Careem的快速扩张导致1400万用户数据暴露给黑客

Careem是中东版的Uber——一家总部位于迪拜的网约车应用，快速扩张至十几个国家，从海湾地区到北非、巴基斯坦和土耳其。与其他平台一样，它持有数百万客户及其司机服务人员的个人数据。

2018年1月14日，Careem检测到其系统遭到入侵。黑客获取了约1400万人（包括乘客和司机）的账户数据，包括姓名、电子邮件地址、电话号码和行程记录。这是该地区报告的最大规模数据泄露事件之一。

Careem没有立即宣布泄露。它在2018年4月23日公开披露，大约在检测到后三个月，称其需要时间调查，并与执法部门和安全专家合作。这一时间差引发了关于公司应多快告知用户的常见问题。

此案例提醒我们，快速增长的平台首先就是数据目标。Careem竞相增加城市和用户，伴随增长而来的个人信息成为攻击者的资产。教训是，安全性必须与用户规模同步扩展，而披露时机本身也是应对措施的一部分。

Careem竞相增加城市和用户，积累个人数据的速度超过了防御措施加固，并在检测到泄露后延迟三个月披露。

Careem在多个国家快速扩张，积累了大量乘客和司机的个人数据，其速度超过了防御措施的加固速度。

网约车平台本身就是高价值目标：它在单一位置保存大量地域分散用户群的姓名、联系方式和移动数据。

泄露在1月被检测到，但直到4月才披露，留下三个月的窗口期，在此期间受影响用户不知道他们的数据已被取走。

同时持有乘客和司机的数据使影响加倍，意味着泄露波及通过平台谋生的人，而不仅仅是其客户。

快速增加用户的平台在建设业务的同时也在建设目标。个人数据必须与增长速度同步得到保护，而在遭遇泄露时，及时告知用户是补救措施的一部分。

Careem继续运营，后来被Uber收购，成为Uber在区域业务的核心。这一泄露事件在高增长科技公司数据安全讨论中被引为例证，尤其是在新兴市场，用户数量可能超过应有的安全和披露实践。