数据比锂矿值钱

图片来源@视觉中国

文 | 车百智库，作者 | 陈重山，编辑 | 阿峰

近日，在蔚来媒体交流会上，蔚来创始人李斌谈及此前数据泄露事件时表达，蔚来“果敢不妥协”。而在此前，蔚来已就用户数据遭窃取发表致歉声明。

蔚来的回应

一张流传于网络的图片展示，有人通过网络进攻，“破解了蔚来大量数据”，或因勒索不得而公开出售。该图片展示，所售数据包括车主身份证、用户地址等信息，另外，车主亲昵关系、贷款数据等信息也在出售之列，这些信息多为车主隐私。

流传在网络上的图片

不仅仅是蔚来，据UpstreamSecurity统计，市面上的大多数主流车企均遭受过网络安全的影响，目前暴露出来的案例，就包括通用、福特、大众、丰田、沃尔沃等。360公司的董事长周鸿祎在其快手号上表达，窃取用户信息，并对企业进行勒索，已大行其道，成为国际上的“一种商业模式”。

因此，蔚来用户数据被窃取事件，是整个新能源汽车行业的所有企业都应该关注与探求的事件。这是一次行业警示，提醒大家熟悉新能源汽车数据保护的重要性，要不断探索数据安全的提防策略。

本文试图回答四个问题：

1、智能汽车产生的数据，价值有多大？

2、为什么智能汽车更轻易数据泄露？

3、智能汽车数据泄露的危害后果是什么？

4、如何提防智能汽车数据泄露？

01 价值：比锂矿大

我国新能源汽车行业发展迅速。

据工信部数据，2021年，新能源汽车销量为352.1万辆，同比增长1.6倍。进进2022年，前11月，销量已达606.7万辆，增长近一倍。目前，累计渗透率达25.0%，提前完成《新能源汽车产业发展规划（2021-2035年）》中设置的“新能源汽车将在2025年渗透率达到25%”的目的。未来，销量增长趋势还将继续，据国泰君安证券的研报估量，2023年销量有看实现900万辆，同比增长约30%。

新能源汽车销量猛增的同时，对于大数据的依存也随之增强。这是因为，相较于传统汽车，新能源汽车本身就是依靠大数据进行科学化、智能化的运行。而且，新能源汽车也能更轻松收集车主及车辆数据。

目前各新能源车企已获得海量数据，主要分为四类：

其一、车主的数据。包括车主姓名、身份证号码、账号、密码、邮箱、微信名，甚至包括车主办理汽车金融业务的数据。

其二、车辆的数据。包括车辆的VIN号、发动机号、车架号、软硬件版本号，以及车辆的生产企业、车型、车牌、颜色、尺寸等表征车辆特性的数据。

其三、运行数据。即RTM数据，包括完全汽车数据，如车辆的状态、运行速度、电池SOC值等；驱动电机数据，如电机转速、温度等；发动机数据，如发动机状态，曲轴转速，燃油消耗量等；GPS数据，如定位轨迹等；极限值数据，如最大单体电压、最小单体电压等；警告数据，包括电池过高温度、COC值突变、刹车系统等19项；以及蓄电池电压数据。

其四，其他数据。包括各车企App终端收集的数据，以及车主在App上留下的使用数据等。目前，新势力车企擅长与车主互动，大多推出了官方App和车主社区。这当中，以蔚来的NIO App最出名。截至2022年11月25日，有超过400万的用户活跃在NIO App上，这也会产生大量数据。

新能源汽车行业已进进智能化下半场。集度CEO夏一平此前认为，2023年是新能源汽车智能化竞争元年。相较于电动化，在新能源汽车智能化的竞争中，数据的作用浩大，是驱动智能汽车发展的新燃料，从某种意义上看，比锂矿的价值更大。

假如车企把握数据足够多，实时动态量足够大，就能把产品做得更好，市场做得更大。而且，在数据安全和个人隐私保护方面有所建树的车企，将更轻易获得消费者的信赖。J.D. Power调研展示，超过九成（94.6%）受访消费者会有倾向性地抉择注重数据安全和保护个人隐私信息的汽车品牌。

因此，不少业内人士认为，数据已经成为新能源汽车智能化下半场竞争要害点。

02 泄露：风险很大

周鸿祎曾表达，数字时代，新的网络威逼比过往严重很多，越先进就越脆弱。在智能化下半场，新能源汽车数据泄露的风险很大。

与传统汽车相比，智能汽车（即智能化、网联化的新能源汽车）有上百个中心处理器，可以通过车内外传感器摘集各类数据，常被视为一辆移动的、全天候、全场景、无死角的数据搜集和反馈工具。

相较于传统汽车，智能汽车收集的数据领域更广

据车百智库的研报，一辆L4自动驾驶汽车每日会产生近10TB(百万兆)数据，是传统汽车的5-10倍。保守估算，1000辆自动驾驶汽车，在一年时间内，将会产生近11EB(万亿兆)的数据，其量级之大，超乎想象。作为对比，2016年这一年，全球所有互联网数据传输量的总和仅为3EB，只是11EB的27%。

L4自动驾驶汽车产生的数据十分浩大

这么大量级的数据的储存、传输与处理，难免有差池，因此智能汽车数据安全形势十分严酷。

首先，智能汽车是“软件决定汽车”，其中的软件代码十分多。目前，高阶自动驾驶汽车的代码量达到3亿-5亿行，到2025年，将会增至7亿行。据业内 “法则”，每百万行代码缺陷或漏洞数量或在600个左右。7亿行代码中，就可能有4200万个代码缺陷和漏洞，易被进攻的领域很大。

其次，在车联网中，智能汽车受外界网络进攻进口也增多。据中国工程院数据，仅2022年上半年，针对车联网平台的网络恶意行为就超过100万次。

目前，这些进攻的进口包括无钥匙进进、车内网络、USB卡槽、OBD和传感器等近场进攻，也包括通过wifi、4G/5G网络等中程进攻，还包括针对车企、运营商等的云端远程进攻。

特别是云端远程进攻，危害性很大，因为智能汽车对“云端”依靠越来越高。在“2022年世互联网大会乌镇峰会”上，周鸿祎公开表达，“假如云端大脑的数据被进攻瘫痪了，很多智能网联车就趴窝了。”

包括新能源汽车在内的汽车网络安全事件，在过往10年已爆发近千起，这当中，数据、隐私泄露最为常见，占比为39.9%。随着新能源汽车的兴起，这样的网络安全问题呈逐年增多态势，2021年达到了256起，是2016年的近12倍。

03 后果：危及安全

智能汽车的数据安全事件，不仅涉及智能汽车消费者个人信息易泄露，还涉及到行车安全。

首先，个人信息安全方面。

新能源汽车 “智能化”得以实现，离不开车主让渡的大量个人数据。这些数据不仅包括了地理位置、基础信息，也包括通过车内车内摄像头、麦克风、座舱传感器等设备获取的车内私密空间的语音、画面等诸多生物特征数据，也包括通过车外传感器获取的四周行人信息。

若数据泄密，易造成监听和身份盗窃等风险。数据被售卖，还影响车主个人的人身、财产和生命安全。譬如，此次蔚来泄露的数据，据网络流传的图片，可能已向外售卖，其中的“车主亲昵关系数据”，即“紧急联系人”等社会关系数据，若被骗子拿到，就可以冒充车主，给车主亲人发短信，说“车撞了快打钱来”，以此行骗。

其次，行车安全方面。

在“软件定义汽车”的背景下，车辆掌握数据若被“黑客”恶意进攻、篡改，会导致汽车的动力、转向系统被非法掌握，从而引发事故。据福布斯，网络安全研究人员12月21日警告称，本田和日产处于“黑客易感”状态，黑客只需一台笔记本电脑，就可能解锁或启动他们的车辆，并突袭存储在里面的个人数据，甚至还可以远程按喇叭。而挪威安全公司Promon进侵用户手机后，就获取了特斯拉App账户名及密码等数据，还可随时对车辆进行定位、追踪、解锁、启动等行为。

此外，车路协同模式下，假如路侧设施，譬如红绿灯、路侧传感器等的掌握数据被恶意进攻、篡改，就会给智能汽车制造 “海市屋楼”，极易引发交通故事。

据Upstream Security的数据，2011年-2020年，针对智能汽车的网络进攻事件，发生了633起，近86.7%威逼到车辆数据和代码，近43%威逼到车辆掌握，这些都可能导致正在行驶的汽车被远程操控、车辆功能被远程掌握，进而危害交通和个人安全。

对于广大消费者来说，购买智能汽车后，也十分担心其隐私信息被转卖，用于其他用途。环球时报、J.D. Power联合调查数据展示，受访的智能汽车消费者中，88.4%担心个人信息转卖给第三方；77.3%担心个人私密信息被拍后非法传播或被勒索，62.9%担心账号被盗导致私人财产受损，51.8%担心车辆被进攻后失往掌握权。

图源：环球时报、J.D. Power

因此，智能汽车数据安全的提防，十分重要且急迫。

04 提防：“密码上车”

据车百智库的研报，可以通过“密码上车”等技术创新，构建智能汽车数据安全防护体系。

首先，研发国产密码轻量化、低延迟使用技术。

智能汽车对时效性要求很高，使国密算法在保障时效性的情状下安全强度有所下降，导致很多车企暂未使用国密算法。

因此，意见车企研发能提供足够安全性和效率的轻量级密码的国产化算法，提高国密算法的利用率，通过前装安全密码模块，或抉择国密算法，在智能网联各个环节提升数据安全防护能力。

其次，提高国产商密算法的硬件通用性。

目前主流汽车芯片多来自国外给予商，这些芯片在硬件上尚无法支撑国产的商密算法，开发支撑国产商密算法的产品也需要较长的认证时间。

因此，意见一方面加快我国自主汽车芯片研发和利用率，一方面加强研发以提高国产商密算法的硬件通用性。

再次，可多摘用软硬结合的加密方式。

过往多摘用软加密的方式，将密钥以数字形式存储在设备的内存或硬盘中，这导致不法分子有机会从存在漏洞的操作系统中对要害数据进行读取、利用、修改和删除，很难保证加密过程中的安全性。

因此，意见在软加密的基础上，在芯片、模组内部配以硬加密的方式，再加上密钥自毁等防护措施，从根本上对密钥进行安全防护。

最后，进侵检测和防护技术创新。

目前，我国缺少智能汽车数据安全的安全识别和进侵检测技术与机制，难以对信号流、安全掌握路径以及安全路径上的漏洞和风险进行有效识别。

意见通过摘用多层网络防护和多重检测技术结合的方式，实时对智能汽车数据传输的网络流量进行深度检测，精准推断进攻行为或反常行为，及时对传输中的反常进行阻断或对行为反常的总线节点进行通信阻断，预防“黑客”进侵，或减少进侵可能带来的危害。

具体来说，在车外，主要有传感器接进、网络接进两大进口，意见通过接进认证、5G、无线通信等流量进侵检测与防备、Al安全与进攻对抗等技术手段，实现“进不来”的进攻防护。在车内，主要有计算与掌握两大模块，意见通过访问掌握、安全隔离、安全降级、CAN总线进侵检测等技术手段，实现“攻不破”的进侵防护。

另外，区块链技术也可以用到智能汽车数据安全保护上。

区块链技术具有往中心化、不可篡改、防伪溯源的安全特性。数据一旦上链就具有不可篡改、全程留痕、可以追溯、公开透明、集体保护的特征。区块链技术与智能汽车技术合成后能有效提升车端、云端数据存储安全，为企业间数据流通共享提供可信的安全保障，以及便于处理安全事故和建立起安全的个人数据查阅渠道。

如今，我国有关部门对智能汽车的数据安全十分重视，《关于加强智能汽车生产企业及产品准进治理的意见》、《汽车数据安全治理若干规定(试行)》等一系列法律法规相继出台。业内人士还意见，在完美的法律法规基础上，加速形成汽车数据安全的准则体系，成为落地实践的重要支撑。

最后需要指出的是，目前我国智能汽车数据安全防护，处于技术创新的早期阶段，需要找到技术创新与加强治理间的平衡点，给产业提供一个良好健康的发展环境。

参考资料：

[1]《2022中国消费者智能汽车数据安全和个人隐私意识与顾虑调查》，环球时报、J.D. Power

[2]《智能汽车网络安全研究报告（2022版）》，盖世汽车研究院

[3]《2023年新能源车展看：消费需求潜力仍足 估量明年销量同比增长约30%》，国泰君安证券

[4]《数据安全将成为车企智能化竞争新“分水岭”》，美通社

[5]《注重！你的汽车VIN码被黑客盯上了》，福布斯

[6]《四维图新CEO程鹏：数据是未来出行新燃料 发扬价值仍存难点》，新京报

[7]《被勒索的蔚来冤枉吗？》，深途

[8]《保护数据安全，不能只靠“嘴硬”》，数智界