近日，微博中有网友曝出学习软件超星学习通的数据库信息疑似被公开出售，其中疑似泄露的数据包括姓名、手机号、性别、学校、学号、邮箱等信息17273万条。，包括1076万个密码。
▲截至记者发稿，“学会学习”话题在微博中的阅读量已经超过3亿次。▲截至记者发稿，“学会学习”话题在微博中的阅读量已经超过3亿次。
数据是怎么被盗的?巨星学习通的职责是什么?消费者应该如何保护个人资料的隐私?记者采访了相关专家。
信息是怎么泄露的?
据了解，超星学习是一款在高校拥有极高人气的APP。泄露事件发生后，社交媒体和应用商店中该应用的评价栏中有大量学生表示其信息最近被泄露。
“从以往的多起数据泄露事件来看，企业数据泄露的原因可能是外部的，也可能是内部的。”数据安全专家、七信数据安全子公司副总经理姚磊告诉记者，“攻击者可能利用目标系统漏洞或窃取的特权账号，获取相应数据库管理员的权限，从而完成数据库拖拽行为。”
据姚磊介绍，内部原因有两个:第一个是运维人员操作不当可能造成数据意外泄露，第二个是里面有内鬼。
安信集团副总裁、创新BG负责人孔德良在接受记者采访时表示，频繁的信息泄露事件，说明很多企事业单位的数据处于“裸奔”状态，这是目前数据安全的首要问题。防止裸奔、补短板迫在眉睫，包括严格控制内部越权或高危操作。
加密后密码不会泄露吗?
在此次事件中，超星学习传播强调，网上关于密码泄露的传言不实。因为他们不存储用户的明文密码，而是使用单向加密存储。在这种技术手段下，即使是公司内部的员工(包括程序员)也无法获取明文密码，所以“理论上不会泄露用户的密码”。
"密码存储加密只是为了在整个生命周期内保护密码的存储."吉盾科技CTO郑东东告诉记者，密码泄露的渠道很多，既有用户的，也有平台的。其他环节，如密码采集(即获取用户输入的密码)、传输和使用，如果没有相应的保护措施，都有可能被泄露。
即使密码能保证不被泄露，也不能保证其他敏感信息，如学生证、身份证等不被泄露。所以敏感信息的泄露保护不仅仅是保护密码不被泄露。
郑东东认为，对于个人来说，可以使用并定期更换高复杂度的密码，不安装来源不明的app，及时升级系统，安装杀毒软件。
巨星学习的责任是什么?
中国电子技术标准化研究院信息安全研究中心审查部主任、3·15信息安全实验室专家何延哲告诉记者:“平台承担责任的前提是先落实数据泄露通道”。
何彦哲说，学通信的巨星自称报警了。如果警方有证据证明是泄密，巨星学习通讯违反了个人信息保护法律法规。如果企业的安全措施不到位，导致个人信息被侵犯，在没有告知用户采取修改密码等措施降低风险的情况下，应当依法处罚。
研究超星学习通讯的用户协议，记者发现“其他免责声明”中称，对于给用户或任何第三方造成的损失，包括但不限于用户计算机信息和数据的安全问题、用户个人信息的安全问题等。、由于不可抗力或平台无法预料和控制的原因(包括但不限于计算机病毒或黑客攻击、系统不稳定、用户账户使用不当以及任何其他技术、互联网和通信线路原因)造成的
“该条款是否有效，取决于平台是否尽到技术安全保障义务。”北京贾云律师事务所律师赵占领告诉记者，“如果学习系统本身存在漏洞导致被黑，免责条款无效，学习还是要承担相应的法律责任，赔偿用户的损失。”
为什么不下架呢?
在iOS应用商店，很多用户在评论区吐槽质疑。“考试的时候截图开摄像头太过分了。”浙江海洋大学的王子欣告诉记者，她不明白为什么长期评分如此低的软件没有下架。为什么公然侵犯学生隐私的app一定要用?
▲题目曝光后，在iOS应用商店中，这款原本评分超低(1.4分满分5分)的软件，一天之内评分更低至1.3分。▲题目曝光后，在iOS应用商店中，这款原本评分超低(1.4分满分5分)的软件，一天之内评分更低至1.3分。
“一般来说，不会因为收视率低而下架。”何延哲说，“因为打分是主观意志，所以也存在恶意低分的情况。下架相当于商品不能销售，类似于一种行政处罚措施。不过超星学习通的这个分数足以提醒用户，这个软件并不是很好，下载使用时需要提高警惕。”
何延哲认为，如果这个APP是某个部门在某些场景下推送的，在教学和考试中要求学生下载，APP评分比较低，其安全措施没有做好，那么推广者应该检查这个APP的安全性。
是否涉嫌超范围收集个人信息?
记者从超星学习通信的相关条款中了解到，超星学习通信在提供服务时，可能会收集、存储和使用用户的手机号码、个人姓名、登录账号、位置权限、基于摄像头(摄像机)的附加功能、基于图片上传的附加功能、基于语音技术的附加功能、检查WLAN状态、读取SD卡、监控手机通话状态、浮动窗口权限、蓝牙权限、获取任务权限、设备信息。
这是否涉嫌超范围收集个人信息?“用户注册时需要提供哪些个人信息?平台已尽到告知义务，并征得用户同意。”赵占领表示，在这种情况下，平台是否过度收集个人信息，要看是否违反必要性原则。评价平台是否有必要收集个人信息，需要结合具体产品进行分析，即“平台不提供最基本的信息，就无法为用户提供相应的服务”。比如导航软件要收集用户的地理位置信息，购物软件要收集用户的姓名、号码等信息。