Careem 的快速擴張使 1400 萬用戶的資料暴露於駭客

Careem 曾是中東對 Uber 的回應——一款總部位於杜拜的叫車應用程式，從波斯灣到北非、巴基斯坦與土耳其，迅速擴張至十多個國家。與其他平台一樣，它持有數百萬名顧客及為其服務的司機的個人資料。

2018 年 1 月 14 日，Careem 偵測到其系統遭到入侵。駭客存取了約 1400 萬人的帳戶資料——乘客與司機皆然——取走了姓名、電子郵件地址、電話號碼及行程紀錄。這是該地區所通報的最大規模資料外洩事件之一。

Careem 並未立即公布這起外洩事件。它於 2018 年 4 月 23 日公開披露，距偵測到事件約三個月，並表示需要時間調查，且已與執法機關及安全專家合作。這段時間差引發了慣常的疑問：一家公司應該多快告知其用戶。

這起案例提醒我們，快速成長的平台首先就是資料攻擊的目標。Careem 曾競相增設城市與用戶，而伴隨這般成長而來的個人資訊，成了攻擊者的資產。教訓是：安全防護必須以與用戶基礎相同的速度擴展，而披露時機本身就是因應措施的一部分。

Careem 競相增設城市與用戶，累積個人資料的速度快於其強化防禦的速度，並在偵測到外洩後延遲三個月才披露。

Careem 在許多國家的快速擴張，累積了數百萬名乘客與司機的個人資料，速度快於其防禦措施強化以抵禦攻擊者的速度。

叫車平台是誘人的目標：它在單一地點持有龐大且地理上分散的用戶基礎的姓名、聯絡方式及移動資料。

這起外洩於 1 月偵測到，卻直到 4 月才披露，留下三個月的空窗期，受影響的用戶在此期間並不知道自己的資料已被取走。

同時持有乘客與司機的資料使暴露範圍加倍，也意味著這起外洩波及了靠該平台謀生的人，而不只是其顧客。

一個競相增設用戶的平台，正以與業務相同的速度打造一個目標。個人資料必須以成長的步伐加以保護，而當資料外洩時，及時告知用戶是因應措施的一部分。

Careem 持續營運，後來被 Uber 收購，成為 Uber 在該地區業務的核心。這起外洩事件在討論新興市場中高成長科技公司的資料安全時被引用；在這些市場，用戶數量可能超出本應伴隨而來的安全與披露實務。