击垮大公司的往往是瞒报而非黑客：三起巨头惨剧背后的博弈法则

如果一家大公司的数据库被黑客端了，最致命的一步往往发生在哪里？ 不在黑客敲下的那串攻击代码里。 在事发后高管闭门开会的会议室里。

很多人的第一反应是：赶紧把门关上。 等技术团队把漏洞彻底排查清楚，等法务把责任撇干净，等公关憋出一份滴水不漏的声明。 大家总觉得时间在自己手里，晚公布几天天塌不下来。 但大公司经历过的惨痛教训，算下来全是一笔笔惊人的账单。

第一笔账是 Uber 算出来的。 2016 年，黑客攻破了 Uber 的云端服务器，一口气卷走 5700 万名用户和司机的个人数据，里面包括 60 万名司机的驾照号。 当时 Uber 的安全主管乔·沙利文（Joe Sullivan）做了一个惊人的决定。 他没有向监管机构通报，也没有告诉任何受影响的用户。 他的团队私下联系了黑客，付了 10 万美元比特币当封口费。 为了把账做平，这笔钱被包装成了白帽黑客的“漏洞赏金”，甚至还让黑客签了一份保密协议，协议上假模假样地写着“黑客并未窃取任何数据”。 这起瞒报藏了一年整。 新管理层接手后把真相公之于众，监管部门的大棒随即砸下。 Uber 最终向全美 50 个州及华盛顿特区支付了 1.48 亿美元的和解金。 更沉重的是个人代价。 美国司法部直接追究刑事责任，联邦陪审团裁定沙利文妨碍司法公正和隐瞒重罪两项罪名成立。 这是科技史上第一次有企业高管因为瞒报黑客攻击被定罪。

第二笔账发生在那场著名的商业收购里。 2016 年 7 月，电信巨头 Verizon 谈妥以 48.3 亿美元收购雅虎的核心业务。 谈判刚尘埃落定，雅虎憋不住了，披露自己在 2014 年曾经遭遇过一起黑客入侵，多达 5 亿个用户账户被泄露。 后来大家才知道，波及的范围最终扩大到了全部 30 亿个账户。 这颗炸弹在交易审核的关键当口引爆。 Verizon 抓着合同里的重大不利影响条款，直接在谈判桌上砍价 3.5 亿美元，还要求雅虎分担未来的诉讼风险。 想靠瞒报把历史旧账打包甩给买家，换来的是真金白银的直接缩水。

第三笔账更离谱，有人为此进了监狱。 2017 年，美国主要信用评级机构之一的 Equifax 发现系统被黑客攻破，超过 1.45 亿美国人的社保号和生日等绝密信息暴露在外。 高管层发现之后，足足捂了 40 天才对外发公告。 在这 40 天的静默期里，其信息部门的高管应骏（Jun Ying）察觉到了内部调查的风声。 他悄悄查了同行数据泄露后的股价走势，赶在公司公告前行权抛售了价值 95 万美元的股票，避开了随后的暴跌。 内幕交易败露后，他被联邦法官判处入狱服刑 4 个月。

为什么大公司遇到黑客，总喜欢捂着不说？ 因为传统公关思维在这里彻底撞上了南墙。 普通商业危机里，闭门调查、权衡利弊也许说得通。 但在网络入侵的攻防里，坐在桌子对面的黑客根本不按你的公关日历出牌。 高管还在会议室里字斟句酌地修改声明草稿，黑客的敲诈倒计时已经在滴答作响。 黑客可以随时把数据打包发到暗网，也可以直接群发邮件通知你的付费客户。 一旦用户从陌生黑客或者科技媒体嘴里得知自己的账号在裸奔，公司积累几十年的信任当场归零。

早点通报，根本不等于当场认罪。 技术遭遇未知漏洞，行业里绝大多数人都清楚无法百分之百避免。 关键在于把姿态从“掩盖家丑”换成“并肩防御”。 通报其实可以写得干净利落： 我们监测到了异常活动，已经引入外部独立专家展开调查。 在确认具体细节的同时，建议大家立即修改密码并开启双重验证。 后续有确凿进展，我们会第一时间同步。

这句话一放出来，黑客手里最大的筹码瞬间就废了。 黑客敲诈最仰仗的武器，就是突袭曝光的杀伤力。 你越怕曝光，他就越能捏住你。 当你主动把异常摆在阳光下，黑客手里的爆破引信就被拔掉了。 用户对系统被黑往往有预期，在这个年代，谁都知道没有绝对坚固的防火墙。 但没有人会原谅自己信任的公司知情却装聋作哑。