一年前，因制动失效而闹得沸沸扬扬的特斯拉“刹车门”事件仍未平息，当事人张女士就特斯拉行车数据纠纷向法院递交资料，今年3月12日，法院正式以“个人信息保护纠纷”为由立案，这很可能是国内首起关于智能电动汽车行驶数据归属权纠纷的案件。其实纵观近来，围绕特斯拉数据处理相关的争议乃至系统被破解、泄密的事件时有发生。本文立足于国内和国际两部分，盘点特斯拉所遭遇的“网安事故”。
国内篇:由“刹车事件”引发的数据风波
1.行车数据到底归谁
“刹车门”事件后，特斯拉在多方压力下提供了事故前30分钟的行车数据，但当事人张女士认为这些数据并不完整，缺少了很多关键参数，无法准确还原事故真相。张女士表示自己多次向特斯拉索要更加详细完整的数据，特斯拉以各种理由拒绝。张女士随后向法院提交材料起诉特斯拉，要求提供完整的行车数据。张女士认为，根据《民法典》《个人信息数据安全法》《消费者权益保护法》，个人对于自己的数据有知情权，可以阅读或复制。特斯拉车辆的行驶数据属于个人信息的范围，车主对此享有合法权利，特斯拉的有关行为明显不合规。目前具体开庭时间还没有确定。
2.车内隐私不是你想采就能采
就在“刹车门”事件发生后不久，2021年3月，网络上流传出一段由黑客窃取的特斯拉车内摄像头画面，非常清晰地记录下了车内驾驶员以及乘客的面部特征、动作，甚至有网有吐槽：“视频平台会员都没这清楚”。这一事件一度冲上微博热搜，不少人认为其车内摄像头存在隐私泄露风险。对此，特斯拉回应称，驾驶室摄像头在北美以外的市场并没有激活，并表示，即使是在美国，车主也可以自由选择是否开启使用。特斯拉配备了全球领先安全等级的网络安全体系以确保用户隐私保护。
这一说法并没有得到社会广泛认可，新华社为此下场评论道：“车内摄像头是否必须默认出厂时即安装、安装后是否需要消费者签订同意书才能启用、启用时是否可以一次授权而不是长期授权，这些都需要企业说清楚。特斯拉应该明白，车内涉及到的隐私不是你想采就能采！”
就在当月，特斯拉还被曝出上海超级工厂的222个摄像头被海外黑客攻破，员工的现场工作情况被记录得一清二楚。
3.特斯拉回应数据收集争议
由于在“刹车门”事件中，对于和用户有关的数据处理并不透明，加之车内摄像头违规采集用户隐私行为，让人们对特斯拉的数据安全问题抱以担忧。为此，2021年4月13日，特斯拉中国区副总裁陶琳在中国发改委组织的圆桌论坛上强调，特斯拉在中国采集的数据会严格遵守中国对于数据管理的法律法规，实现本地储存。同年9月，特斯拉CEO马斯克在2021年世界互联网大会上再次回应称，特斯拉车主所有个人身份信息都安全地存储在中国国内，不会转移到海外，只有在采购进口零部件等极少数情况下，部分数据才会在获得相关批准后跨境传输。
国际篇:破解、泄密事件时有发生
1.车辆陷 HTTP 500报错，无法开启车门
2021年11月，国外社交媒体上陆续出现了用户反映自己无法通过APP打开车门的消息，多次尝试无果后，车主的APP收到了“HTTP 500报错”的信息。据悉，美国、韩国、澳大利亚和欧洲等地区部分用户都遭遇了类似的问题，可见是一次全球性的系统故障。随着此事件持续发酵，部分汽车用户在推特上喊话马斯克，指出特斯拉汽车存在技术问题。随后，马斯克发推称，此次网络中断源于意外的“网络流量的增加”，服务器正在加紧重新上线。
2.19岁青年破解了来自世界各地的25辆特斯拉汽车
2022年1月，一位年仅19岁的安全研究员科伦坡在推特宣称，自己利用系统漏洞控制了世界多地的25辆特斯拉汽车。科伦坡表示，漏洞使他能够远程访问特斯拉的多项功能，包括解锁门窗和启动无钥匙驾驶，甚至打开音响或按喇叭，还可以查看汽车的位置以及司机是否在场。
处于安全研究员的职责，科伦坡已经将问题报告反馈给特斯拉的安全团队，随后，特斯拉释出了相关安全更新进行修复。
3.起诉前员工盗取并泄露公司内部数据
2018年6月，因盗取了公司的商业机密并向第三方泄露了大量公司内部数据，特斯拉起诉了一名在美国内华达州Tesla Gigafactory超级工厂工作的前过程技术人员马丁·特里普。该员工也承认通过恶意软件侵入特斯拉内部生产操作系统，窃取了大量数据并泄露给第三方。由于特里普在3台员工电脑上都安装了恶意软件，以至于他离开特斯拉后还能利用这些电脑继续从公司传输数据到第三方。
此外，特里普还向媒体发表不实言论，谎称特斯拉将有缺陷的电池元组用在了部分Model 3车型中，并还还夸大了特斯拉在生产制造过程中生产的有缺陷物料的数量。
4.内部服务器感染挖矿恶意软件
云安全公司 RedLock发现，在2017年间，有黑客获取了特斯拉Kubernetes服务器的访问权限，并安装了挖掘加密货币的恶意软件，该恶意软件利用特斯拉 AWS 服务器的大量计算资源来挖掘 Monero 加密货币。RedLock 表示，AWS似乎一直在存储敏感数据，例如遥测数据，但特斯拉汽车公司的一位发言人表示，这些数据“仅来自内部使用的工程测试车”。
在智能汽车逐渐来临的时代，系统和数据的重要性越发凸显，无论是通过完善和维护系统对数据进行技术上的保护，还是从背后对数据的实际处理和操作，都越发需要依托法律法规来进行规范。
目前，无论国内外，对智能联网汽车相关的网络安全法律规定正在逐渐落实。2021年8月16日，国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、公安部、交通运输部联合发布《汽车数据安全管理若干规定（试行）》，强调汽车数据处理者开展重要数据处理活动，应当遵守依法在境内存储的规定，加强重要数据安全保护，同时落实风险评估报告制度要求，积极防范数据安全风险。
在国外，《欧洲网络和信息系统安全指令》要求智能交通系统的运营商（包括联网汽车制造商）按规定落实安全措施，并向国家监管机构报告数据安全漏洞；《欧盟网联汽车战略》则认定所有车联网产生数据都被视为是个人数据；美国的《汽车安全与隐私法案》则明确厂商在采集数据的范围和内容上必须做到透明，告诉消费者采集了哪些数据，同时对数据的所属权做出了明确规定，数据的使用必须得到消费者的许可，赋予了消费者控制的明确责任边界。
来源:freeBuf
