Uber 2016年5700万用户数据泄露后支付赎金隐瞒事件被全球追责案

【案件背景】
2016年10月至11月，网约车巨头Uber遭遇了黑客攻击，两名攻击者通过Uber工程师在GitHub上泄露的AWS凭据获取了Uber云存储的访问权限，下载了包含5700万用户和司机的个人信息的数据库，包括约60万名美国司机的驾照号码和约5700万用户的姓名、邮箱和手机号码。更令人震惊的是，Uber前CSO在事件发生后选择了支付赎金和隐瞒。

【违法事实】
美国司法部和FTC的调查揭开了令人震惊的真相：一是Uber向黑客支付了10万美元比特币赎金——时任CSO Joseph Sullivan在事件发生后未向任何执法机构或监管机构报告，而是通过Uber的漏洞赏金计划（Bug Bounty）程序向黑客支付了10万美元，并让黑客签署保密协议承诺删除数据且不对外泄露，试图将严重的刑事入侵包装成'白帽安全研究'；二是对监管机构和公众持续隐瞒超过一年——Uber直到2017年11月新任CEO Dara Khosrowshahi上任后才公开披露该事件，此时距离事件发生已过去整整一年；三是FTC在2016年事件发生前后正在调查Uber 2014年的数据泄露事件——在FTC的调查过程中，Uber不仅未主动披露2016年新发生的数据泄露，还积极地向FTC提供虚假和不完整的证词和文件，构成了对FTC调查的蓄意阻碍和欺诈；四是前CSO Sullivan还试图阻挠Uber新管理层对事件的调查。

【处罚决定】
美国50个州检察长与Uber达成1.48亿美元和解协议（2018年）。FTC对Uber的2014年事件和解协议进行了扩展（2018年），Uber承诺实施全面的隐私计划。最受关注的是对个人的刑事追责——前CSO Joseph Sullivan于2022年10月被联邦陪审团裁定妨碍司法公正和隐瞒重罪两项罪名成立，2023年5月被判处三年缓刑（免于监禁）。该判决在全球网络安全和数据保护领域引发巨大争议和讨论。

【典型意义】
Uber案是全球数据安全事件响应史上最具戏剧性和警示性的案例。一是CSO个人刑事责任的确立是一个划时代的先例——这向全球所有数据安全负责人传递了明确信号：隐瞒数据泄露不仅是公司违法，你也可能坐牢；二是将数据泄露'伪装'为漏洞赏金不仅是违法行为，更具有欺骗和欺诈的加重情节；三是向黑客支付赎金存在巨大的法律和道德风险——这不仅是资敌行为，还可能使企业/个人面临洗钱、资助犯罪等更严重的指控；四是当企业面临FTC等监管机构的持续调查时，主动披露新事件是不可推卸的义务，任何试图在调查中隐瞒的行为都可能被定性为妨碍司法。