8月28日，“暗網(wǎng)”流出有人售賣華住旗下所有酒店數(shù)據(jù)的消息引起軒然大波，隨后企業(yè)展開自查，警方和專業(yè)公司介入調(diào)查。
華住集團于9月17日對“數(shù)據(jù)疑遭泄露”事件發(fā)布的最新調(diào)查進展公告稱，根據(jù)公安機關消息，目前案件已告破，在“暗網(wǎng)”上試圖兜售數(shù)據(jù)的犯罪嫌疑人已經(jīng)被緝拿歸案，其企圖之交易未果。
●事件回顧：數(shù)億條個人信息疑遭泄露
8月28日，威脅獵人監(jiān)測到“暗網(wǎng)”上出現(xiàn)了華住旗下多個連鎖酒店開房信息數(shù)據(jù)的交易行為，該事件涉及到的酒店有漢庭、美爵、禧玥、桔子、全季、星程、宜必思、海友等，有1.23億條注冊資料、1.3億條入住身份信息和2.4億條開房記錄在黑市以8個比特幣(約等于人民幣35萬元)的價格公開叫賣。
事件發(fā)生后，華住方面于當日下午在官方微博中發(fā)布聲明表示已在內(nèi)部展開核查并第一時間報警，警方和專業(yè)公司隨即介入調(diào)查。該聲明發(fā)布兩小時后，華住再次強調(diào)，網(wǎng)絡傳言兜售的“相關個人信息”是否屬實、是否來源華住，正在進行調(diào)查核實。
8月28日19時，上海市公安局長寧分局發(fā)布警情通報，稱下午接到華住集團運營負責人報案，警方立即介入調(diào)查。警方提醒，掌握公民個人信息的企事業(yè)單位，應嚴格落實主體責任，加大信息安全的防護力度。
8月29日，《每日經(jīng)濟新聞》記者打開華住酒店客戶端，頁面彈出一份《華住集團會員協(xié)議及隱私聲明》，上面顯示根據(jù)最新的法律要求，更新了《華住會員用戶協(xié)議》，并發(fā)布了《華住隱私聲明》，為說明華住相關服務中如何收集、使用和存儲和保護用戶的個人信息，并要求用戶重新選擇“同意”或者“不同意”。
據(jù)華住集團2018Q2財報，截至2018年6月30日，華住在全國384座城市中有3903家開業(yè)酒店，僅第二季度新增酒店就達147家，華住酒店規(guī)模持續(xù)擴張。
●最新進展：嫌疑人已被捕
9月17日21時，華住公布了關于酒店信息涉嫌泄露調(diào)查的最新進展。公告表示，為了配合公安偵查，在過去的數(shù)周內(nèi)，華住集團一直就調(diào)查進展保持緘默。根據(jù)公安機關的最新消息，目前案件已告破，在“暗網(wǎng)”上試圖兜售數(shù)據(jù)的犯罪嫌疑人已經(jīng)被緝拿歸案，其企圖之交易未果。
華住方面表示，此前犯罪嫌疑人還利用輿論聲浪對華住進行敲詐勒索，未遂。目前，公安機關在進一步的偵辦中。
而關于犯罪嫌疑人在“暗網(wǎng)”上宣稱的數(shù)據(jù)詳情是否真實，是否存在數(shù)據(jù)泄露等各界關心的問題，華住表示根據(jù)中國法律和公安機關的要求，案件偵查過程中不得有更多的信息披露，需要等待案件偵辦完成后才能正式發(fā)布。
事實上，華住已經(jīng)不是第一次發(fā)生類似事件。2013年，華住旗下漢庭等酒店就出現(xiàn)過數(shù)據(jù)泄露，原因是漢庭酒店網(wǎng)絡提供商所使用的Wi-Fi管理和認證管理系統(tǒng)存在漏洞，數(shù)據(jù)傳輸過程并未加密，導致數(shù)據(jù)泄漏。
在酒店行業(yè)，受到客戶數(shù)據(jù)泄露頑疾困擾的并非華住一家。洲際酒店集團(IHG)去年2月在北美地區(qū)就發(fā)生過服務器遭到惡意軟件入侵造成數(shù)據(jù)泄露事件，涉及多達1200家酒店。在洲際之前，萬豪、凱悅、希爾頓、喜達屋等集團也曾發(fā)生過類似情況。凱悅曾透露他們在全球約有250家酒店遭遇過用戶支付卡信息泄露，其中包括22家在中國的凱悅酒店。
華美酒店顧問機構集團首席知識官趙煥焱對《每日經(jīng)濟新聞》記者表示，中外酒店集團都有發(fā)生此類情況，酒店集團必須把提高信息技術水平作為核心競爭力，不斷提高防范水平。
●業(yè)內(nèi)觀點：信息保護亟需行業(yè)標準
網(wǎng)絡信息安全成漏洞是酒店行業(yè)的頑疾，時時防范卻又時有發(fā)生。業(yè)內(nèi)人士表示，大數(shù)據(jù)時代，相比互聯(lián)網(wǎng)企業(yè)，酒店企業(yè)在數(shù)據(jù)信息安全技術方面并不具優(yōu)勢，且酒店經(jīng)營管理涉及各類操作系統(tǒng)，開放的會員接口較多，數(shù)據(jù)庫有大量高價值客戶信息，這也使得酒店企業(yè)頻頻成為黑客的目標。
北京盈科(杭州)律師事務所律師方超強告訴《每日經(jīng)濟新聞》記者，華住事件需要從兩方面來考慮，首先對于華住集團來說，信息泄露存在不同的情況，需要根據(jù)泄露原因判別酒店是否應承擔相應責任;其次，從消費者維權的角度來看，在是否受害的舉證上尚有一定困難，而在追責過程中誰承擔責任也需要分而論之。
方超強進一步表示，有關信息泄露的案件一旦立案，責任認定的關鍵在于企業(yè)內(nèi)部管理和計算機安全保護上是否到位。
“如果出現(xiàn)離職員工泄露數(shù)據(jù)或者在職員工內(nèi)外勾結的情況，則屬于酒店內(nèi)部管理存在漏洞，需要承擔相應責任。”方超強解釋稱，另一種情況，當遇到酒店的信息管理系統(tǒng)出現(xiàn)漏洞被黑客入侵時，如果認定企業(yè)沒有給予與其規(guī)模相匹配的保護則需要承擔相應責任，反之企業(yè)也是受害方。“像華住這樣擁有龐大體量個人信息的集團企業(yè)，應該具備最高級別的安全防護等級。”
針對酒店顧客信息屢遭泄露的現(xiàn)象，方超強表示，互聯(lián)網(wǎng)信息泄露或許難以完全避免，但從法規(guī)上可以做到更加細致化。企業(yè)的信息安全投入是必要的，在此基礎上，通過引導企業(yè)建立不同層級的安全防護體系，行業(yè)標準化后進而匹配相應的法律法規(guī)，至少在責任認定上變得更為清晰，這樣一方面能大大降低泄露的風險提高防范的成功率，另一方面也可以保障受害企業(yè)自身權益。
