人工智能伦理

图2.3 美国联邦贸易委员会是一家美国政府独立机构，负责保护消费者，以及消除反竞争性商业行为。下属单位有消费者保护局、竞争局、经济局

脸书公司的数据泄露规模虽然不大，但影响深远，人们对个人数据安全已有切肤之痛。然而，由于种种原因，如人才稀缺、认识不足、心怀侥幸等，数据安全仍未做到有备无患。目前只有不到一半的大数据公司建立了网络攻击和数据泄露的防范及应急措施系统。“亡羊补牢，犹未为晚”，需知道一旦发生数据泄露，通知用户、调查根因、修复漏洞、控制损失、卷入官司、接受罚款、败坏声誉等带来的高额成本，比起前期的防范投入要昂贵得多。

例2.2 2015年，美国健康保险公司Anthem泄露了7 900万客户数据，包括姓名、社会保障号（social security number,SSN）⁽¹⁾、出生日期、医疗卡等信息。2017年，该公司为解决与违规有关的集体诉讼支付了1.15亿美元的赔偿。2018年，该公司又 被 美 国 卫 生 与 公 众 服 务 部 （ Health and HumanServices,HHS）罚款1 600万美元。

随着电子病历、智慧医疗设备等医疗数字化的进程，医疗信息安全问题变得日益严峻。据HHS统计，2015年全美医疗信息泄露累计影响超过1亿用户。

2013 年 ， 美 国 政 府 医 保 网 站（www.healthcare.gov，负责推行奥巴马医改）一直受安全漏洞和数据泄露的困扰。在一起骇客攻击中，7.5万人的隐私数据遭到泄露。

口 2015年，美医疗保险公司CareFirst被骇客攻击，1 100万用户信息泄露，包含病人姓名、社保账号、出生日期、住址等信息。

口 2018年，美国得克萨斯大学安德森癌症中心被罚款430万美元。该中心在2012—2013年多次发生数据泄露，涉及3万多名患者的健康信息。

口 2020年，美国明尼苏达州阿洛默健康医院的邮件服务器遭到骇客攻击，泄露了近5万名患者的医疗信息。

口 2020 年 ， 加 拿 大 网 上 药 店www.planetdrugsdirect.com泄露了40万用户的医疗信息。这些医疗信息包括：姓名、住址、邮件地址、电话、支付、病例、处方等信息。

近些年来，医疗数据的泄露呈现出暴增趋势。医疗数据的公开兜售、暗网交易非常猖獗，背后有经济利益的驱使，究其原因大致有以下几个方面。

L 个人数据的信息量丰富：医疗信息包含保险、社会保障号、财务、病历、治疗日程等重要内容。一个患者完整的电子健康档案（electronic health record,EHR）或综合医疗档案甚至可卖到1∼5美元/份。

口 伪造身份有巨额利润：利用死亡者的社会保障号、护照、医疗/汽车保险、教育/就业记录伪造的一个新身份可卖到1 000美元，伪造一个出生证明可卖到500美元。

处方药物的采购：利用电子处方信息采购一些管制药物，钻药物滥用之空，在黑市上出售以获取巨额利润。

欺诈性报税：利用社会保障号、医疗保险信息偷税漏税。

图2.4 医疗信息是个人隐私中非常重要的一类数据。医院和医生有责任为病人保守秘密，电子医疗设备也必须有信息安全保障

例2.3 2016年，优步（Uber）网约车平台泄露了60万司机和5 700万用户的账户信息。2018年，该公司被判处1.48亿美元的巨额罚款。

例2.4 征信机构（consumer reporting agency, CRA）在合法经营模式下，收集消费者的大量敏感信息，如就业、纳税、犯罪、房租、信贷、破产历史等。基于这些信息，CRA对消费者的信用进行评估，通过出售这些信用评估报告盈利。

图2.5 在美国，如果个人信用分数低于一定水平线，其银行贷款、房屋租赁等都会受到不同程度的影响。但“信用”不是一个道德标签，分数低的原因很多，如贫穷

2017年，美国三大征信机构之一的Equifax的网络被骇客攻击，攻击持续了两个多月后才被发现。Equifax存有全球超过8亿消费者和9 000万家企业的信息，其中约有1.5亿个人信息被盗，包括姓名、出生日期、社会保障号、住址等。另外，还有至少20万名客户的信用卡信息被盗。公司声誉严重受损，股价暴跌，高层被裁。

事故发生的深层原因是IT部门和安全部门缺乏沟通合作，各自维护软硬件资产，以至于不能及时地联手发现问题。Equifax花费了2亿多美元来处理这起安全事故，包括调查费用、法律支出、产品赔偿、系统升级、技术补全等。另外，Equifax还要支付5.75亿美元赔偿费。

例2.5 2019年，美国金融控股公司第一资本（CapitalOne）的数据被骇客窃取发布到Github上，约1亿美国用户、600万加拿大用户的数据遭到泄露，其中包括14万社会保障号、8万银行账户。

第一资本在接到举报后立刻报案，这名骇客也随即被捕。幸运的是，该骇客不为牟利只为炫技，公布的一部分数据经过了加密，数据泄露的损失并不大。

2018年，瑞士Veeam软件公司由于服务器配置错误导致4.45亿条用户数据（姓名、电子邮件、IP地址等）遭泄露。尴尬的是，该公司自己的业务就是为虚拟、物理和多云基础设施开发备份、灾难恢复和智能数据管理软件。

2020年初，由于数据库配置错误，美国微软公司的客户服务和支持（customer service and support,CSS）记录泄露，涉及2.5亿客户的邮件地址、IP地址、个 人 验 证 信 息 （ personally identifiableinformation,PII）、CSS声明和案例描述、解决方案等。

图2.6 金融行业（包括银行业、证券业、保险业、信托业等）的网络安全级别较高，常常被骇客视为有刺激的挑战。这些部门有时为了形象吃哑巴亏，“打落牙齿和血吞”，往往助长了骇客的嚣张气焰

窃取和贩卖用户数据已成为一个黑暗产业，因为背后有电信／金融欺诈、广告投放之类巨大的潜在应用市场，加上普通百姓对隐私保护的意识薄弱，以及这方面的法律法规尚不健全，在可观利益驱动下的非法数据交易如同巨大的冰山，大多隐藏在水面之下不可见。

有些机构或公司的数据泄露之后，为避免声誉受损而忍气吞声，有的甚至“捂盖子”，置用户的损失于不顾。最近几年，中国有数亿多求职者个人信息、物流信息、酒店客人信息遭泄露，始作俑者依然逍遥法外，受害者也没有得到及时通知和任何补偿。