本周數(shù)據(jù)安全領(lǐng)域發(fā)生了兩件事，一件大事一件小事，前者是支付寶密碼漏洞事件，知道的人很多，搞得滿城風(fēng)雨。幸好支付寶處理漏洞的速度很快，迅速的就堵上了這個(gè)漏洞。后者是微博贏得了“脈脈非法抓取使用微博用戶信息”案件的勝利，這個(gè)案件雖然比不上支付寶那個(gè)熱度，但是對于從事數(shù)據(jù)分析行業(yè)的我來說確是足夠震撼。并且這個(gè)案件的判罰，不僅僅和微博相關(guān)，其實(shí)和每一個(gè)互聯(lián)網(wǎng)用戶都有很大的關(guān)系。
2017年數(shù)據(jù)知識產(chǎn)權(quán)第一案：脈脈非法抓取使用微博用戶信息 被判不正當(dāng)競爭
這兩個(gè)案例，第一個(gè)是系統(tǒng)的漏洞(Bug)，修改程序堵上就行了。第二個(gè)卻揭開了大數(shù)據(jù)背景下數(shù)據(jù)安全，數(shù)據(jù)過度營銷的黑幕，它對社會的危害反而是最大的，需要企業(yè)、國家機(jī)構(gòu)、甚至我們每個(gè)人一起來維護(hù)數(shù)據(jù)安全，所以微博和脈脈的案例反而是一個(gè)大事件。這是行業(yè)標(biāo)桿性的一個(gè)判罰，在幾個(gè)方面都有突破，所以今天和大家好好聊聊這個(gè)案子。
微博、脈脈案件背景
相信很多人第一眼是將脈脈看成陌陌了，其實(shí)脈脈和陌陌一樣都是做人脈社交的應(yīng)用，只不過陌陌是基于LBS(位置服務(wù))的陌生人群社交應(yīng)用，脈脈是基于工作關(guān)系的熟人社交應(yīng)用。
之前脈脈和微博有過合作，脈脈通過微博的API接口打通了微博和脈脈的認(rèn)證體系，用戶可以使用微博賬號注冊登錄脈脈，一旦用戶同意使用微博賬號注冊脈脈，脈脈就可以獲取該用戶的微博名、頭像、性別、職業(yè)、教育等信息(注意這個(gè)過程是用戶授權(quán)的，但很多人懶，以至于注冊時(shí)不會主動勾掉這些選項(xiàng))。
用戶可通過微博賬號和個(gè)人手機(jī)號注冊登錄脈脈，現(xiàn)在幾乎所有的應(yīng)用都要求用戶提供手機(jī)號，用來接受驗(yàn)證碼。但是為了人脈關(guān)系鏈條的需要，脈脈在用戶注冊時(shí)還要求用戶上傳個(gè)人手機(jī)通訊錄的聯(lián)系人信息(當(dāng)然這個(gè)動作也是需要用戶授權(quán)的)。
本來說上傳手機(jī)通訊錄不關(guān)微博什么事情，問題是微博隨后來發(fā)現(xiàn)，脈脈用戶的“一度人脈”中，大量非脈脈用戶在人脈關(guān)系鏈中，直接顯示有他們的的頭像、名稱、職業(yè)、教育等信息。這是什么意思?就是脈脈利用手機(jī)號進(jìn)行匹配微博賬號，非法的抓取了這些沒有授權(quán)的用戶信息，并且用于商業(yè)用途。
雖然通過合作網(wǎng)站注冊登錄已經(jīng)是一種非常普遍的行為，微博、微信、QQ、支付寶都支持這種了注冊登錄方式，不過這次脈脈顯然有越位之嫌。
脈脈為什么輸了?
其實(shí)脈脈已經(jīng)輸過一次了，2016年4月北京市海淀區(qū)人民法院審結(jié)該案，認(rèn)定北京淘友天下技術(shù)有限公司和北京淘友天下科技發(fā)展有限公司(就是脈脈的營運(yùn)方)非法抓取、使用新浪微博用戶信息等行為構(gòu)成不正當(dāng)競爭。但是脈脈不服，于是提起上訴，2016年12月30日北京知識產(chǎn)權(quán)法院做出終審判決，駁回上訴維持原判。
互聯(lián)網(wǎng)的本質(zhì)是開放、平等、協(xié)作、分享，但開放并不是沒有底線，平等并不是沒有規(guī)則，協(xié)作和分享也一定是基于用戶意愿的基礎(chǔ)上。個(gè)人覺得脈脈其實(shí)是輸在了以下幾點(diǎn)：
1、非法獲取用戶信息，并用于商業(yè)化。
脈脈的職場社交做的就是熟人社交，而熟人社交中最重要的一個(gè)環(huán)節(jié)是關(guān)系鏈，關(guān)系鏈不能打通，不知道你是誰，這只是陌生人的社交。所以獲取關(guān)系鏈的數(shù)據(jù)就尤為重要，利用微博API接口，脈脈非法獲取了用戶沒有授權(quán)的信息，并且在“一度人脈”中進(jìn)行了展示，其他人則能夠看到這些沒有被授權(quán)的信息。第三方公司抓取微博數(shù)據(jù)用于商業(yè)化，不僅僅侵犯了用戶的權(quán)利，也構(gòu)成對微博的侵權(quán)，這當(dāng)然是非法的，微博自然可以進(jìn)行起訴。
2、脈脈的行為構(gòu)成了不正當(dāng)競爭
咱們國家的《反不當(dāng)競爭法》明確規(guī)定：經(jīng)營者不得采用以盜竊、利誘、脅迫或者其他不正當(dāng)手段獲取權(quán)利人的商業(yè)秘密。也不可以未經(jīng)允許披露、使用或者允許他人使用其所掌握的商業(yè)秘密。對微博來說，用戶信息的關(guān)系鏈就是它的商業(yè)秘密，法院當(dāng)然會支持微博的這種訴求。
3、脈脈沒有起到保護(hù)用戶信息的作用
大數(shù)據(jù)時(shí)代，每個(gè)企業(yè)都有責(zé)任去保護(hù)用戶的個(gè)人信息，并且大家都有義務(wù)一起推動數(shù)據(jù)生態(tài)的繁榮。相反脈脈不但沒有去保護(hù)用戶的信息，反而是進(jìn)行了商業(yè)應(yīng)用，并把這些信息展示在自己的“一度人脈”中，讓更多的人看到。