未经授权侵入新加坡酒店系统被捕 中国安全工程师遭遇引发讨论

当地时间9月24日，一名中国安全工程师被新加坡国家法院判处5000新加坡元的罚款，原因是未经允许擅自侵入了所住酒店的 WiFi 系统。近日，有新加坡媒体报道了这一消息。

未经授权入侵酒店系统被罚

隐私护卫队从相关人士处了解到，该安全工程师小Z是腾讯员工，去新加坡是为了参加一场安全比赛，比赛时间为8月30日到31日。雅虎新闻报道称，小Z入住当地酒店后，出于好奇，想要测试下酒店的 WiFi 系统是否存在薄弱之处。最终，小Z成功侵入了WiFi 系统，并将详细过程披露在了自己的博客上。文内还公开了系统管理员的账号密码。 

据雅虎新闻报道，新加坡网络安全局（CSA）很快注意到了博文，并对酒店管理层发出了警告。小Z被要求撤下了博文，但文章内容已经被转载到各种网络论坛内。 

按照新加坡法律，未经授权公开密码的行为可能遭受最高一万美元的罚款和三年有期徒刑。据雅虎新闻报道，小Z的律师指出，小Z的行为虽然带来了很大的安全风险，但并未给酒店造成实际的损害。由于小Z已经被拘留了数日，律师要求法庭给予5000新加坡元以内的处罚。

雅虎新闻称，当地时间9月24日，小Z在新加坡国家法院被处以5000新加坡元的罚款。诉讼原因之一是故意公开密码，通过该密码可以对酒店数据进行未经授权的访问。小Z对此表示认罪。

新加坡检方调查发现，小Z自2014年起就开始在博客上分享系统漏洞相关的技术文章。在这次事件中，小Z是第一次披露自己发现的系统漏洞。

“小Z知道，披露这些访问代码可能导致酒店 WiFi 系统被其他抱有不正当目的的人侵入，给酒店的所有连锁店造成损失。”新加坡检察长办公室副检察官Thiagesh Sukumaran接受雅虎新闻采访时说。他认为，小Z作为一名安全专家应该想到，公布在博客中的密码被不法分子利用的可能性是非常高的。

案件在国内引发从业者讨论

今天上午，名为“白帽汇赵武”的网友在微博上转发了雅虎新闻的报道，并在转发语中提醒“大家到国外了尤其需要注意啊”。隐私护卫队注意到，网友在这条微博评论区内进行了激烈讨论。

一些网友认为，小Z的做法确实有问题。网友“熙春主人”评论道，业内的规则是发现问题第一时间通知厂商，而不是对互联网公开。“漏洞是人家自己‘懒得上锁’，您自行炫技就是犯法了。”网友“老凉”说。“‘友情测试’需谨慎，没有授权就是‘黑’。”网友“网路游侠”说。

另一些网友则对小Z表示了同情，认为小Z没有恶意，经过此事应该上了深刻的一课。有网友称，小Z的博文其实是一篇非常好的技术分析文章，但是公开了过多的细节。

隐私护卫队了解到，小Z的“测试”并未侵入酒店的核心数据库，只是控制了酒店的WiFi认证系统，可以借助系统漏洞对链路流量进行监控和窃取。“凡是搞安全的，无论到哪都想测一下系统是否安全。完全是好奇心，没有任何恶意。”一位与小Z相识的安全从业者表示。

不过，多位安全从业者对隐私护卫队强调，无论是否公开具体的漏洞信息，未经对方授权就进行渗透测试都属于违法行为，国内也有相关的法律规定。而在此事件中，小Z不仅没有获得酒店的授权，还在没通知酒店的情况下泄露了密码等详情，确实带来了不良影响。互联网不是法外之地，国内外的网络安全管理都在逐步加强，作为安全从业者，必须提升守法意识。

（文中小Z为化名）

报料请点击 

推荐阅读：
苹果更新隐私政策：将推出设备信任值 以识别欺诈行为
小i机器人朱频频：智能客服不能处理投诉类问题 还须人机协作
揭秘网络黑灰产：世界这么大，诈骗分子在湖中心呼叫你