南京网民状告奇虎360窃取“隐私”

茶色夫

360称只是用“网址云安全”功能来拦截恶意网站



年前,“打假斗士”方.舟.子与“红衣战士”周..鸿..祎在网络上掀起了一场轰轰烈烈的口水战,战火蔓延到互联网领域的信息安全问题。今年315晚会,也曝光了有关Cookies分析用户上网行为许多网民都开始寻找清除Cookies信息保护个人隐私的方法,仅新浪微博的搜索量超过100余万。这不,南京消费者黄佳（应消费者要求使用化名）意外发现,自己使用的360安全浏览器,几乎在“偷.kui”着自己网上的举动,一怒之下,将360给告了。记者了解到,目前南京鼓楼区法..院已经立案。

和朋友闲聊后

发现隐私被“泄露”了

“网络隐私”这个词汇,对很多人来说,都是个新名词。我在网上的浏览了什么网站、有什么喜好、使用了什么软件,这样的“隐私”有没有得到保护？去年9月的一天,黄佳和几个IT界的朋友正好聚在一起闲聊,大家就聊到了“网络隐私”。黄佳一时兴起,很想知道,到底自己使用的360安全浏览器,是不是真的保障了自己隐私的“安全”？于是他就委托IT界的朋友们帮他一探究竟。

IT界的朋友们使用了一个软件来查看,这个软件是微软的官方软件,名叫“Fiddler”。这个软件做什么用的？据了解,Fiddler是一个http调试代理,它能够记录并检查所有你的电脑和互联网之间的http通讯,设置断点,查看Fiddle所有的“进出”的数据。而通过显示所有的http通讯,可以轻松地演示哪些用来生成一个页面,你可以看到你请求的某个页面,总共请求了多少次,以及多少字节被转化了。

听起来很复杂,到底什么意思？黄佳全权委托江苏博事达律师事务所的孟伟律师代理此案的所有事宜,而孟伟给记者举了一个例子。“就好比你去看纽.约.时.报网站,你需要先向服务器发送一个指令,然后指令发送到纽.约.时.报,然后纽.约.时.报那边的服务器反馈过来,你就看到了这个网站。Fiddler就可以将这个行为反应出来,相当于将网站对你的行为像‘录像机’一样录下来,通过“抓包”能够监控到其他网站对你的数据交互行为”。

没想到,使用了这个软件之后,黄佳居然发现,自己的“隐私”好像被泄露了。他发现了两个疑点：首先是自己通过360浏览器曾经浏览过的比如淘.bao网、工商银.hang、人..人网等相关的浏览记录,和360的服务器存在交互行为,也就是360浏览器也会实时将用户的浏览网址记录上传到其服务器上。

更让他惊讶的是,他发现360甚至可以“扫描”自己电脑中已经安装的软件,当其安装或卸载360安全浏览器时,浏览器会监控其电脑中的软件安装情况。他多次试验发现,只要电脑中安装了QQ、QQ管家、金山毒霸、遨游浏览器、搜狗输入法、腾讯TT浏览器、火狐浏览器、Chrome浏览器、阿里巴巴浏览器等十余种软件,浏览器都会将安装信息收集上传到360服务器上。

消费者要求360道歉

并索赔5万元

黄佳在得到这样的结果后,很是不满,觉得个人隐私被泄露了,黄佳认为,浏览网页属于隐私行为,浏览了什么网站,不应该让别人都知道,就好比我在家里做什么都被人盯着看。孟伟称,如果这样,用户的软件操作习惯、作息时间、网页浏览行为无疑都暴露了。

黄佳觉得,不是自己一个人被“偷.kui”,很多使用360浏览器的用户,都存在同样的问题。而在使用360浏览器的时候,明明有个用户协议,自己是打了一个“小勾”在这个协议上,才安装的浏览器。这个《360浏览器安装许可协议》中所承诺,“不会监控用户网上、网下的行为,不会收集用户使用其他软件、文档等个人信息,不会泄露用户隐私”。孟伟说,360安全浏览器的上述行为已超出浏览器的基本功能和作用,违反了这个安装协议。

于是黄佳找到了江苏博事达律师事务所的孟伟律师,决定要起诉360,给自己的“隐私权”讨个说法。南京市鼓楼区法..院在收到诉状后,于今年的元月10日下达了案件受理通知书。记者在该通知书中看到,法..院认为该起诉“符合法定受理条件,本院决定立案受理”。

黄佳有什么要求呢？在起诉书中,黄佳称,要求360立即停止侵犯自己的隐私,在自己的网站以及《法制日报》上连续10日道歉,并要求赔偿自己的精神损害抚慰金5万元等。

360公司：

“网址云安全”是所有安全软件的通用做法

360公司也的确收到了法..院邮寄送达的诉状。记者日前联系上了360公司的相关负责人,在360公司给晨报记者的书面答复中,360进行了澄清。

360表示,“把消费者的浏览网址记录上传到服务器”这一说法,本身就是不准确的。360公司称事实情况是,会把用户访问的网址通过不可逆的哈希算法转化为一个字符串,这个字符串用通俗的话来说,就是“网址指纹”,然后再与服务器端的恶意网址库进行比对,以便用户访问挂马、钓鱼等恶意网址时进行拦截。这项功能名为“网址云安全”,也是所有安全软件的通用做法,包括国外的赛门铁克、趋势科技、谷歌浏览器,国内的瑞星、金山等,都在采用相同机制拦截恶意网址。

为什么必须采用“网址云安全”功能拦截恶意网站呢？360公司称,首先,这个方法相对快,可以在云端实时更新恶意网址库,客户端第一时间拦截；其次也很省资源：用户电脑无需加载庞大的恶意网址库,也不用每天更新大约3MB的网址特征（一年约1.1GB）；最后,是因为其高效率：通过云端URL/IP/信誉等多维度数据库关联分析,就可以大幅提高钓鱼拦截效果。

360公司还给记者一个使用360安全浏览器拦截假冒工行网银钓鱼网站的实例,当输入一个假冒工商银.hang网址的时候,就跳出一个窗口称,经过360互联网安全中心认证,当前页面是假冒的中国工商银.hang登录界面,并提示用户访问真正的中国工商银.hang。

“如果用户不希望提交网址指纹和服务器端恶意网址库进行比对,只要在360软件设置中关闭‘网址云安全’即可。但这样就无法识别和拦截各种钓鱼和挂马网站了。”

对于用户使用的QQ等软件也被“反馈”给360公司,360表示,反馈的QQ浏览器信息,只是QQ浏览器程序的文件指纹、数字签名等安全检测必需的参数,并不涉及其个人使用数据。“举个简单的例子,当一个用户下载安装QQ浏览器或者qvo.d播放器时,他可能是通过某个盗版软件站下载了捆绑木马的软件安装包。这时,任何一款安全软件都会检测安装包,否则根本无法拦截木马病毒。”

能不能在南京告

又成为焦点

采访中,有人认为两者说法公说公有理婆说婆有理,也有一些IT界业内人士认为,360公司的解释似乎不能自圆其说。安全软件的通行做法是将“可疑网址”收集至服务器端并比对。而“淘.bao、搜狐、人..人网”明显不是“可疑网址”,但却均被360将用户的浏览信息收集到服务器,这种行为似乎超出了安全软件的范畴,的确感觉侵犯了用户的隐私。其次,如果是为了拦截木马病毒,应该是在下载或安装该软件（如QQ浏览器）时检测相关参数和信息,但现在360浏览器的行为是在安装或卸载360浏览器时去检测用户电脑是否安装有其他产品的参数信息并传回,因此“为了拦截病毒”一说似乎站不住脚。

而黄佳发现,即便你将“云安全”关闭,依然可以上传自己的浏览记录。

到底在南京能不能告？在360公司提出管辖权异议之后,南京鼓楼区法..院就需要走法律程序,裁定到底这个异议成立还是不成立。所以原定的3月底开庭,显然不可能实现了。

制度疏漏

我的隐私谁做主？

黄佳和孟伟说,其实这次去告360,就是希望能够唤起大家对自己网络隐私的“保护意识”。“就好比我请个保安看家,但你不能打着安全的名号,把我家所有的东西都翻一遍”,“目前个人的隐私还很难界定,法律规定还不健全,这个案子说明,目前人的活动已经向网络转移,隐私权在网络中如何体现和保护成了法律亟待解决的问题,并且个人隐私行为和消费者的经济和财产属性直接挂钩,作为消费者可以对经营者让渡一部分信息,但不是没有边界的,消费者有没有被告知呢？经营者有没有遵循最小使用的原则,还是肆无忌惮地搜集所有的信息？”孟伟律师在谈到维护消费者的隐私权时说道。

360公司表示,其实自己一直很重视消费者的隐私。自己不仅加入了全球最大隐私保护组织IAPP（隐私专业人员国际协会）,而且将引进吸收国际上在用户隐私保护方面的先进经验,并按国际标准来要求自己。在360发布的《用户隐私保护白皮书》中,也把各个软件的工作原理、实现哪些功能需要交互什么数据全都公开、透明,接受公众的严格监督。

其实关于侵犯用户隐私权的行为并不鲜见,美国就曾对谷歌公司侵犯用户隐私开出巨额罚单。2012年年初,谷歌公司被曝借助苹果公司Safari浏览器的漏洞,绕过该浏览器的隐私设定,追踪用户的上网习惯。随后,美国联邦贸易委员会（FTC）对谷歌侵权一事展开调查。8月,谷歌与FTC达成和解协议,FTC要求谷歌缴纳2250万美元的罚款并彻底停止追踪用户上网习惯的侵权行为。11月初,美国地方法..院批准了FTC的这一处罚决定。

2013年2月1日,我国颁布了首个个人信息保护的国家标准《信息技术安全公共及商用服务信息系统个人信息保护指南》,《指南》的实施标志着我国将告别针对个人信息处理行为“无标可依”的历史,使公民对个人信息保护的诉求得到有效解决。