数据安全 | 美国知名零售商泄露用户信息被罚50万美元

关键词：区块链；人工智能；大数据；智能合约；涉外法律服务；专业律师

本期关键词：FTC；美国；用户信息；数据安全

本文约1395字，大概需要阅读3分钟。

       2022年6月24日，美国联邦贸易委员会（The Federal Trade Commission，下称FTC）在其官方网站上发布消息指，FTC最终作出了针对 CafePress的一项命令 ，指控其未能保护包括社会安全号码在内的消费者敏感个人数据并掩盖重大数据泄露事件，要求该公司加强其数据安全，并要求向受害者支付 50 万美元。

      在2022 年 3 月首次公布的诉状中，FTC针对 CafePress 的前所有者 Residual Pumpkin Entity, LLC 和于 2020 年收购了 CafePress 的 PlanetArt, LLC 提起诉讼，称该在线定制商品平台未能实施合理的安全措施保护存储在其网络上的买家和卖家的敏感信息，未能充分应对多个安全漏洞。FTC 指控 CafePress：

• 以清晰易读的文本存储社会安全号码和密码重置答案；

• 保留数据的时间超过了必要的时间；

• 未能针对众所周知的威胁应用现成的保护措施并未能充分应对安全事件；和

• 掩盖了由于其劣质安全实践而导致的重大数据泄露。

       根据委员会最终确定的命令，Residual Pumpkin 和 PlanetArt 必须实施全面的信息安全计划，除此之外还要求他们：

• 用多因素身份验证方法替换不充分的身份验证措施；

• 尽量减少他们收集和保留的数据量：

• 加密社会安全号码；和

• 让第三方评估他们的信息安全计划，并向委员会提供适合公开披露的评估副本。

       此外，Residual Pumpkin 必须支付 500,000 美元，用于为数据泄露的受害者提供补救。PlanetArt 将被要求通知其个人信息因数据泄露而被访问的消费者，并提供有关消费者如何保护自己的具体信息。

       据了解，一名黑客在 2019 年 2 月利用该公司的安全漏洞，以弱加密方式访问了数百万个电子邮件地址和密码；数百万个未加密的姓名、物理地址以及安全问题和答案；超过 180,000 个未加密的社会安全号码；以及数以万计的部分支付卡号和到期日期。后来发现其中一些信息在暗网上出售。

      在被告知其存在安全漏洞并且黑客已获取消费者数据后，CafePress 修复了该漏洞，虽然还有额外的警告，但CafePress在几个月内未能正确调查该漏洞。其中包括 2019 年 4 月来自外国政府的警告，通知CafePress 黑客非法获取了 CafePress 客户账户信息，并敦促CafePress 通知受影响的客户。然而，CafePress 隐瞒了这些重要信息，而只是告诉客户重置密码，作为其密码政策更新的一部分。

       CafePress 直到 2019 年 9 月才通知受影响的客户——在违规行为被广泛报道一个月后。CafePress 松懈的安全措施仍然让许多消费者面临风险。例如，CafePress 继续允许人们通过回答与客户电子邮件地址相关的安全问题来重置他们的网站密码——这些信息与之前被黑客窃取的信息相同。

      CafePress 在 2019 年数据泄露之前就意识到其数据安全存在问题。至少到 2018 年 1 月，当 CafePress 确定店主的某些账户被黑客入侵时，CafePress 关闭了这些账户并向受害者收取了 25 美元的账户关闭费。在 2019 年黑客攻击之前，CafePress 的网络还经历了几次恶意软件感染，但CafePress 未能调查此类攻击的来源。

        除了安全漏洞之外，FTC 还指控CafePress 通过使用消费者电子邮件地址进行营销来误导用户，尽管它承诺此类信息只会用于履行消费者所下的订单。

        公开资料显示，CafePress是美国一家知名定制商品零售公司，截至2011年3月，CafePress拥有超过1300万会员，其网站上有超过3.25亿种产品。2020年9月，CafePress 被PlanetArt收购。

文章来源：Federal Trade Commission官网

https://www.ftc.gov/news-events/news/press-releases/2022/06/ftc-finalizes-action-against-cafepress-covering-data-breach-lax-security-0

https://www.ftc.gov/news-events/news/press-releases/2022/03/ftc-takes-action-against-cafepress-data-breach-cover

本文非全文翻译，内容有删改。 

陆续更新，敬请期待

版权归闪涛律师团队所有，未经许可不得转载。

如认为本文侵犯版权，请及时联系闪涛律师团队。

团队介绍

闪涛律师团队专注于提供涉外法律服务、“一带一路”海外投资、跨境争议解决、金融、证券、私募、区块链、人工智能、智能合约、大数据、合规等领域。

闪涛律师，广东广信君达律师事务所高级合伙人，广东外语外贸大学法学院教授、硕士研究生导师，中南财经政法大学博士研究生。

执业证号：

14401200810597414

闪涛律师是中华全国律师协会涉外法律事务领军人才库人选，司法部“全国千名涉外律师人才名录”，司法部、全国律师协会“一带一路”跨境律师人才库首批成员，司法部、全国律师协会“一带一路”项目沙特阿拉伯国别协调人，广东省涉外律师领军人才库成员。

往期回顾

数据安全

涉外法律

案例分析

立法动态

新闻速递

其他文章

点一下在看再走吧