FB群组功能被曝存安全漏洞 危险程度超过剑桥滥用数据丑闻

　　3月2日消息，据外媒报道，对于那些患上高度敏感疾病的人，比如艾滋病或者阿片成瘾，他们可能都会竭力保守秘密。同时，这些人想要得到些帮助或与志同道合的人交谈，于是在Facebook上诞生了为有健康问题的人建立的支持群组，让人们可以坦率地表达自己的想法。 但是，如果当我们认为自己处于保密Facebook群里，但实际上个人隐私却无法得到安全保护时，那会怎么样?如果营销人员可以很容易地了解这些人的诊断以及他们的姓名、电子邮件地址、位置和其他识别信息，情况会怎样?

　　科技项目经理、乳腺癌检测倡导者安德里亚·唐宁(Andrea Downing)，在过去的两年里始终试图向人们警告这种令人担忧的前景。唐宁是Facebook私人群组的管理员，该群组帮助那些基因突变导致她们陷入乳腺癌和卵巢癌风险的女性。2018年，她开始担心个人数据泄露，比如影响多达8700万Facebook用户的剑桥分析公司(Cambridge Analytica)滥用数据丑闻，这种情况可能会发生在医疗领域。

　　唐宁回忆自己当初的想法时说：“这个领域的问题比报道的要多得多，我一直期待其他人会站出来，但没有人这样做。”唐宁认为，她所在的BRCA姐妹会中的女性也可能面临类似的风险，她们分享了非常敏感的信息，包括乳房切除手术的照片。因为他们的群在Facebook上被归类为封闭群组，所以成员的个人信息应该只对其他成员可见。

　　唐宁打电话给名叫弗雷德·特罗特(Fred Trotter)的网络安全研究员，后者说他证实了她的怀疑。特罗特说，他在封闭的Facebook群组的隐私设置中发现了一个漏洞，允许开发人员、营销人员和其他人下载数千种疾病和症状的Facebook群组成员名单，从匿名酗酒者到性侵犯幸存者都有。

　　特罗特说，在没有更多信息的情况下，很难证明是否有第三方开发商利用了这个所谓的漏洞。他称：“在不到一个小时的时间里，我就掌握了非常私密的个人信息，可以用来针对这些女性。在某些情况下，她们甚至不会将这些信息告诉自己的丈夫。”

　　向FTC投诉FB漏洞

　　特罗特认为，唐宁担心的隐私泄露事件，规模“可能比剑桥分析公司丑闻大几个数量级”。在一次采访中，他说，因为这个漏洞会存在于所有被标记为“封闭”的Facebook群组中，它影响的人数将远远超过那起丑闻。在那起丑闻中，剑桥分析公司获取了数百万美国人的个人数据。

　　此外，特罗特指出，所谓的漏洞影响可能会更严重，因为医疗数据对公司的价值很高，而且恶意行为者将敏感信息用于非法目的的可能性很高。需要明确的是，特罗特与唐宁并没有指出第三方窃取和出售用户在Facebook上大规模分享的健康数据的具体确凿证据。但他们确实声称，拥有Facebook开发者账户的用户与特定医疗诊断相关的可识别信息可能在特定时间内被访问。

　　特罗特与唐宁仍然对此感到担忧，尽管他们表示，当Facebook改变其设置时，所谓的健康数据漏洞在2018年被修复。Facebook在2018年7月接受采访时表示：“我们最近对封闭式群组设置进行了修改，没有任何隐私漏洞。”但Facebook的的女发言人承认，在修复之前，网络开发者确实可以访问所有封闭群组的成员名单。

　　Facebook表示，仅仅是一个封闭的健康群组的成员并不构成健康披露风险，它正在投资于向用户提供关于群组隐私设置的更清晰信息，特别是关于健康群组的信息。不过，唐宁和特罗特已向联邦贸易委员会(FTC)提出申诉，辩称Facebook有义务保护健康群组的成员名单，而且它未能向用户披露这一所谓的漏洞。

　　如果FTC发现Facebook违反了其健康规定，投诉可能会让Facebook承担数十亿美元的潜在罚款。它还提出了令人担忧的问题，即用户在社交平台上的个人健康信息是否安全。

　　始于想帮助患癌女性

　　在某种程度上，唐宁成为健康隐私斗士的旅程始于许多年前。当时她才三岁，母亲被诊断出患有遗传性癌症。她说：“我最早的很多记忆都不知道我妈妈是否能存活下来。”幸运的是，她的母亲活了下来。

　　2004年，唐宁从德克萨斯大学奥斯汀分校毕业后搬到了旧金山，并在云计算服务公司Salesforce找到了工作。当她25岁的时候，她得知自己的BRCA1基因发生了突变，这表明她患乳腺癌的可能性高达87%，患卵巢癌的可能性高达60%。这个消息使她大吃一惊。突然，她发现自己正走向与曾祖母、祖母以及母亲相同的命运，她们都曾患癌。

　　唐宁转向互联网寻找其他具有相同基因突变的人。2012年，她成为Facebook上名为BRCA姐妹会的群组的管理员，主持了一个论坛，为1万多名被诊断出患有危及生命的BRCA突变风险的女性提供建议和鼓励。在那些亲密的社区里，女性们分享她们的痛苦，交换可以拯救生命的信息。唐宁说：“当医疗体系对我不起作用时，这些人成了我的精神支柱。我们有共同的身份，这是我重要的一部分。”

　　但在2018年初，令人不安的消息浮出水面，剑桥分析公司在2016年总统竞选期间利用从数百万Facebook用户那里窃取的数据，制作具有高度针对性的政治广告。丑闻曝光后，唐宁开始质疑她所在的群组是否真的是个安全的空间。唐宁发现，可以使用浏览器扩展下载她所在封闭Facebook群组中所有女性的姓名、雇主、地点和电子邮件地址。自那以后，该浏览器扩展已停止。

　　然后，唐宁打电话给她在生物技术圈子里认识的特罗特，要求利用他的专业知识给予帮助。特罗特创立了名为CareSet Systems的医疗技术公司，并为空军做过网络安全工作。特罗特称，他也可以很容易地下载BRCA姐妹会的成员名单，以及唐宁找到的相同的识别信息。这意味着Facebook上每个封闭群组的成员(不仅仅是健康群组)的隐私都可能受到攻击。

　　特罗特说：“我以出售医疗数据为生。如果这是合乎道德的，我早就这么做了。”唐宁表示：“任何未经同意的人都可以盗取这些名单。”他担心营销人员和保险公司可能会利用用户在他们认为是安全的地方发布的个人健康信息。她和特罗特还担心潜在的危险可能会超越医疗领域。例如，在一个同性恋被定为刑事犯罪的国家，政府可能会识别封闭的LGBT Facebook群组成员。

　　向FB示警并提交投诉

　　2018年5月29日，唐宁和特罗特向Facebook提交了一份长达30页的漏洞报告。他们写道：“我们在Facebook的群组系统中发现了一个漏洞。这个漏洞可能会被利用，导致生命损失。”他们详细说明了恶意行为者可能会以多种方式利用这些信息，来潜在地勒索那些极力保守秘密的人，或者仇恨团体可能会以受到迫害的宗教少数群体为目标。

　　特罗特指出，他很惊讶网络安全专家没有更早地发现这个漏洞。他说：“有许多人在这个(领域)拥有正式认证，但他们已经错过了十多年。”在最初的一些怀疑之后，特罗特说，他现在已经花了无数个周末与唐宁一起确认问题并寻求解决方案。但Facebook回复了他们的提供的报告，并辩称唐宁的发现并不是一个漏洞。

　　Facebook的代表告诉他们：“我们不认为这是产品中的隐私或安全问题。那些担心自己在群组中的成员身份被其他人看到的人可以干脆不使用群组产品，或者可以将他们的使用限制在秘密群组中。有些人可能有合法的理由想要创建具有与我们今天提供的功能不同的功能集的群组。如果人们对自己在一个群体中的成员隐私感到困惑，这是一种不幸的情况，我们致力于寻找减少此类事件发生的方法。”

　　六个月后，特罗特和名叫大卫·哈洛(David Harlow)的律师向FBC提交了一份43页的起诉书，指控Facebook没有妥善保护其私人群组中的健康数据。共同签署诉状的人还包括哈佛大学生物医学信息学高级讲师马特·梅(Matt May)，他曾担任奥巴马总统的“精准医学”计划顾问，他有个患有罕见遗传病的儿子。

　　在2018年12月的起诉书中，这些人声称，Facebook有义务披露其封闭健康群组涉嫌侵犯个人健康信息的行为，但其未能做到这一点。他们认为，根据FTC的定义，这样的Facebook群组构成了“个人健康记录”，因此应该根据严格的保密要求进行监管。起诉书承认，Facebook最近对其平台进行的某些改变已经解决了一些所谓的隐私缺陷，但这些改变并没有完全解决问题。

　　起诉书还指控Facebook允许第三方访问私人健康社区的成员名单，在某些情况下，这一举动“与Facebook用户做出的具体隐私决定背道而驰”。它还声称Facebook违反了FTC的规定，以“不公平、欺骗性和误导性的方式”解释隐私政策以分组用户。

　　Facebook尚未对特罗特的FTC投诉做出正式回应，Facebook发言人拒绝了有关该投诉的置评请求。FTC的发言人称，该机构不能对其调查发表评论，并称FTC对在长达一年的调查后与Facebook达成的和解协议感到“满意”，但如果发现有关新违规行为的新信息，这项协议不会阻止他们继续调查并采取适当行动。

　　FB鼓励其用户加入群组

　　Facebook首席执行官马克·扎克伯格(Mark Zuckerberg)长期奉行的战略之一是，吸引数亿用户加入该平台所称的“有意义”的群组，这些群组围绕共同的经历或兴趣建立起来。这些可能是为新父母、爱狗人士或有健康问题的人准备的。扎克伯格在2017年Facebook社区峰会上发表演讲时表示：“如果你被诊断出患有一种罕见疾病，你可以加入某个群组，与世界各地患有这种疾病的人联系，这样你就不会孤军奋战。”

　　不难想象，来自Facebook健康群组的支持将如何拯救生命。假设有人被诊断出患有一种罕见的癌症，可以加入一个Facebook健康群组来获取更多信息。另一位成员可以向他介绍一项甚至连医生都不知道的尖端临床试验。

　　但是，那些在Facebook上与其他患者的对话真的是私人的吗?Facebook始终将其用户可以在该平台上加入的群组贴上标签，并以三个隐私等级命名：开放、封闭和秘密。任何人都可以看到或加入“开放”群组。Facebook的用户可以看到一个“封闭”的群组，但在没有邀请的情况下不能看到其中的帖子或加入。在用户接受管理员的邀请加入之前，他们根本看不到“秘密”群组。

　　Facebook健康战略负责人罗尼·齐格博士(Roni Zeiger)在接受采访时表示，该平台专注于为其健康群组添加隐私功能。他不愿透露到底有多少患者加入了Facebook上的封闭或秘密健康群组，但他表示，每天都有“数百万人”使用该平台与“数以万计”的公共和私人健康群组中的其他人联系。

　　齐格说：“我们一直在与会员和管理员以及医疗保健服务提供者交谈，以找出如何更好地支持这些群体。人们的共识是，如果有更好的隐私设置，他们可以得到更好的支持。”他补充说，Facebook Health的大部分工作都受到唐宁和其他人提供的“有用”反馈的推动。他还强调了Facebook今年春天宣布的一项调整，该调整将允许健康群组中的用户联系群组管理员，这样她就可以匿名向该群组提问。

　　然而，齐格拒绝回答有关所谓漏洞的具体问题。相反，Facebook的一位女发言人强调Facebook管理自动数据收集或“抓取”的服务条款。Facebook的政策禁止开发者(除非事先获得该平台的批准)进行数据抓取，并规定第三方实体不允许出售他们通过这种方式获得的任何数据。

　　FB采取措施加强用户隐私控制

　　唐宁说，目前还不清楚BRCA姐妹会或其他Facebook健康群组的数据是否被收购并出售给外部各方。Facebook没有回应有关这些数据是否被出售的置评请求。

　　2018年4月，Facebook限制了群组对应用编程接口(API)的访问，这限制了外部开发人员为该群组构建软件的权限。作为这些变化的一部分，应用程序不能再访问群组的成员列表，需要Facebook和管理员的许可才能访问封闭和秘密群组的内容。这意味着唐宁和特罗特发现的洞已经被有效地堵住了。

　　Facebook还在2018年改变了封闭群组的隐私设置，包括允许成员超过5000人的群将其设置从“秘密”更改为“封闭”。Facebook表示，这些变化提高了这些群组成员的隐私。

　　但据FTC网站称，Facebook没有遵循数据泄露的联邦报告程序，该程序要求收集人们健康信息的实体在发现数据泄露后60天内通知FTC、所有受影响的美国人，在某些情况下还包括媒体。如果一家公司未能做到这一点，FTC的规则规定，每次违规最高可处以43280美元的罚款。

　　就Facebook而言，它并不承认群组成员身份构成了一种健康披露。如果发生入侵，就会触发通FTC的需要。前FDA首席信息官、哈佛大学教员埃里克·佩拉克斯利斯(Eric Perakslis)表示，他认为唐宁和特罗特的担忧是有道理的。他说：“当唐宁和其他人登录Facebook的时候，会得到明显的前期好处。直到后来，大多数人才意识到他们可能会把自己置于危险之中。”

　　对于那些生病并拼命寻找答案和安慰的人来说，在线社交网络就像是一条重要的生命线。佩拉克斯利斯说：“如果你的孩子生病了，你实际上并不在意自己是否被黑客攻击。但由于这些健康群组可能容易受到攻击，对Facebook来说，最明智的做法可能是简单地放弃医疗群组。这将是降低风险的一种即时方式，毕竟任何电视网都可以推出其他节目。”

　　但Facebook受到越来越多的抨击。2019年4月，扎克伯格宣布Facebook将重新强调隐私原则，包括加密、安全数据存储和私人互动。他说：“坦率地说，我知道我们现在在隐私方面的声誉并不是最好的，但我致力于做好这件事。”但到2019年中期，似乎每个人都在Facebook上加大对隐私问题的关注。

　　2019年7月，根据剑桥分析公司滥用数据丑闻曝光的情况，FTC对Facebook处以50亿美元罚款。该机构表示，这笔罚款“解决了FTC在2019年6月12日之前已知的所有消费者保护索赔”，是该监管机构历史上最大的一笔罚款。10月份，纽约州总检察长利蒂夏·詹姆斯(Letitia James)宣布，47个州的总检察长支持对Facebook进行多州反垄断调查，声称该公司“可能将消费者数据置于风险之中”。

　　10月15日，在电子隐私信息中心(Electronic Privacy Information Center)起诉反对FTC的和解协议“不够充分”后，倡导消费者利益的公共利益律师事务所公众公民诉讼集团(Public Citizen Litigation Group)援引唐宁和特罗特的指控提交了一份友好诉状，里面称：“对健康或类似敏感数据的利用可能会将消费者置于侵犯隐私和其他伤害的风险中，营销者和诈骗者可以利用病人和照顾者，利用他们的弱点牟利或进行骚扰。”

　　在案情摘要中，律师们辩称，针对Facebook的50亿美元罚款可能依然不够，这没有考虑到发生的所有违规行为。在一份回应文件中，FTC辩称，50亿美元的和解协议确实解决了Facebook可能犯下的与健康相关的失误，并要求社交媒体平台为涉及健康信息的新产品或修改后的产品或服务“准备隐私审查声明”。

　　11月5日，Facebook披露，它已经发现并修复了一个漏洞，这个问题允许其一些应用合作伙伴继续访问群组成员的信息，比如姓名和头像，即使在2018年4月做出改变之后也是如此。唐宁和特罗特表示，这个问题与他们发现的所谓漏洞相似，但并不完全相同。

　　Facebook平台合作主管康斯坦丁诺斯·帕帕米尔蒂亚迪斯(Konstantinos Papamiltiadis)称：“尽管我们没有看到滥用的证据，但我们将要求他们删除可能保留的任何群组成员数据，我们将进行审计以确认这些数据已被删除。”

　　Facebook表示，该指令发给了“大约100家可能访问过这些信息的合作伙伴”，并指出实际获得这些数据的合作伙伴数量较少。第二天，加州总检察长泽维尔·贝塞拉(Xavier Becera)宣布，他的办公室正在调查Facebook侵犯隐私的行为。

　　特罗特说，这些类型的行动对于控制一家历来重视快速增长而不是用户隐私的公司是必要的。他指出：“Facebook只有在受到公开批评后才会限制隐私。一旦发生灾难，他们就会通过道歉了事儿。”

　　打造后FB时代未来

　　如今，唐宁与身为科学家的丈夫以及他们的4岁儿子住在旧金山湾区。在过去的一年半里，她选择退出硅谷的全职带薪工作，转而将所有精力集中在成立Light Collective上，这是一个非营利性组织，帮助同行支持团体在互联网上建立安全的人际联系。

　　他们的最终目标是将她的健康组织BRCA姐妹会从Facebook上移除。但由于这个拥有1万多名成员的群组如此庞大，而Facebook又拥有强大的社交垄断地位，这几乎是一个不可能完成的壮举。这个群组十年的共同历史都被困在了这个平台上。

　　特罗特和唐宁发现的主要漏洞已被打了补丁。营销人员或其他人不再可能在Facebook上下载私人健康群组的成员名单，但不清楚第三方可能在多大程度上利用了所谓的漏洞。不过特罗特说，漏洞曾经存在的事实仍然是一个重大的担忧。

　　在2019年9月的一篇博客文章中，特罗特写了一篇关于Facebook群组成员其余隐私风险的更新。他认为，其中之一是，虽然非成员不能看到群组的成员名单，但私人群组的成员却可以。这可能会刺激恶意行为者使用虚假用户账户加入私人健康群组并获取数据。

　　Facebook拒绝对特罗特的最新指控置评。但在去年11月发布的一份报告中，Facebook表示，它致力于打击“寻求造成伤害”的虚假用户和账户，并发现“许多此类虚假账户被用于垃圾邮件活动，并有经济动机。”Facebook正在提高识别和屏蔽虚假账户的能力。

　　尽管如此，考虑到他们持续的担忧，唐宁及其团队认为他们别无选择，只能迁移到另一个更私密的平台上。11月初，BRCA姐妹会开始筹款，帮助他们构建后Facebook时代的未来。他们的目标是“宣布独立，保护隐私，并发展自主管理他们生成的数据和内容的权利。”

　　唐宁说，他们计划这样做的一种方式是建立一个“数据信托会”，类似于几个世纪以来公共土地和养老基金的管理方式。她希望BRCA姐妹会能利用这种方式从Facebook中分离出来，并为其他患者社区提供一个模式。她还称：“我们需要拥有自己数据的权利。重要的是要知道，我分享的东西是用来造福于自己的，而不是用来针对我的。”(腾讯科技审校/金鹿)