拿归案，其企图之交易未果。
　　说明还称，犯罪嫌疑人还利用舆论声浪，对华住进行敲诈勒索，未遂。目前，公安机关在进一步的侦办中。根据中国法律和公安机关的要求，案件侦查过程中不得有更多的信息披露；关于犯罪嫌疑人在暗网上的宣称是否真实，是否存在数据泄露等各界关心的问题，需要等待案件侦办完成后才能正式发布。
　　此前，网传“华住5亿条个人信息疑似泄露”事件引发广泛关注。据新华社报道，8月28日，网络流传一张黑客出售华住酒店集团客户数据的截图，其中涉及姓名、身份证号、家庭住址、开房记录等众多敏感信息，大约5亿条，全部信息打包价为8比特币，并给出了测试数据。
　　当天，上海市公安局长宁分局发布通报称，接到华住集团报案，有人在境外网站兜售旗下酒店数据，客户信息疑遭泄露。该公司已启动内部自查，警方即介入调查。
　　警方表示，将始终严厉打击非法获取、买卖、交换、提供公民个人信息等违法行为，切实保护公民合法权益。掌握公民个人信息的企事业单位，应严格落实主体责任，加大信息安全的防护力度。

源自：界面

---

　　华住5亿数据疑泄露追问：比无能为力更可怕的是无人在意
　　经过调查求证后的第三份声明何时会发出来？被泄漏了隐私的消费者又该找谁维权？

D6yE-hitesuz1548639.jpg  保存到相册

上传时间: 2018-9-6 16:23

文件大小: 73.33 KB

下载次数: 10

点击文件名下载图片

 

　　“当然我从来都不住这些酒店。”2018年9月4日，在2018年互联网安全大会上，360公司董事长周鸿祎谈及华住集团5亿条酒店信息疑似泄露事件时说到。
　　8月28日曝出华住旗下多家酒店品牌数据泄露，网络黑客在向黑市出售，数据涉及到1.3亿人的个人信息及开房记录等共计5亿条信息。华住集团在8月28日通过官方微博接连发布两份声明，表示已经报警并且聘请专业技术公司核查此事。一周过去了，华住方面暂无更新事件进展公布，而数据泄露引发的公众热论也逐渐在网上淡去。
　　经过调查求证后的第三份声明何时会发出来？谁泄露了个人用户的信息？谁应该为此担责？比起网络浩如烟海的个人信息，包括酒店业在内的企业，对于信息安全脆弱的保护能力，公众对信息安全的危害以及追责的漠视，更值得警醒。

信息泄露“重灾区”
　　“**（女士/先生）您好！您的信用卡因逾期还款影响征信，现已冻结，请联系客服：0086-7187847098办理解冻【中国银联】”9月3日上午，正在办公的王女士收到了这样一条短信提醒。
　　令王女士感到诧异的是，短信开头清楚明白地写着她的姓名，甚至看起来对她最近颇为困窘的财务状况也一清二楚。尽管对于此类号码的真实性感到警惕，她还是确认这不是中国银联的客服电话后才敢放心置之不理。
　　王女士仔细想了想，一时不知道这次的信息泄露源头在哪里。毕竟她是“华住会”的注册会员之一，也是顺丰快递的老客户。在最新的新闻报道中提到，疑似这两家企业的数据先后在“暗网”被公开出售。当晚，身为华住集团会员的王女士从朋友那里得知了消息，当时正在山西出差的她，回复微信称“没空担心”。
　　顺丰官方回应称经过技术交叉验证，暗网所售数据非顺丰数据。而华住集团在最新的声明中表示已在内部迅速展开核查，第一时间报警，并聘请了专业技术公司对网上兜售的“相关个人信息”是否来源于华住集团进行核实。自8月28日下午发表声明后，截至记者发稿，尚无最新消息披露。
　　从每天接到骚扰电话的人群规模来看，个人信息泄露显然已经成为常态。而以服务人为核心的酒店来说，这不是第一次发生信息泄露，整个行业早已成为被黑客盯上的重灾区。
　　2017年，全球酒店连锁集团凯悦酒店遭遇了黑客攻击，导致全球11个国家的41家凯悦酒店面临数据泄露。
　　2017年4月，由于酒店遭到黑客入侵，洲际酒店超过1000家旗下酒店遭遇支付卡信息泄露的问题。
　　2015年，漏洞盒子平台安全报告，桔子酒店（后被华住收购）存在严重安全漏洞，房客姓名、电话等开房信息一览无余，还可对酒店订单进行修改和取消。
　　2016年，收到KerbsOnSecurity提示，表明遭到过支付卡信息泄露的酒店包括金普顿酒店，特朗普酒店（2次），希尔顿酒店，文华东方酒店，和怀特住宿服务公司（2次）。
　　2013年10月，国内安全漏洞监测平台“乌云网”披露，浙江慧达驿站公司因为安全漏洞问题，使与其有合作关系的大批酒店的开房记录在网上泄露，包括汉庭（华住旗下）、如家等。此后，一个名为“2000w开房数据”的文件出现在网上。当时，包括汉庭在内的酒店曾予以否认。
　　据《2018年中国大住宿业发展报告》，截止2017年底，全国住宿业的设施总数为457834家，客房总规模16,770,394间。其中酒店类住宿业设施317,476家，客房总数15,480,813间。每位乘客入住酒店后，包括其身份证件、电话号码、房间号等在内的所有个人信息将会同步上传至公安信息系统以及酒店内部的管理系统。按照公安部的要求，相关的开房记录将被保留一定年限，以随时备查。
　　因此，酒店行业所收集、存储的数据规模之大，超乎想象。
　　正是基于此，据国外行业专家Jane Dotsenko在trustwave网站上分析，客人们往来频繁的酒店正成为黑客下手的理想地点。不管是在国内还是国外，酒店行业的信息泄露问题正变得日益突出。
　　但是，此次华住酒店数据疑似泄露一经曝光后，仍然在网络上立即引发了热议。据暗网上的卖方称，此次数据涉及的范围包括官网注册资料约1.23亿条记录、入住登记身份信息约1.3亿条和酒店开房记录约2.4亿条，共计约5亿条数据。涉及酒店包括汉庭、美爵、禧玥、诺富特、美居、CitiGO、桔子、全季、星程、宜必思尚品、宜必思、怡莱、海友等。
　　安全专家表示，如果消息属实，这将是国内酒店行业近年来涉及人数最多、规模最大的一起信息泄露事件。

无能为力的酒店
　　面临着越来越高的数据泄露风险，酒店行业却显然并没有做好足够的防御。
　　一般来说，信息泄露的原因主要是种，来自酒店的内部人员主动泄露，参与售卖信息的黑色产业链；另一方面可能由于酒店管理系统存在安全漏洞，被黑客攻击，从而被窃取数据。影响第二种原因的因素，除了企业本身的IT技术水平以外，企业的安全意识以及内部管理机制，也对信息保护尤为重要。
　　关于第一种原因，华住集团公关部经理董思宏接受央视财经采访时已予以否认，表示“肯定不是我们员工泄露的”。
　　在华住疑似数据泄露曝光后，其IT技术实力受到了质疑。然而，有业内人士指出，华住集团自2005年创办以来，成功于2010年在美国纳斯达克上市，跻身全球酒店前20强，已经是过内信息化做的最好的酒店之一。华住集团创始人、董事长季琦对于IT技术一直非常重视。在他的新书中写道：“毫不夸张地来讲：一个优秀的连锁企业，一定有一支优秀的IT团队，而IT项目必须是一把手工程，必须是内部研发为主。”
　　华住集团旗下的酒店所使用的软件系统都是由盟广信息技术有限公司开发的，这是一家由华住集团内部孵化的IT公司，定位于全球酒店技术服务商，被季琦寄予厚望。资料显示，该公司的CEO刘欣欣，正是华住酒店集团的CIO。
　　李永（化名）曾在一家提供酒店系统服务的公司任职，他告诉界面新闻记者，对于会员信息管理，不同层级的酒店方式有所不同。不过，绝大部分酒店都会引进一套管理系统。系统里的会员模块，可以针对自己的会员做定价策略和活动策略。对经济型连锁酒店而言，这个模块相对简单，有些五星级酒店会复杂一些，因为会员享受的权益更多。这些系统在功能、价格上也会有所差异。在李永看来，华住自行研发的系统在行业内的技术水平并不差。
　　此前，网上有安全机构指出此次事件是疑似华住集团程序员将数据库连接方式上传到Github上导致的。Github是一个被程序员广泛使用的托管平台。中国信息安全研究院副院长左晓栋指出，即使上述说法属实，那也不是指程序员直接上传数据库的信息至Github，不意味着是主动泄密。有可能是程序员在开发时上传到Github的代码里，包含了数据库的口令和密码，被攻击者破解，从而登陆系统，盗取了相关数据。
　　据一位信息技术专业人士分析，这至少暴露了两个问题：华住把未脱敏的生产数据开发做测试用，而且没有对测试数据库进行有效保护。他直言：“不管什么原因，最终暴露出来的是这家公司的内部管理问题，而且信息安全管理意识不够。”
　　“在酒店行业，信息泄露其实是很容易发生的。”华住旗下一家酒店品牌的加盟商曹俊（化名）告诉记者，在上传用户信息至酒店系统的过程中，并不存在加密。每个酒店有专属的ID和密码，由于经营需要，他所在的酒店客户入住信息经常需要从系统导出，操作起来非常容易。曹俊所经营的酒店只是华住集团旗下加盟制酒店信息管理的一个缩影。
　　纵观全行业，各大酒店也主观上也在加强信息保护意识。一位先后在洲际酒店和铂涛酒店工作过的业内人士告诉界面新闻记者，洲际酒店使用的管理系统叫opera，是一个由第三方开发的，功能齐全，涉及到多个业务板块的系统。每个酒店员工都有自己的ID和密码，不同岗位及不同级别的人具有的权限不一样，所能看到的具体的客户信息也不一样。例如，前台负责上传客户信息，可以查看到包括身份证、房间号、电话号码等所有信息，却没有导出数据的权限。
　　资深酒店业内人士刘含（化名）也证实了上述说法。他表示，包括华住集团在内的不少大型连锁酒店都选择组建技术团队自行来开发系统，通常企业内部也会有比较规范的信息安全管理机制，例如设置不同的权限等等。但是行业参差不齐，没有办法完全阻止信息泄露。
　　“酒店的管理架构决定它基本不会在技术上用太多时间，但会有基础的网络运维人员。有些大型酒店也会设立CTO等职位，但是想要保护好信息，只能说现在酒店行业的软硬实力都远远不够。”李永认为，从安全性上讲，即使第三方酒店行业软件公司具备灾备机制（指提前建立系统化的数据应急方式，包括数据备份、系统备份等）和云存储架构，依然不能彻底避免酒店业面临的信息安全风险。这不仅仅是酒店业面临的挑战。

被低估的危害
　　“大数据时代，人人都在‘裸奔’。”许多网友对于信息泄露早已见怪不怪。然而，对于信息泄露，尤其是如此大规模的酒店行业信息泄露，远不止仅让人“裸奔”那样简单。
　　该网帖称此次华住泄露数据包括：华住官网注册资料，包括姓名、手机号、邮箱、身份证号、登录密码等，共53G，大约1.23亿条记录；酒店入住登记身份信息，包括姓名、身份证号、家庭住址、生日、内部ID号，共22.3G，约1.3亿人身份证信息；酒店开房记录，包括内部id号，同房间关联号、姓名、卡号、手机号、邮箱、入住时间、离开时间、酒店id号、房间号、消费金额等，共66.2G，约2.4亿条记录。
　　如果属实，这也意味着，有超过1.3亿人置于犯罪活动情况下风险之下。此外，这种信息泄露带来的风险与危害，是不可逆的。一旦这些数据流入地下黑市，还可能被多次转卖，继续流通。
　　华住酒店的信息在暗网以打包价8比特币──约38万元人民币公开售卖，可见酒店信息对地下黑市来说无疑是一座“金矿”。据左晓栋分析，因为酒店信息本身包含的信息类型很多，例如性别、年龄、身份证号码、手机号码等个人基本隐私情况，还可以将住店信息进一步做大数据分析，推论个人出差频率、出差位置以及消费水平等。
　　据测算，仅中国网络黑色产业从业人员就已超过150万，市场规模也已高达千亿元级别。非法售卖公民信息就是网络黑色产业中一大重要的部分。
　　左晓栋介绍，当前的网络违法犯罪主要是基于对个人信息的精准掌握而实施的，最典型的是电信诈骗。其中，2016年准大学新生徐玉玉遭受电话诈骗后猝死，就是血淋淋的例子。当时犯罪嫌疑人通过购买五万余条山东省2016年高考考生信息，对高考录取学生实施精准的电话诈骗，徐玉玉因此不幸受害。
　　如果犯罪分子精准掌握了个人信息，欺诈水平会越来越高，成功实施犯罪的几率也越来越大。此外，信息泄露还有可能造成信息滥用，比如冒用身份借贷，或者被用在所谓的新业务场合“精准营销”，例如卖房子、卖黄金期货、炒白银、推销保险等。据《法制晚报》此前报道，在2013年“2000万开房数据泄露”事件发生后，王某某频繁收到各种营销电话，对方可以直接说出他的生日、家庭住址、房屋面积、车子型号。由此他受到了巨大的精神压力，被迫到派出所改姓。
　　据2018年《数字金融反欺诈白皮书》显示，由网络黑产主导的数字金融欺诈，已经渗透到数字金融营销、注册、借贷、支付等各个环节。另据相关统计数据显示，各种利用互联网技术实施偷盗、诈骗、敲诈的案件数每年以超过30%的增速在增长。
　　信息泄露的危害亟待引起包括个人、企业以及国家的重视。

谁来负责？
　　左晓栋提醒：“谁掌握数据，谁承担责任。如果一旦发生信息泄露，那么相关企业肯定要承担责任。这和具体的泄露方式没有关系，企业承担的责任是一样的。”
　　在华住集团报警后，上海警方在8月28日晚上的一份公开声明中表示，“将始终严厉打击非法获取、买卖、交换、提供公民个人信息等违法犯罪行为，切实保护公民合法权益，掌握公民个人信息的企事业单位，应严格落实主体责任，加大信息安全的防护力度。”
　　据北京市京师（武汉）律师事务所邹伟峰律师表示，目前我国针对信息泄露与公民个人隐私保护的法律法规已经形成了一套体系，包括《民法总则》《侵权责任法》《刑法》以及《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》、《最高人民法院、最高人民检察院关于办理利用信息网络实施诽谤等刑事案件适用法律若干问题的解释》（以下简称“解释”）等均做出了相应的规定。
　　从法律角度来说，邹伟峰律师表示，如果信息泄露属实，从民事责任层面来说，酒店应该承担相应的信息安全保障义务，如果没有保障好，导致客户的权利受到侵害，或者受到骚扰，应该承担侵权责任。从刑事责任层面来说，此次涉及到近5亿条信息，据《解释》规定，属于“情节特别严重”的情形。买卖信息的参与者构成侵犯公民个人信息罪的，依照侵犯公民个人信息罪定罪处罚。
　　然而，现实是，除了徐玉玉一样导致死亡的极端案例，只有极个别维权成功。
　　相关数据也佐证了这一点。在中国裁判文书网上，经过查询显示，侵犯公民信息的刑事犯罪案例有3158条，而涉及到隐私权纠纷的公民个人信息泄露的民事判例只有20条判例（截至2018年9月4日）。
　　“公民的维权成本太高了，不仅需要证明存在侵权情节，还有确定有因果关系，另一方面，公民的信息被贩卖是广泛存在的，执法机关的调查成本过高，更多地使用刑法手段救济公民。这些最终妨碍了公民在信息被泄露时民事权利的主张。”邹伟峰解释道。
　　在”2000万开房数据“事件发生中改名的王某某曾将汉庭酒店告上法庭，但最终败诉。此次华住近5亿的数据泄露事件即使属实，暗网中潜藏的买卖者也很难被找到，接受法律的制裁，1.3亿会员以及其他非会员很难通过民事维权成功的可能性也是微乎其微。

源自：21世纪经济报道

---

KcCH-hikxxmz7225253.jpg  保存到相册 上传时间: 2018-9-1 06:46 文件大小: 30.91 KB 下载次数: 10 点击文件名下载图片

⊙记者：陶力 上海报道

　　导读
　　蚂蚁金服副总裁、技术实验室负责人蒋国飞对21世纪经济报道记者表示，区块链的未来将是比AI影响更为广泛的技术。在数字时代，区块链可以说是“解决信任”最理想的技术方案。
　　近期，滴滴与华住均因为个人隐私问题被推到风口浪尖，也折射出大数据应用仍处于蛮荒时代。
　　“滴滴拒绝向警察和用户透露平台司机的信息。这充分说明，在数据信息面前，个体和大公司之间是非常不对等的。而华住酒店信息被泄露也表明，用户的个人权益并没有得到保障。但是，现在的问题在于，《网络安全法》没有实施细则，也没有明确的惩罚界定。”8月30日，上海大数据联盟常务副秘书长马慧民在接受21世纪经济报道记者采访时指出，未来，从技术手段上可以用区块链来防范个人信息泄露。
　　近日，温州乐清女孩乘坐滴滴顺风车遇害，在爆出的被害人朋友与客服之间的聊天记录后，滴滴客服的处理不当被推上了风口浪尖。从现状来看，一方面，似乎用户隐私大于人身安全，另一方面，华住酒店集团旗下的近5亿条开房记录，被打包后在网络上交易。
　　对于用户数据泄露之事，华住集团相关人士在接受21世纪经济报道记者采访时表示，已经第一时间报警，并在内部迅速开展核查，聘请专业技术公司对网上兜售的“相关个人信息”是否来源于华住集团进行核实。目前，警方已介入调查，进展不便于透露。
　　上述两起事件，看似没有关系。归根结底，还是在于网络用户的信息数据采用，没有形成统一的标准。8月27日，民法典各分编（草案）初次提请十三届全国人大常委会第五次会议审议。其中，人格权独立成编，并对此前受到各方关注的个人信息做出了规定。这一举措，对于目前大数据使用泛滥的现状，或起到一定的遏制作用。

数据应用急需规则
　　不断爆发的隐私安全大事件，充分说明互联网不应是法外之地。
　　今年7月，在“隐私泄露”丑闻发酵4个多月后，Facebook为自己的“傲慢”付出了惨重的代价。除了CEO扎克伯格坐上了美国国会的听证席之外，该公司发布的2018年二季度财报堪称史上最差。其二季度营业收入132.3亿美元，同比增长42%，较市场预期低1.2亿美元。此外，最为核心的用户数据也不乐观，今年二季度的日活用户为14.71亿，环比仅增长1.37%。而月活用户22.3亿，低于市场预期的22.5亿。
　　资本市场随后做出了自己的反应，公司股价在财报发布后大跌20.23%至173.5美元，市值蒸发1200多亿美元。相比于Facebook，一些惩罚措施，并没有让中国公司感到足够的威慑力。21世纪经济报道记者梳理数据发现，从2013年起，关于如家、汉庭、锦江之星等知名酒店泄露用户信息的消息，已经被多次报道，尽管当事方表示会严格自查，但是，追究最后的处理结果，往往都不了了之。
　　上海段和段律师事务所合伙人刘春泉在接受21世纪经济报道记者采访时认为，全社会尤其是立法司法机关，对于个人信息的价值和保护的必要性，认识现状还太低。很多人还是无法把个人信息保护与电信诈骗等个人信息滥用的恶劣后果联系起来。“尤其是对于企业的惩罚力度太低，很多时候是象征性赔偿，几乎没有什么作用。从中国反垄断法的执法来看，个人信息保护执法不排除学习欧盟巨额罚款的可能性。”
　　值得注意的是，数据信息被灰色产业链拿来交易，而真正的应用规则仍处于一片混沌。以滴滴顺风车为例，在遭遇人身威胁时，滴滴公司客服以保护隐私为由，拒绝向警方提供可能施暴的司机个人信息。这一处理举动在业内看来十分不妥。
　　资深互联网行业评论人士刘兴亮认为，保护个人隐私没有错，但是如果这个人具有危险性，并且被嫌疑正在或者已经发生危害社会的时候，还去坚持对这个嫌疑人的信息的保护，显然是过头了。社会日益数字化，个人的隐私数据来源于生活，也影响生活。对于存储这些数据的公司而言，责任大于权力，而不是相反。数据能给谁看、不能给谁看、该如何保护、需要社会来制定规则，也需要公司来遵守规则。

区块链或破局
　　在多名行业人士看来，如果任由大数据的应用泛滥，行业乱象还会层出不穷。8月29日，中消协发布《APP个人信息泄露情况调查报告》称，APP已经成为个人信息泄露的重灾区，超八成受访者都曾因此受到推销电话或短信的骚扰。遇到过个人信息泄露情况的人数占比为85.2%，没有遇到过个人信息泄露情况的人数占比为14.8%。
　　对此，马慧民认为，大数据应用和个人信息采集仍然需要建立行业标准，医疗、教育、政务、水电煤、运营商等等行业的大数据，都没有明确的处理权，也不能进行流通实现价值。一定程度上，也导致了黑市数据交易的泛滥，也正是在这样的背景下，互联网公司在大数据应用上基本也是野蛮生长。“法律法规完善后，公司在个人数据保护上的成本会大大增加。大数据风险偏好弱，成本就会下降。”
　　在他看来，用区块链技术或能解决隐私滥用的问题。在采集、使用数据的过程中，都会有记录，也不能轻易篡改。同时，数据价值变现也能更加公开透明化，并有可能会解决归属权的问题。“行业的供需严重不匹配。比如医院看病的信息，这些数据理论上来说是属于我的，但是，医院不会把这个信息交还给我。恰恰这些数据都是人工智能或药企迫切需要的。总之，这就是博弈，未来，因为大量用户数据泄漏，风险会转移成产业发展的成本，90%以上的数据会被政府或者BAT等巨头垄断。”
　　无论是滴滴还是华住、Facebook，都是与用户密切相关的C端产业，用户的权益保护刻不容缓。人工智能、区块链等技术正在被用于隐私保护、公益等领域。蚂蚁金服副总裁、技术实验室负责人蒋国飞对21世纪经济报道记者表示，区块链的未来将是比AI影响更为广泛的技术。在数字时代，区块链可以说是“解决信任”最理想的技术方案。“它本身不是一个专门的技术，它有P2P网络、有很多节点、有密码学，还包括像一些共识的东西，是以前的技术集成。它更多的是比较好地实现了信任关系。”
　　不过，区块链技术的大规模落地还面临着短板。蒋国飞进一步透露，因为区块链目前还有很多待解决和突破的技术短板，比如分布式账本中的隐私保护问题，多链平台间的互通问题，在百级到千级节点广域网部署中的性能问题等等。更大的挑战则在技术之外，即让多方达成共识。
　　目前，区块链技术已经被广泛用于食品安全性溯源、公益善款去向、奶粉产地追踪等等。未来，区块链与大数据的结合，也将有可期待的空间。
　　（编辑：张伟贤）

源自：中国青年报

---

原文标题：《掌握用户信息越多 保护隐私的责任越大》

⊙作者：夏熊飞

　　8月28日，网络爆料称，华住集团旗下连锁酒店用户数据疑似发生泄露。从卖家发布的内容看，数据包含华住旗下汉庭、禧玥、桔子、宜必思等10余个品牌酒店的住客信息。泄露的信息包括华住官网注册资料、酒店入住登记的身份信息及酒店开房记录，住客姓名、手机号、邮箱、身份证号、登录账号密码等。卖家对约5亿条数据打包出售。当天下午，华住集团发声明称，已在内部迅速开展核查，并第一时间报警。
　　140G约5亿条数据信息，涉及华住旗下等10余个品牌酒店用户1.3亿人次，规模之大、范围之广、影响之深，令人震惊。尽管，华住并没有最终回应遭泄露的信息是否确属该集团，但从第三方安全机构以及媒体测试的情况来看，“数据真实性非常高”。
　　酒店用户信息遭到泄露，已然不是新鲜事，或许体量比不上此次，但达到一定规模的信息泄露事件，近年也发生过多起。2013年10月，国内安全漏洞监测平台“乌云网”披露，自称是中国最大的酒店数字客房服务商浙江慧达驿站公司，因为安全漏洞问题，使与其有合作关系的大批酒店的开房记录在网上泄露，涉4500家酒店22万条个人信息。2015年2月，喜达屋等7家知名酒店被曝开房记录泄露，每家酒店泄露的数据量都达千万条以上。其他林林总总小范围内的酒店用户信息泄露事件，也不时被媒体曝光。
　　在互联网时代，为了更方便快捷地入住酒店，用户必须得让渡出部分个人信息与隐私，这其中有管理部门实名制的要求，但也存在部分酒店为了一己私利而过度索要客户信息的情况。对用户信息掌握越全面，越能进行精准营销，在大数据时代，精准的用户信息可谓含金量颇高的富矿。
　　但是，对于用户信息，却不能只收集不保护，只利用却全然不顾用户信息的安全性。索要用户信息成本较低，但要做好海量信息的安全保障工作，需要很高的成本，这也是酒店方面不愿意为保障用户信息投入太多的根源所在。而投入的不足，就导致了信息泄露事件频繁发生。
　　就此次疑似华住集团旗下连锁酒店用户信息泄露事件而言，尽管尚不确定泄露源头是内部还是遭遇黑客攻击，但用户信息安全保护方面存在漏洞是显而易见的。如此体量的信息遭泄露，不仅是对该集团信誉的极大消耗，更有可能引发更多的次生灾害，如用户的人身财产安全遭受损失，用户的隐私遭到侵犯等。所以，华住集团必须高度重视此次危机，加以彻查，无论是哪个环节出了问题，都不能回避自身责任，而应该主动加以整改，并出台详细且有针对性的善后措施。
　　这样的整改必须要是真整真改，而不是为了应付舆情做表面文章，用所谓的公关技巧来缓解舆情。在这方面，滴滴的教训可谓深刻，整改没落到实处，导致乘客被害事件再发，后果是滴滴顺风车无限期下线。但愿华住集团能引以为鉴，莫重蹈覆辙。
　　确保酒店用户信息的安全，除了企业要履行好自身职责之外，管理部门也该加把力。一方面是通过加强事前管理、事中巡查、事后处罚等措施，帮助酒店方面压实主体责任；另一方面，要厘清酒店索要用户信息的边界，防止过度索要用户信息成为通行的潜规则。
　　作为信息泄露受害者的广大酒店用户，也一定要提高信息的自我保护意识。在注册会员、办理入住登记时，一定要仔细查看相关条款，避免个人信息被酒店方面过度索要。在遭遇信息泄露事件时，要敢于维权。如果每每发生用户信息泄露事件，酒店只是在短时间经受舆论的质疑，却不会面临大规模用户的索赔与用脚投票，它们必然缺乏提升保障用户个人信息安全的压力与动力。如此，信息泄露事件必然还会再次上演。