汽车经销商视角下的数据泄露与网络安全挑战

“在数字化时代，汽车行业不仅仅是机械工程的领域，还成为了大规模数据管理和网络连接的行业。然而，随着汽车变成“轮子上的计算机”，数据隐私和网络安全问题也变得日益突出。”

FTC的最新规定：汽车经销商的网络安全要求

       近期，美国联邦贸易委员会（FTC）发布了新规定，自2023年6月9日起，将汽车经销商纳入了Gramm-Leach-Bliley Safeguard Rule的范围。该规则的目的是要求金融机构采取措施，确保其拥有的消费者数据的安全。新的事实是，拥有5,000或更多潜在客户记录的汽车经销商现在被认为是“金融机构”。这一规定对经销商意味着什么？

        首先，他们必须指定一个合格的个人来监督信息安全计划。这个计划需要基于详细的风险评估，包括了解当前的安全状况。供应商必须实施控制措施以降低风险，并进行渗透测试来评估控制措施的有效性。此外，经销商需要确保与他们合作的第三方供应商也遵循安全最佳实践。

      这个规定的目的是确保消费者数据的安全，但对经销商而言，它带来了更多的合规压力。他们需要不断更新信息安全计划，以适应技术环境的变化，并确保向高层报告计划的状态。

从历史教训中汲取经验

    在此之前，无论是汽车经销商还是车企供应商已经经历了一系列严重的数据泄露事件。这些事件不仅暴露了车主的个人敏感信息，也对车企的声誉和业务造成了严重影响。

      2015年7月13日据《消费者报道》报道,一位网名叫做 “猫哥” 的黑客在网络上兜售车主信息。“猫哥” 提供了数据库截图。截图上显示了 7 个城市的 15 个订单信息,具体包括了车主姓名、手机号码、意向购车型号。下单时间则集中在 2015 年 5 月 4 日晚 8 点以后,最新的订单信息则刚刚发生在 5 分钟之前。黑客 “猫哥” 提供的数据截屏显示,其后还有 540676 条信息,非重复的有 10 万条售前信息”。至于数据的来源,黑客“猫哥”给出的答案是 “太懒” —— 东风雪铁龙基本不管自己的后台,这是能轻易拿下数据的主要原因。

    2021年6月11日大众汽车集团330万名客户的数据遭泄露。泄露发生的原因是一家供应商在2019年8月至2021年5月期间将客户数据“未经保护”的暴露在互联网上。包括310万美国奥迪客户、16.3万加拿大奥迪客户和3300美国大众品牌客户的客户信息可能被泄露,包括姓名、邮件地址、电话和车牌号。还有9万名美国和加拿大的客户“更机密”的数据被泄露,其中包括获得贷款资格的信息以及社会保障号码等。

    2021年6月11日,一位供应商通知梅赛德斯-奔驰美国(MBUSA),告知梅赛德斯-奔驰客户和感兴趣的买家的敏感个人信息在一个云存储平台上被无意间获取。此次的数据包括2014年1月至2017年6月期间客户和潜在卖家在经销商和公司网站上输入的自报信用分数、驾驶执照和社会保险号码以及信用卡信息。奔驰评估了160万条客户记录,其中包括客户姓名、地址、电子邮件、电话号码和一些购买的车辆信息,以确定影响,此次数据泄露暴露了不到1000名梅赛德斯-奔驰客户和潜在买家的信用卡信息、社会安全号码和驾驶执照号码。

    2023年1月17日日产汽车北美公司正式向客户发送数据泄露通知,告知2022年因第三方服务供应商发生数据泄露事件,导致约17998名客户的信息受到影响。泄露的客户信息包括全名、出生日期和日产金融账户,不包含社交账号和信用卡信息。

    2023年5月12日日本丰田汽车公司12日承认,由于云平台系统的设置错误,其日本车主数据库在近10年间“门户大开”,约215万日本用户的车辆数据蒙受泄露风险。此次事件暴露了2012年1月2日至2023年4月17日期间,使用丰田 T-Coneect G-Link、G-Link Lite及G-BOOK服务的客户信息。

当今汽车数据隐私挑战

     如今，我们的汽车绝不是私人空间--它们是车轮上的隐私噩梦。       

    Mozilla的最新研究显示，全球知名汽车品牌--如雪佛兰、日产、丰田、起亚、奥迪、吉普、本田、大众等--正在收集你的个人数据，如你的基因信息和性活动。这种侵入性的信息收集是通过传感器、麦克风、摄像头以及您在车辆中使用的手机、应用程序和连接服务的网络收集的。汽车公司在人们进入汽车的那一刻就厚颜无耻地收集他们的个人信息。

 Mozilla审查的所有汽车品牌，按隐私程度从糟糕到最糟糕排名

    汽车经销商在汽车销售与服务中收集大量客户数据。从购车意向到车辆维护，数据似乎无处不在。但问题在于，这些数据不仅仅用于服务客户，还可能被用于其他目的。经销商可以从客户互动、连接的服务、车辆应用程序和第三方来源（如导航系统和音乐流媒体）中收集数据。这些数据范围广泛，包括车主的姓名、联系方式、车辆使用习惯、位置信息，甚至可能包括医疗信息和遗传信息。

    更令人担忧的是，经销商可以通过“推断”创建更多关于客户的信息，例如客户的智商、能力和兴趣等。这种数据的潜在滥用引发了隐私担忧，尤其是在数据泄露的情况下，这些敏感信息可能被泄露给不法分子。

结论

    汽车经销商在数字化时代面临巨大的数据泄露和网络安全挑战。FTC的新规定将合规标准提高到前所未有的高度，要求他们采取更多的安全措施来保护客户信息。在这个充满风险的环境中，保护客户数据已经变得至关重要。未来，这些行业参与者需要不断改进其信息安全计划，以适应不断变化的威胁，并确保客户数据的安全性。