迪奥的用户信息遭泄露，问题可能出在哪儿

来源：@经济观察报微博

记者 罗文利

5月13日10点13分，小岚收到了迪奥发来的短信。信息显示，迪奥于5月7日发现，曾有未经授权的外部人员获取了迪奥持有的部分客户数据。

迪奥是法国时尚消费品牌，隶属于全球奢侈品集团LVMH（路威酩轩），主要经营手袋、女装、首饰、香水、化妆品等高档消费品，小岚在迪奥多次购买过包和鞋子。

迪奥的短信内容显示，泄露的数据包括客户姓名、性别、手机号码、电子邮箱、邮寄地址以及消费金额和偏好等。迪奥还强调，被访问的数据库中不包含诸如银行账户详情、国际银行账户号码（IBAN）或信用卡信息等财务信息。

5月13日，迪奥官方客服向经济观察报就用户数据泄露一事进一步介绍，目前并未接到用户因数据泄露导致的财产损失报告，此次短信是对用户的“预警”。另外，此次数据泄露的范围以收到短信的用户为准，不排除海外用户同样遇到数据泄露的可能性。

迪奥并未解释用户数据在哪一个环节遭到泄露。上海锦天城（郑州）律师事务所律师贾帅告诉经济观察报，出于物流运输或广告营销等目的，部分企业会将用户数据委托给第三方数据公司，进行快递配送或用户画像等数据信息化服务，这一过程中，数据可能会在储存和传输两个环节出现纰漏，从而导致用户的个人信息泄露。

贾帅称，保存用户信息的数据库相当于“仓库”，保管“钥匙”的是企业，无论是委托第三方数据公司，或是企业自营的线上旗舰店、小程序等官方渠道，数据收集的主体和责任人都是企业本身。若发生数据泄露或由此引发了用户的财产损失，企业作为第一责任人，将被追究相应的法律责任。

财务信息还安全吗？

从迪奥发布的短信内容来看，此次数据泄露的范围主要为姓名、性别等个人基本信息，不包含个人的财务信息。但小岚依然担心，她的迪奥账户是在英国专卖柜购买香水时开通的，绑定了自己的VISA卡和手机号码，也使用过迪奥的官方小程序积累积分，不知自己的账户信息是否安全。

经查询，迪奥的确会收集用户的银行卡信息。在用户使用其官方小程序时，要求用户勾选的“我同意”页面中，其《个人信息处理规则（标准版）》（下称“《规则》”）的“提供产品和服务”一栏显示，用户在完成货款支付时，需向其提供财务信息，如银行账户或信用卡信息、支付记录等。

数据治理高级工程师、泰和泰（武汉）律师事务所律师杜双告诉经济观察报，用户在线上支付货款时，是通过跳转第三方支付机构，如银行、支付宝和微信来完成支付。因此，商户只能掌握交易订单号、银行卡尾号等基本信息，并不掌握其他信息。

某银行对公账户业务人员也向经济观察报称，一般情况下，若消费者仅使用商户提供的浏览、查询服务，并不涉及消费及支付行为时，后台无法调动用户的银行账号信息。应当注意的是，微信“零钱”或支付宝“余额”属于虚拟账户，用户若使用这类账户支付货款，商家也无法获取用户的银行卡账号信息。

结合迪奥回应的“不涉及银行账户及财务信息”，杜双判断小岚的银行账户暂时安全，但他同时提醒，消费者仍需提高警惕，不法分子可能会利用已获取到的细节信息，包括消费者的消费时间、消费物品及消费习惯来进行“定制化诈骗”。

两个泄露环节猜测

杜双介绍，数据的全生命周期分为产生与收集、储存与管理、使用与加工、传输与共享、归档与销毁。在这几个环节中（排除黑客入侵情况下）出现数据泄露的可能在于数据储存和数据传输。

在数据储存环节，企业对数据访问控制应遵循数据最小权限原则，只有少数拥有较高访问权限的管理人员才能查看和处理用户数据。一般来讲，数据权限以数据分类、分级处理为前提，等级逐级递增，访问的权限更为严格，相应权限人员应有相应的加密手段，比如电子或实体加密工具。

杜双在迪奥的《规则》中发现了其对上述访问控制权限的管理手段：一方面是物理防护手段，比如加固存放数据的地方；另一方面，运用信息技术，如数据加密、访问控制、防火墙等。此外，迪奥还强调，会为员工开展个人信息保护方面的专门培训。

除此之外，在数据传输环节，企业也存在几个数据泄露的风险：一是未在安全网络环境下处理数据，如相关技术人员在咖啡厅、图书馆等公共网络空间进行数据处理，或未使用安全协议，不法分子会通过这些漏洞攻击截取数据；二是企业在与物流、营销等外部第三方平台进行数据交互时，会提供获取数据库的交互接口，这些接口若没有完善的认证和授权机制，数据库资源可能会被非法调用。

杜双介绍，为完成精准推广，企业通常会将线上各渠道收集到的用户信息，授权给第三方数据分析机构，以分析用户的设备型号、消费习惯等用户画像，这一过程中可能会出现数据保护不当的问题。

迪奥在《规则》中称，数据收集是基于“数据统计、广告及营销效果评估”目的。用户的信息包括搜索查询内容、IP 地址、浏览器的类型、电信运营商、使用的语言、访问日期和时间及用户访问、浏览、停留、下单操作的网页记录等。

迪奥的《规则》中同时披露了其委托的部分第三方机构，如神策网络科技（北京）有限公司、腾讯云计算（北京）有限责任公司、北京数美时代科技有限公司等，使用目的多为“数据统计分析、业务安全和风控”，涉及的个人信息类型包括微信昵称及头像、设备的品牌及型号、用户浏览动作等。

企业应履行安全保护责任

在全球奢侈品行业加速数字化转型的背景下，迪奥在中国的数字化营销动作频繁：重视社交媒体、短视频平台的“种草”推广活动；联合明星、KOL（意见领袖）直播时装秀等。

例如，迪奥美妆超级品牌开业盛典在2022年落地抖音商城时，迪奥对其美妆及护肤品展开了一系列营销活动，数据显示，迪奥此次抖音营销活动商品交易总额（GMV）环比增长超900%。

杜双推测，迪奥正是在积极的线上布局和频繁的获客营销中收集到大量的用户数据。对于如何管理和保护这些信息，迪奥在《规则》中介绍：一是定岗定责，定期检查及合规审计；二是通过向其它服务器备份、对客户密码进行加密等，最大程度确保信息不丢失，不被滥用和变造；三是依法履行汇报及通知义务。

“迪奥作为个人信息处理的主体，应当采取合理、有效的技术措施和管理措施来保障用户个人信息安全。”杜双介绍，设置防火墙、加密用户数据、严格访问控制、定期审计、安全事件应急响应等，都可以对用户数据进行有效保护。

杜双称，若企业保管的用户数据发生泄漏情况，企业应立即作出响应，包括第一时间隔离被攻击的存储数据库、定位漏洞位置、评估泄露范围及流向、发出用户警示通知、向网信办等相关部门报备等。

杜双介绍，根据《中华人民共和国个人信息保护法》，若迪奥存在数据安全运营和维护漏洞，致使用户因个人信息泄露遭受重大财务损失，可能被认定为未充分履行安全保障义务，需在一定范围内向用户承担相应责任。

迪奥在短信中称，初步调查显示，此次事件是由数据库遭受未经授权的访问所致。

迪奥建议客户对任何可疑通信（短信、电话、电子邮件）都要保持警惕。不要打开或点击来自不明来源的通信或链接，也不要透露验证码、密码等敏感信息。若收到任何以迪奥名义发送的可疑信息或联系，客户要咨询迪奥官方客服中心。

目前，迪奥尚未就数据泄露所涉及的客户数量、出现纰漏的具体环节等展开说明，经济观察报向迪奥相关部门发送的相关问题，截至发稿也无回应。