通過超過10億名企業(yè)用戶，微軟旗下的LinkedIn掌握著大量可識別個人身份的信息，其中包括可能涉及宗教信仰和政治立場的敏感數(shù)據(jù)。然而，LinkedIn究竟如何使用這些數(shù)據(jù)，目前仍不透明。

一家銷售LinkedIn數(shù)據(jù)瀏覽器擴展插件的歐洲小型公司，發(fā)起了一場名為"BrowserGate"的維權(quán)行動，指控LinkedIn"非法掃描用戶電腦"，并將其定性為"現(xiàn)代企業(yè)史上規(guī)模最大的商業(yè)間諜行動之一"。

該公司聲稱："每當(dāng)LinkedIn的10億用戶訪問linkedin.com時，隱藏代碼就會掃描其電腦上安裝的軟件，收集相關(guān)數(shù)據(jù)，并將其傳輸至LinkedIn服務(wù)器及包括一家美以網(wǎng)絡(luò)安全公司在內(nèi)的第三方機構(gòu)。"

"BrowserGate"網(wǎng)站進(jìn)一步指出："用戶從未被詢問，也從未被告知。LinkedIn的隱私政策中對此只字未提。由于LinkedIn掌握每位用戶的真實姓名、雇主及職位信息，其掃描對象并非匿名訪客，而是經(jīng)過實名認(rèn)證、來自特定公司的個人。"

對此，LinkedIn否認(rèn)了部分指控，但對其余內(nèi)容未予回應(yīng)。

LinkedIn在一份聲明中表示："這一指控完全是無中生有，如同紙牌屋一般不堪一擊。我們確實在隱私政策中披露了掃描瀏覽器擴展的行為，目的是檢測濫用行為并維護(hù)網(wǎng)站穩(wěn)定性。"

然而，當(dāng)被追問是否僅將該數(shù)據(jù)用于上述目的時，LinkedIn并未作出回應(yīng)。

指控的核心人物自稱史蒂文·莫雷爾（Steven Morrell，非其真實姓名，本人要求不予公開）。他所代表的公司也有多個名稱，包括Teamfluence和Fairlinked。

莫雷爾表示，LinkedIn收集的數(shù)據(jù)涉及敏感細(xì)節(jié)，甚至可能被用于推斷用戶的宗教信仰和政治傾向，這可能違反歐洲隱私法規(guī)。但他同時強調(diào)，他并非斷言LinkedIn確實在使用這些數(shù)據(jù)進(jìn)行上述分析，而只是指出其存在這樣做的可能性。事實上，類似的情況在幾乎所有大型科技公司中都普遍存在。

值得注意的是，莫雷爾本人并非完全中立——他與LinkedIn之間在德國存在法律糾紛，他指控LinkedIn違反了歐盟相關(guān)規(guī)定，并以不當(dāng)理由將他及其他用戶封禁。LinkedIn則反指莫雷爾等原告通過其插件違反了平臺服務(wù)條款。上月，慕尼黑一名法官支持了LinkedIn的立場，駁回了原告申請臨時禁令的請求。

Info-Tech研究集團(tuán)研究總監(jiān)薩法亞特·穆罕默德（Safayat Moahamad）指出，如此深度的數(shù)據(jù)采集行為，確實可能在歐盟及英國的合規(guī)層面引發(fā)爭議。

他表示："當(dāng)平臺能夠合理地將組織層面的政策執(zhí)法行為與消費者保護(hù)及監(jiān)管合規(guī)掛鉤時，歐洲法院很可能傾向于支持平臺限制自動化數(shù)據(jù)采集的立場。"

網(wǎng)絡(luò)安全顧問、FormerGov執(zhí)行董事布萊恩·萊文（Brian Levine）建議，企業(yè)CIO應(yīng)借助此次事件——即便最終證明指控并不屬實——重新審視并優(yōu)化其數(shù)據(jù)戰(zhàn)略與隱私政策。

他表示："假設(shè)BrowserGate的指控屬實，LinkedIn用戶應(yīng)盡量減少瀏覽器所暴露的可識別、可追蹤或敏感數(shù)據(jù)，企業(yè)在事實核實之前，應(yīng)將LinkedIn視為潛在的高風(fēng)險網(wǎng)絡(luò)環(huán)境。即便BrowserGate的說法有所夸大，瀏覽器指紋識別也是互聯(lián)網(wǎng)上真實存在且廣泛應(yīng)用的技術(shù)手段。應(yīng)像對待任何第三方數(shù)據(jù)采集方一樣對待LinkedIn——過去人們普遍認(rèn)為LinkedIn是安全的，但這一假設(shè)或許需要重新評估。"

萊文還建議IT高管"默認(rèn)LinkedIn有能力繪制出企業(yè)的技術(shù)棧全貌"。如果相關(guān)指控屬實，LinkedIn甚至可能推斷出企業(yè)員工使用的SaaS工具、依賴的競爭對手產(chǎn)品、員工使用的求職工具，以及員工在使用與政治或宗教相關(guān)的瀏覽器擴展情況。

他建議，IT部門應(yīng)考慮在敏感網(wǎng)絡(luò)中屏蔽LinkedIn，或要求僅通過虛擬桌面基礎(chǔ)架構(gòu)（VDI）訪問，同時采用瀏覽器隔離技術(shù)。部分企業(yè)甚至可以考慮專門使用一個獨立的隔離瀏覽器來訪問LinkedIn，或使用沙盒化瀏覽器會話，例如Browserling或其他云隔離瀏覽器。

Q&A

Q1：LinkedIn被指控的BrowserGate事件是什么？

A：BrowserGate是由一家歐洲小型公司發(fā)起的維權(quán)行動，指控LinkedIn在用戶不知情的情況下，通過隱藏代碼掃描用戶電腦上安裝的軟件，并將相關(guān)數(shù)據(jù)傳輸至其服務(wù)器及第三方機構(gòu)。LinkedIn否認(rèn)了部分指控，稱掃描瀏覽器擴展的行為已在隱私政策中披露，目的是檢測濫用和維護(hù)網(wǎng)站穩(wěn)定，但對數(shù)據(jù)是否僅用于此目的未予回應(yīng)。

Q2：LinkedIn收集的數(shù)據(jù)可能涉及哪些隱私風(fēng)險？

A：據(jù)指控方稱，LinkedIn收集的數(shù)據(jù)可能涵蓋用戶安裝的軟件信息，并有可能被用于推斷用戶的宗教信仰和政治立場。安全專家指出，如果指控屬實，LinkedIn甚至可以推斷出企業(yè)的技術(shù)棧、員工使用的SaaS工具及求職工具等敏感商業(yè)信息，這在歐盟隱私法規(guī)層面可能存在合規(guī)風(fēng)險。

Q3：企業(yè)CIO應(yīng)如何應(yīng)對LinkedIn潛在的數(shù)據(jù)隱私風(fēng)險？

A：網(wǎng)絡(luò)安全顧問布萊恩·萊文建議，企業(yè)CIO應(yīng)將LinkedIn視為潛在的第三方數(shù)據(jù)采集方，考慮在敏感網(wǎng)絡(luò)中屏蔽LinkedIn，或僅通過VDI訪問。同時可采用瀏覽器隔離技術(shù)，或使用Browserling等沙盒化瀏覽器專門訪問LinkedIn，并建議員工減少瀏覽器所暴露的可識別和敏感數(shù)據(jù)。