AI安防企业被曝数据泄露敲响人脸识别安全警钟

2019 年 2 月 28 日 黑白之道

日前，国内一家专注安防领域的人工智能企业被曝发生大规模数据泄露事件，超过250万人的数据可被获取，有680万条数据疑似泄露，包括身份证信息、人脸识别图像及图像拍摄地点等。

据微博安全应急响应中心及其他平台的消息，这家企业为深圳市深网视界科技有限公司(以下简称深网视界)，成立于2015年，由上市公司东方网力科技股份有限公司(以下简称东方网力)控股，后者主营业务为视频监控。人脸识别技术是深网视界的主要研发方向，也是其与不少地方的公安部门、大型活动开展人工智能安防合作的基础。

被曝发生数据泄露事件后，深网视界官方网站已无法打开。中国青年报·中青在线记者致电深网视界希望核实此次事件，有工作人员称此事正在调查中。

在人工智能逐渐发展的今天，人脸识别技术正逐步应用到生活中。有的地方通过人脸识别实现门禁管理，还有一些地方已经启用“刷脸执法”，对闯红灯者进行人脸识别，还有不少手机、App也可实现人脸识别功能。不过，也有不少人疑虑，这项技术若被滥用，会否不利于保护个人隐私。

此次深网视界疑似泄露数据事件发生后，一个更为棘手的问题摆在了公众面前：该如何看待人脸识别技术及相关企业的安全性？一家以安防为主业，以人工智能为基础的科技企业并未防止数据泄露事件的发生，到底是哪个环节出了问题？

“AI+安防”企业防不住数据泄露

正如许多数据泄露事件一样，深网视界疑似大规模泄露数据的消息，并不是来自企业本身，而是来自外部的网络安全界。

2月中旬，有网络安全研究人士发现，提供人脸检测和人群分析服务的中国科技公司SenseNets(深网视界)的人脸识别数据库缺乏密码保护，导致大规模的数据泄露。据称，该数据库包含了超过256万用户的记录，包括身份证号码、地址、出生日期、照片、工作单位，能够识别用户身份的位置信息等高度敏感的隐私信息。

在公开介绍中，深网视界由东方网力和人工智能领域“独角兽企业”商汤科技集团合资成立，瞄准“AI+安防”市场。在具体合作中，商汤科技、香港中文大学研发团队提供算法支撑，东方网力负责做面向安防行业产品的深度开发。数据泄露事件发生在这样一家AI安防企业身上，确实让许多网络安全界人士惊讶不已。

2015年成立之初，东方网力与商汤科技各自持有深网视界51%和49%的股权。但两方的合作并未长久，商汤科技在逐步减资后，于2018年4月从深网视界撤资，东方网力由此成为深网视界的最大股东，公开资料显示，东方网力副总裁万定锐也是深网视界总经理。而东方网力相关公告显示，深网视界2018年上半年并未盈利，净利润为-569.25万元，2017年，其净利润为-2042.95万元。

中国青年报·中青在线记者致电深网视界，工作人员告知，此事正在调查中。之后记者又致电东方网力核实此次事件，但截至发稿前，尚未获得回复。商汤科技则向中国青年报·中青在线记者表示，深网视界目前与商汤科技已没有关联，该公司涉及数据泄漏的产品也并非由商汤科技提供，至于从深网视界撤资，主要是商汤科技自身的业务规划调整所致。

虽然股权变动有些周折，但深网视界在人脸识别技术的市场应用方面，已经颇有积累。拉勾网信息显示，深网视界主要有2个重要产品：人脸识别布控系统、智能人群分析系统，前者可实现在无人监控操作、无需人员配合的情况下，快速抓取并识别所有监控中出现的人脸，实时与数据库中目标人脸名单匹配；后者针对人口密集场景对人群状态进行有效监控，并及时采取有效干预措施，可降低事故发生率，对人群异常行为及时预警。

国内安防行业的权威杂志《中国安防》在2017年12月刊发了一篇对深网视界的报道。该公司总经理万定锐在报道中表示，2015年以来，该公司与江苏省连云港市公安局合作，承建了该市的人脸识别实战系统，包括分布全市各处的人脸动态布控系统、全市集中的大库检索应用，以及重点区域、重大活动的人群安全防控应用。此外，该公司也在广东陆丰、贵州都匀等地建设了人脸识别动态布控系统。

内部漏洞甚于黑客窃取，如何守好“最后一道防线”

随着网络服务提供者搜集、存储的用户个人信息越来越多，数据泄露事件也频频发生。从华住酒店集团1.3亿消费者的个人信息在暗网售卖，到Facebook用户数据泄露，再到趣店被曝数百万学生数据疑似泄露……涉及隐私的用户数据总是被不法分子盯上，而搜集、存储、使用了大量用户数据的企业则显得十分被动和无力。

安全情报提供商Risk Based Security(RBS)发布的一份报告显示，2018年全球公开披露的超过6500起数据泄露事件中，有三分之二来自商业部门，有12起数据泄露事件涉及人数超过1亿甚至更多。导致数据泄露的常见原因中，黑客攻击占据绝大多数，但因内部漏洞而导致数据泄露的事件记录远远超过黑客窃取。

2017年起施行的《网络安全法》明确提出了“谁收集、谁负责”的原则，要求隐私信息的收集方承担起保障数据安全的义务，集中存储用户隐私信息的数据库就显得尤为重要。而在人脸识别技术逐渐扩展应用领域，甚至在消费、借贷等金融领域逐渐落地的今天，许多企业并未做好相应的安全保障。

重庆大学国家网络空间安全与大数据法治战略研究院院长齐爱民表示，企业、机构数据库安防力量薄弱、责任意识淡薄以及数据市场需求旺盛等因素为大规模数据泄露埋下伏笔。360互联网安全中心发布的《WannaCry一周年勒索软件威胁形势分析报告》显示，2017年勒索病毒爆发前夕，各机构有58天的时间可以进行补丁升级等安全布防工作，但一些机构错误认为自身隔离措施足够安全、打补丁太麻烦，致使其最终遭受勒索病毒攻击。

其次，数据流转程序较多，部分企业责任意识淡薄，用户数据倒卖在我国已形成相对成熟的黑灰产业，打包出售用户数据的情况在黑市中随处可见。对于企业而言，数据安全保护部门只能作为成本支出部门，而非盈利部门。

齐爱民认为，外部监管尚未有效落实也是一个重要原因，我国个人信息保护制度尚不完善，执法权责并不清晰，尚未形成统一有效的监管机制，很多数据泄露事件也在人们关注度下降后不了了之。大部分机构在涉嫌数据泄露后以“一纸声明”的形式撇清关系，后续调查结果也未向公众披露，间接导致行业内用户数据保护的氛围恶化。

公安部第三研究所信息网络安全法律研究中心主任黄道丽则认为，在数据泄露事件频发的今天，关注个人信息的关联影响比单纯地确定“敏感”程度更为紧迫。例如，深网视界本次疑似泄露的人脸识别数据如果与以往泄露的隐私信息相关联，或可达到“用户画像”的程度，将全方位暴露公民个人日常生活，产生精准营销、网络诈骗等风险。

黄道丽指出，人脸识别和指纹识别等属于生物特征，而非密码技术，单独使用无法实现保护个人信息的作用。网络企业在追求便捷性的同时，应该对这类生物特征采取必要的加密措施，“这恰是体现厂商市场地位和领先性的方面”。

在DCCI互联网数据中心主任胡延平看来，人脸、指纹、虹膜等用户生物信息是个人信息安全“一定不能出问题的最后一道防线”。面对安全防护水平较低、隐私保护力量薄弱的现实，他建议用户小心使用这些生物信息，“在网上，这些信息能不提交就不提交”，以免过多的隐私信息进入缺乏安全保障的数据库后台。

文章来源：中国青年报