Meta Platforms Facebook 2018年安全漏洞导致2900万用户敏感信息泄露案

【案件背景】
2024年12月17日，爱尔兰数据保护委员会（DPC）公布了对Meta Platforms Ireland Limited（MPIL）的两项最终调查裁决，罚款总额达2.51亿欧元（约合19.21亿元人民币）。该调查源于2018年9月的一起大规模数据泄露事件。

2017年7月，Facebook推出视频上传功能，包含「View As」选项——允许用户查看自己的资料页在其他用户眼中的显示效果。该功能的设计存在一个严重漏洞：恶意行为者可将视频上传工具与Facebook的「生日祝福编辑器」功能组合使用，从而生成一个全权限的用户令牌——该令牌允许攻击者完全访问目标用户的所有个人资料数据。更致命的是，攻击者可以循环利用同一方法批量攻击其他账户。

在2018年9月14日至28日的14天内，攻击者利用自动化脚本对约2900万个Facebook账户发起攻击，其中约300万个账户位于欧盟/欧洲经济区范围内。Meta在发现漏洞后进行了修复并向DPC报告——但DPC随后启动了两项针对性的调查。

【违法事实】
DPC认定Meta违反GDPR多项条款：

调查一：数据泄露通知违规（GDPR第33条）
1. 第33条第3款：Meta在向DPC提交的违规通知中，未能包含该条款要求的所有信息——本可以也本应该包含的，但没有提供。DPC认定Meta未能履行充分通知义务，罚款800万欧元；
2. 第33条第5款：Meta未能以允许监管机构验证合规性的方式记录与每次违规相关的事实和补救步骤。DPC罚款300万欧元。

调查二：数据保护设计缺陷（GDPR第25条）
3. 第25条第1款（数据保护设计）：Meta在整个处理系统的设计过程中，未能嵌入数据保护原则。View As功能的漏洞本质上是「未能将通过设计保护数据」这一义务在产品研发周期中得到落实的典型案例。DPC罚款1.3亿欧元；
4. 第25条第2款（默认数据保护）：Meta未能履行控制者义务确保默认情况下仅处理特定目的所需的个人数据。DPC罚款1.1亿欧元。

受影响的个人数据类别极为广泛：用户全名、电子邮件地址、电话号码、位置、工作地点、出生日期、宗教信仰、性别、时间线上的帖子、用户加入的群组、以及「儿童的个人数据」。正是由于泄露数据包含大量未成年人信息，罚款金额大幅提升。

【处罚决定】
数据保护专员Des Hogan博士和Dale Sunderland作出以下命令：1）正式训斥Meta违规行为；2）行政罚款总计2.51亿欧元；3）要求Meta确保其数据处理系统的设计和默认设置完全符合GDPR要求。决定草案于2024年9月提交GDPR合作机制，无任何其他欧盟/欧洲经济区监管机构提出异议。

【典型意义】
DPC通讯主管Graham Doyle在裁决声明中指出：「未能在设计和开发全周期中内置数据保护要求，可能使个人面临非常严重的风险和伤害，包括对个人基本权利和自由的威胁。通过允许未经授权的资料信息暴露，此次漏洞背后的脆弱性造成了这类数据被滥用的严重风险。」
本案是GDPR下因单一安全漏洞导致最大金额罚款之一的案例，其核心启示在于：安全漏洞不仅是一个技术问题——当数据保护未能嵌入产品设计之初，当默认数据处理范围超出必要限度，监管机构会从产品设计的根本层面追究企业的法律责任。本案也首次凸显：当泄露数据中涉及儿童个人信息时，处罚规模会显著升级。