消費類可穿戴智能設備數據處理過程中有哪些安全風險？

在消費類可穿戴智能設備的數據處理過程中，制造商、供應商、運營商和服務提供 商等各廠商在數據收集、存儲、傳輸、使用、提供和刪除等環節面臨諸多安全風險。

1.數據收集環節的風險

一是傳感器和軟件如果缺乏安全驗證，可能存在漏洞或后門，導致數據被未授權方竊 取。根據研究，目前市面上不少消費類可穿戴智能設備的應用程序都存在代碼漏洞，攻擊 者可通過網絡攻擊獲取設備控制權，進而非法采集數據。2018 年，挪威消費者委員會對 4 款智能手表進行安全測試，發現其中一款手表存在嚴重的安全漏洞，攻擊者可以通過互聯 網秘密監聽手表的麥克風，實時竊聽孩子的對話。2022 年，央視 315 晚會專門設立網絡安 全實驗室環節，通過測試發現孩子的手表可以被黑客進行實時監控，黑客能夠直接獲取兒 童日常的行走軌跡，以及實時環境聲音。部分低配兒童手表淪為行走的偷窺器，引起社會 普遍關注。

二是一些設備制造商和服務提供商，為追求商業利益最大化，可能采取數據過度采集 的策略，這不僅違背數據最小化原則，也加劇了數據泄露風險。以智能手環為例，正常使 用其計步、心率等功能，完全不需采集用戶的通訊錄、位置等隱私數據，但現實中這種行 為屢見不鮮。2023 年，一位母親購買了一款智能校服，希望借助其衛星定位功能掌握孩子的實時位置。然而，這款智能校服卻暴露了孩子的位置隱私。有不法分子利用其軟件漏洞， 批量泄露了數千名學生的實時位置，還對部分學生實施了跟蹤騷擾。此事給孩子和家長都 帶來了切實的人身安全威脅。

2.數據存儲環節的風險

一是云端數據未做加密，或加密強度不夠，存在數據裸奔的風險。根據統計，目前半 數以上的云用戶沒有對其關鍵數據進行加密。2021 年，一位 fitbit 的用戶驚訝地發現，自己 的運動數據，包括每天的步數、心率、睡眠時間等，在自己不知情的情況下被公開到了搜 索引擎上。原來，fitbit 的服務器存在隱私防護的漏洞，用戶的數據在未經適當脫敏的情況 下被泄露。此事給用戶的隱私保護敲響了警鐘。 二是云上數據因身份認證、訪問控制等措施缺失，可能被越權訪問。特別是在多租戶 的公有云場景，資源共享導致攻擊面擴大，數據被其他租戶和內部管理員竊取的風險加劇。 一位老人的智能血壓計泄露的用藥信息，被不法商家用于精準營銷，給生活帶來不便。

三是企業自建或租用的云存儲服務，安全運維不到位，存在數據丟失、泄露等風險。 數據丟失風險主要源于硬件故障、軟件錯誤、人為失誤等因素，可能導致業務中斷和經濟 損失。數據泄露風險來自訪問控制缺陷、傳輸加密不足、供應商管理疏漏等問題，可能致 使敏感信息外泄，損害企業聲譽，甚至面臨法律和經濟制裁。此外，惡意攻擊、內部人員 操作不當等也可能讓數據遭到篡改，影響數據完整性，導致決策依據錯誤和業務運轉混亂。 網絡故障、系統維護、供應商停止服務等因素還可能引發服務中斷風險，無法按需獲取數 據，嚴重影響業務連續性。 

3.數據傳輸環節的風險

一是消費類可穿戴智能設備數據多通過無線通信技術（如藍牙、Wi-Fi、5G 等）上傳 至終端 App 或云端，傳輸過程極易受到竊聽和篡改。根據研究，市面主流的智能手環，超 過 60%采用明文傳輸數據和指令，存在嚴重的中間人攻擊風險。2018 年，挪威消費者委員 會對 4 款智能手表進行安全測試，發現其中一款手表在數據傳輸過程中使用了弱加密算法， 黑客可以輕易破解，獲取孩子的實時位置信息。黑客可輕易利用藍牙嗅探器等工具，對無 線電波進行偵聽，實施數據竊取。

二是傳輸過程中還可能出現數據包遺失、失序、重放等問題。數據包遺失會導致信息 傳輸不完整，接收方無法獲得全部內容，影響業務流程的正常進行。數據包失序可能擾亂 信息的原有邏輯順序，讓接收方難以正確理解信息含義，做出錯誤判斷和處理。數據包重 放則可能讓接收方誤以為收到了新的信息，重復處理已經完成的任務，浪費時間和資源。 此外，數據包傳輸延遲過高也會對時效性要求較強的業務造成影響，甚至引發后續一系列 連鎖反應，損害企業利益。 

4.數據使用環節的風險

一是數據脫敏不徹底，存在隱私泄露風險。傳統的數據脫敏方法（如加密、混淆、假 名化等），只能防止數據被直接識別，但難以抵御基于關聯數據的隱私推斷攻擊。2017 年， 某健身軟件發布了全球運動手環熱圖，其中就顯示美國士兵的運動軌跡，導致美國軍事基 地的坐標被完全泄露，手環記錄的軌跡不僅描繪了基地的輪廓，還可以看到軌跡路線，車 輛物流運輸路線等敏感信息。對此，需采用同態加密、安全多方計算、差分隱私等新興隱 私保護技術，在保留數據統計特性的同時，防止敏感信息泄露。

二是在數據特征提取過程中，如果缺乏訪問控制和流程管控，可能導致中間特征數據 被竊取，甚至通過特征工程逆向出原始數據。一位白領的智能手環記錄的詳細運動軌跡， 成為前任跟蹤騷擾的依據。對此，要嚴格限制和審計對中間數據的訪問，并采用 PCA 降維、 子空間隨機映射等技術，提高數據特征的不可逆性。 三是在數據分析、挖掘環節，算法模型可能存在偏差，造成對不同群體的隱性歧視。 如一些疾病風險評估模型，可能會過度關聯某些種族、地域因素，產生不公平的預測結果。 

5.數據提供環節的風險

一是數據售賣和轉讓，可能超出用戶授權的范圍，違反用戶意愿。近年來，就發生多 起 App 超范圍向第三方分享用戶健康數據的事件，引發廣泛質疑。一位老人的智能血壓計 泄露的用藥信息，被不法商家用于精準營銷，給生活帶來不便。對此，需建立面向用戶的 數據授權機制，讓用戶清晰知曉并自主決定數據去向。同時，監管機構應加強對數據交易 的備案審查。 二是共享數據的安全防護不力，存在二次泄露風險。接收共享數據的第三方，可能缺 乏足夠的安全管理能力，或違反雙方的數據安全協議，造成共享數據的非授權擴散。對此， 需明確雙方的安全責任，對共享數據全生命周期管理；探索基于區塊鏈的數據共享安全機 制，利用智能合約實現細粒度授權、訪問控制和責任追溯。

三是共享數據的用途可能偏離初衷，被用于商業監控、廣告投放等侵犯隱私的用途。 共享數據被用于商業監控，可能在用戶不知情的情況下，捕捉其網絡行為和位置信息等， 侵犯用戶隱私，引發用戶對企業的反感和投訴。用戶數據還可能在未經允許的情況下，被 共享給第三方廣告商，用于精準廣告投放，讓用戶產生被竊取信息和被操縱的負面情緒， 損害企業形象。一旦涉及未成年人等敏感群體數據，用途偏離更可能引發法律糾紛，讓企 業面臨高額賠償，品牌聲譽嚴重受損。此外，內部人員違規使用共享數據牟利、數據二次 共享失控等風險也不容忽視，極易引發連鎖反應，后果不堪設想。

6.數據刪除環節的風險

一是消費類可穿戴智能設備的數據存儲較為分散，從用戶提出刪除請求到后臺最終執 行，往往存在一定的時間差。這就存在數據刪而不盡、分身泛濫的風險。具體而言，一些 消費類可穿戴智能設備廠商和服務提供商對刪除請求的響應不夠及時，沒有在承諾時限內 完成刪除。還有一些廠商以已做數據脫敏為由拒絕刪除請求。更有甚者，表面答應刪除， 實則數據分身多處，用戶即便行使了刪除權，個人數據仍在平臺的不同業務和數據庫間雪 藏流轉。2022 年，國內一款熱門減肥 App 就曝出“數據刪除門”丑聞。有用戶反饋稱，希 望注銷賬號，刪除個人信息，但平臺客服以“系統還在升級優化”為由，拒絕了請求。經 多次投訴，平臺才提供了注銷通道，然而注銷后 App 未經用戶同意，又將其個人信息回填 至引薦的健身 App 賬號。

二是即便平臺按要求刪除了用戶數據，但由于消費類可穿戴智能設備芯片、存儲卡的 物理特性，刪除操作實際上只是使數據不可見，原物理介質單元并未立即釋放。這種狀態 下，數據殘留在存儲介質上。攻擊者可能會利用數據恢復技術，如磁盤掃描、存儲芯片測 試等，將已刪數據重新還原。因此，對于涉及重要隱私的數據，有必要在邏輯刪除基礎上， 及時進行物理擦除、粉碎銷毀等操作。 三是消費類可穿戴智能設備生成的部分原始數據（如用戶運動軌跡）可能涉及他人隱 私，用戶刪除請求無法觸及。用戶運動軌跡數據可能包含與其同行人員的隱私信息，在未 經他人授權的情況下采集和存儲，侵犯他人隱私權，引發糾紛和投訴。即便用戶提出刪除請求，這些涉及他人隱私的原始數據也難以從系統中徹底清除，存在二次泄露的風險，影 響面可能進一步擴大。倘若原始數據被惡意利用，還可能對相關人員的人身、財產安全構 成威脅，給企業帶來難以承受的法律和輿論壓力。此外，原始數據的跨境傳輸可能觸犯數 據本地化要求，面臨監管處罰；數據匯總分析也可能揭示個人敏感信息，違反數據最小化 原則。