中国电子商务研究中心评携程网瘫痪

■莫岱青

中国电子商务研究中心评携程网瘫痪

■莫岱青

一、事件概述

5月28日11时许，携程网瘫痪，网页版和手机APP均不能正常使用，携程网回复称是服务器遭到不明攻击所致，正在紧急恢复。

5月28日下午，携程官网在首页顶部挂出“携程网站暂时无法提供服务，正在紧急修复中，您可以访问：艺龙旅行网”的通知。5月28日17点开始，艺龙旅行首页网也无法正常访问，半小时后才恢复正常。

对于事故原因，网上在携程瘫痪事件发生不久之后，出现了内部员工离职报复、数据库被物理删除等传言。

5月28日22时45分，携程官方表示，经技术人员抢修，除个别业务外，携程官方网站及APP恢复正常，经过排查，数据没有丢失，预订数据也保存完整。

5月29日1时30分，携程官方表示，经技术排查，确认此次事件是由于员工错误操作导致，由于涉及的业务、应用及服务繁多，验证应用与服务之间的功能是否正常运营花了较长事件，携程官网及APP已与28日23时29分全面恢复正常。

二、相关背景

（一）相关事件：

携程“漏洞门”

2014年3月22日，乌云安全漏洞平台公布了关于“携程安全支付日历导致用户银行卡信息泄露”的相关信息。漏洞发现者指出，携程由于服务器未做到严格的安全配置，包括持卡人姓名、身份证号、持卡类别、卡号、CVV码等信息存在泄露可能，所有支付过程中的调试信息面临安全风险。该漏洞被曝出后，引发公众担忧。漏洞事件曝光后首个交易日，携程股价也一度下跌近10％。

支付宝“宕机”90分钟

2015年5月27日下午17时左右，支付宝出现在大规模故障。据多个地区的网友用户反映，支付宝账号无法登录，更无法进行转付账。与此同时，打开余额宝后，不能显示余额，只能显示网络无法链接。随后，支付宝在新浪微博回应称：由于杭州市萧山区某地光纤被挖断，造成目前少部分用户无法使用支付宝，运营商以及工程师正在修复。

（二）相关法律/法规

——《中华人民共和国刑法》第二百八十六条：

破坏计算机信息系统罪。违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。

——《网络交易管理办法》第十八条规定：

网络商品经营者、有关服务经营者及其工作人员对收集的消费者个人信息或者经营者商业秘密的数据信息必须严格保密，不得泄露、出售或者非法向他人提供。网络商品经营者、有关服务经营者应当采取技术措施和其他必要措施，确保信息安全，防止信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。

——《关于加强网络信息保护的决定》：

网络服务提供者和其他企业事业单位及其工作人员对在业务活动中收集的公民个人电子信息必须严格保密，不得泄露、篡改、毁损，不得出售或者非法向他人提供。

三、专家观点

为了更全面剖析携程此次事件带来的影响，中国电子商务研究中心分析师、特约研究员、全国知名电商律师特发表本点评，供参考。

（一）法律角度：

1、定罪量刑层面：

肇事者涉嫌刑事犯罪是否尽到安全保障义务成判定携程过错关键

——中国电子商务研究中心特约研究员、北京志霖律师事务所赵占领律师

无论是内部人员所为还是外部攻击，造成携程本次网络瘫痪的人员都涉嫌刑事犯罪。违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。

对于携程本次瘫痪造成用户损失以及后续可能造成的信息丢失或信息泄露问题，首先，携程与用户之间通过注册协议成立服务合同关系，携程有义务采取必要的安全和技术措施保障服务和用户的信息安全。如果本次事故是内部人员所为，说明携程网内部存在管理问题，没有尽到安全管理责任，应承担相应的民事责任，赔偿用户损失。

此外，如果本次事故是外部攻击造成，需要看携程方面是否采取了基本的技术措施来保障信息的安全，有没有尽到安全保障义务，如果是由于携程方面存在安全和技术漏洞，携程需要承担相应的法律责任。如果携程在现有技术条件下已经尽到安全保障义务，但是仍被攻击，则携程方面不存在过错，不需要赔偿用户。

2、法律、法规完善层面：

网络安全成互联网时代关键点：法律不可缺位监管急需加强

——中国电子商务研究中心特约研究员、北京盈科（杭州）律师事务所高级合伙人吴旭华律师

携程数据因被删而瘫痪，支付宝因为施工挖断电缆而停运，大数据、云时代遇到简单的问题，最终却网络和信息都极其脆弱地失联了。这显示了网络安全在互联网时代至关重要，无论是技术上的安全还是法律规范上的保障，都缺一不可。

虽然网络的特性是去中心化，但是信息存储必须通过一定的物理方式进行，因此去中心化的网络形态反而成了黑客们自由驰骋、肆意破坏的挡箭牌。这在过程中，法律不能缺位，而且更加应当加强，尤其是目前网络监管侧重于内容，对技术性破坏囿于技术水平等因素尚无法进行全面惩处。

此次携程数据库，记录了大量的客户信息，而支付宝更为严重，直接涉及到货币金融（好在是物理性断网而非数据入侵）。因此，国家有必要进一步加强立法打击黑客等物理性破坏网络的行为，保障网络安全及用户权益。

3、法律维权层面：

法律约束力有限数据安全维权难胜诉

——中国电子商务研究中心特约研究员、辽宁亚太律师事务所董毅智律师

究竟该谁为用户数据安全负责？按照现行法律，如果用户信息泄露，企业是需要承担一定的赔偿责任的。因为公司与用户之间具备合同关系，有保障用户信息安全的义务。如果本次事故是内部人员所为，说明携程网内部存在管理问题，没有尽到安全管理责任，应承担相应的民事责任，赔偿用户损失。如果本次事故是外部攻击造成，需要具体分析携程方面是否有采取基本的技术措施保障信息的安全来判定携程是否存在过错。

其中一个重要的问题就是，当企业发现数据泄露后做了什么，是否第一时间发出警报并采取措施直接体现了当事公司是否尽到了相关责任。在类似事件中，一些企业往往担心自身名誉受损，对数据泄露抱着遮遮掩掩的态度，这种心态正是网络攻击者所期望的局面，也是攻击者有恃无恐的原因之一。

按照美国的法律，企业发生一次信息泄露事件就可能被罚得倾家荡产。根据我国法律对用户隐私的侵权行为约束力有限，用户维权、寻求民事赔偿胜诉率不大，对损失评估难以确定金额，所以想要对隐私泄露的责任人追究还是非常困难的。虽然大规模信息泄露、数据安全事件频出，却从未见到企业负责人被问责。

（二）行业角度：

互联网发展背离基础设施建设安全维护意识缺乏致事故频发

——中国电子商务研究中心特约研究员王吉伟

此次携程以及支付宝安全事件，一方面暴露了中国互联网安全的短板，互联网安全不只是服务器软环境上的防黑、防毒、防DDOS攻击等手段，硬件安全同样重要。这应该引起广大互联网企业以及通讯服务商企业的重视，应该有备用的应急处理措施，否则，一旦机房、通讯电缆等基础通讯设备遭到破坏，就会让整个企业受到影响，所造成的损失是不可估量的。事实上，这是互联网行业蓬勃发展与基础设施建设滞后的矛盾表现，体现在中小型企业上不会如此受关注，但是发生在大型企业身上就会成为矛盾焦点。

另一方面，反映了互联网企业对于企业内部运营这个工作重视度的不够。无论是因为运营人员的误操作还是传信那样内部的人为攻击，背后所表现出来的是运营上的不济、运维人员的技术不够、对安全的不够重视和分工不明确，出事故找不到责任人等等情况，也是当前各互联网企业的运营常态，这与广大企业对于运营工作的理解不当以及企业内部组织管理架构的适配不当也有一定的关系。

数据管理被漠视“互联网+”背后藏危机

——中国电子商务研究中心助理分析师沈云云

在互联网企业不断发展的同时，也频繁地暴露出各种网络安全事件，归根结底，原因还是在于多数互联网企业对网络安全问题的漠视。携程此次事件的发生，无论是企业内部的原因还是外部的恶意破坏，都折射出了携程对数据安全管理上的“失职”。企业数据管理一旦出现问题，尤其是像携程这样的领域前端企业，将会造成难以弥补的损失。

如今，互联网已经深深地扎根进我们的生活，很多人出行都依靠携程预订行程。事实上，像携程这样的互联网龙头企业在不断扩大自身市场份额的同时，它的社会责任也在扩大。企业在忙于业务、忙于竞争，忙于“互联网+”的时候，千万不能忘记对安全问题的维护，因为一旦发生状况，企业自身的安全问题就将会成为全社会的问题。