ZWW平台被曝数据泄露，超十万用户信息流入黑市

凌晨三点，圣保罗的网络安全研究员卡洛斯·门德斯在暗网论坛上看到一条出售帖，一份标注为“zww_2024Q4”的数据库文件正在以0.8比特币的价格拍卖。样本数据显示有用户姓名、手机号与部分订单记录了。他追踪后发现，这批数据与巴西本地生活服务平台ZWW的后台结构高度吻合。ZWW方面在事件曝光后六小时内发布声明。承认“检测到异常访问痕迹”的，强调核心支付信息未受影响。公司首席技术官面向商户的直播里面语速明显加快，反复提到“隔离”“加固”两个词了，却未正面回答用户数据是否已外泄呢？含糊态度让里约热内卢的商户安娜·保拉感到不安是她经营的甜品店接入ZWW收银系统刚满四个月，后台存有近三千名会员的消费记录。“他们只说系统升级，可我的顾客已经开始收到诈骗短信了”安娜翻出手机，一条冒充ZWW客服的链接赫然在目。

这不是ZWW第一次卷入安全争议。去年八月了。

圣保罗州消费者保护机构曾接到十余起投诉，指向ZWW平台上的第三方服务商违规收集用户位置数据。当时ZWW以“合作方独立运营”为由将责任推给商户，整改措施仅限于下架三家店铺了。这次泄露的数据库样本中，恰恰有大量用户与商户的聊天记录和地址标签，说明数据聚合层面存在长期隐患。门德斯指出了，ZWW的API接口权限管理松散，有些旧版本接口，甚至未强制校验令牌，“攻击者不需要多高明的手段，顺着公开接口爬取就能拼出完整画像”的。用户信任的裂缝正在扩大。在累西腓，大学生布鲁诺卸载了ZWW应用。转而使用现金支付外卖订单的。“我注册时填了真实门牌号，现在每天接到三个推销电话，对方连我住几号楼都知道”他的遭遇不是孤例吧？

巴西《通用数据保护法》规定的，数据泄露事件中企业须在72小时内通知受影响用户，截至发稿，ZWW仅站内信向部分用户推送了“建议修改密码”的提示，未说明泄露范围与具体风险。律师克拉拉·阿尔维斯认为。模糊处理可能构成程序违规，“用户有权知道自己的哪类数据被泄露呢？

但不是被一句‘系统维护’打发”。压力之下，ZWW在第三天傍晚公布了初步调查结果，一名离职运维人员的账号在离职后仍保持活跃状态长达47天，该账号曾批量导出用户订单表。公司承诺为受影响用户提供一年免费信用监控服务，并关闭所有非必要的外部数据接口。商户们更关心的是经营连续性是安娜的甜品店在事件后三天内订单量下滑四成，有些老顾客直接打电话问“你们是不是把我的信息卖了”。ZWW的区域经理上门道歉时提出减免两个月服务费，安娜没接受。“我要的是他们告诉我，下次再出事我该找谁”啊？

圣保罗大学数字权利实验室跟踪了ZWW事件在社交媒体上的传播曲线。发现负面声量在官方声明发布后反而上升了23%。研究员蒂亚戈·罗查分析了，声明中“深表遗憾”“高度重视”等措辞与用户实际体验脱节。“人们看到的是诈骗短信没停，客服电话打不通，候谈‘加强防护’显得很空洞”的。

他提到一个细节，ZWW的隐私政策页面事件后悄悄更新了数据共享条款，将“合作伙伴”定义扩大到“关联实体”，操作在用户眼里面无异于二次伤害的。门德斯把泄露样本中的电话号码随机拨了二十个，接通的十一个人里有九个确认收到过精准诈骗信息，其中两人已向警方报案。他把案例整理成报告提交给巴西网络安全应急中心的，建议对ZWW启动正式调查。“zww的问题不是技术漏洞，是态度漏洞”门德斯关掉暗网页面时说，那个拍卖帖已经消失了。数据可能已经被复制转卖是“你永远不知道下一个买家是谁啊？这才是最麻烦的地方”