雅虎的沉沦：三个月泄露15亿账户信息 安全成短板

12月中旬，美国候任总统特朗普召集硅谷大佬开会，旨在修补与科技企业界的关系。十几个人的邀请名单被看做高技术企业的权势排行榜，包括亚马逊CEO贝索斯，苹果CEO蒂姆·库克、微软CEO纳德拉、特斯拉CEO马斯克和谷歌创始人拉里·佩奇、脸书COO雪莉·桑德伯格等悉数在座。

名单上并没有雅虎的一席之地，毕竟雅虎早已没有在奥巴马甚至是小布什总统上任时的那种影响力。古希腊哲学家赫拉克利特说过人不能两次踏入同一条河流。而对一家公司来说，在一条阴沟里翻两次船的几率却并不小。这家公司就是雅虎。

“史上最大”

今年九月，雅虎证实至少有5亿账户遭到网络安全侵入，这被认为是互联网史上最大规模的网络安全泄露事件。目前电子邮件、社交媒体账户、保险公司、甚至政府的数据被窃已成家常便饭，“史上最大”的规模在短短三个月后就被刷新，目前被爆出的资料泄露事件已经达到10亿的量级。不过尴尬的是，创下这个新纪录的仍是雅虎公司。

雅虎日前透露，入侵该公司的黑客在2013年8月不仅从超过10亿个账户中窃取了个人信息，还进入该公司自己的软件并生成伪造的小型文字档案（cookies），这可让他们无需密码就能进入用户的账户。雅虎首席信息安全官鲍勃·罗德表示，这次事件与9月披露的超过5亿账户遭入侵事件存在关联。

新披露的袭击涉及更多敏感的用户信息，包括没有加密的安全问题。雅虎已经采取行动，增强跟踪这类袭击的系统。公司鼓励用户修改与其雅虎账户有关联的密码，以及与雅虎邮箱和账户绑定的任何数字账户密码。

雅虎的资料泄露可能会带来一连串的影响。因为对很多用户来说，修改雅虎账号密码只是个开始，他们还必须彻底检查其他服务项目，以确保在这些网站上使用的密码与他们之前在雅虎的密码不会太相似。如果雅虎的用户还没有做到这一点，那么将面临更大的安全风险，比如黑客可能通过其他网站的邮件试图从他们那里骗取更多信息。

雅虎安全吗

泄露事件让人们产生疑问：曾经的门户网站霸主雅虎，在安全问题上是不是有缺陷？

事实确实如此。雅虎发言人苏珊娜·菲林为公司安全工作辩护时说，公司于2014年初在加密技术上投入了1000万美元。这笔钱听着不少，但事实上和谷歌等硅谷竞争对手相比，雅虎最近几年把安全问题放在不太重要的位置。雅虎在2013年的信息泄露事件发生一年之后，才新聘用亚历克斯·斯塔莫斯作为公司第一位首席信息安全官。

斯塔莫斯在业内以推动采用隐私保护和反监控措施闻名。他刚来雅虎，也决心要大干一场，但很快就发现工作中遇到不少阻力，尤其在安全措施的成本和给客户带来的不便等问题上，雅虎的安全团队与包括首席执行官梅耶尔在内的高管产生了分歧。为了让计算机系统更加安全，企业通常必须把自己产品的速度变得更慢，更不便于使用。而雅虎的领导层常常不愿意做出这样的取舍。

到了需要投入大量资金完善安全框架的关头，梅耶尔多次和斯塔莫斯发生冲突。她拒绝为雅虎的安全团队提供资金，还推迟了采用主动安全防御措施的日程，其中包括用于雅虎产品系统的入侵检测机制。梅耶尔还拒绝了一项最基本的安全措施：自动重置所有用户的密码。安全专家认为这一措施是遭到入侵以后的标准回应。

由于和管理层冲突不断，斯塔莫斯去年离开雅虎转投脸书，其团队成员也被苹果和谷歌等竞争对手挖走不少，这让雅虎一度很被动。不过雅虎反复强调会更加重视安全问题，其给出的解决方案包括今年对安全方案的投资会增长60%。

“在雅虎，我们对用户面临的威胁有着深入的了解，一直竭力跑在这些威胁前面，以确保我们的用户和我们的平台安然无恙。”雅虎发言人菲林说。

前景不妙

其实雅虎在安全上的短板，是公司经营困境的缩影。其管理团队之所以拒绝实行一些安全措施，是因为担心就连改密码这样简单的小事，也会促使日益减少的雅虎电邮用户转而使用其他公司的产品。电邮用户是雅虎最忠实、最活跃的用户，但该公司的电邮市场份额多年来一直在下降。

对于江河日下的雅虎来说，庞大的用户基数已经是其最后有价值的资产了，尤其是在公司待价而沽的时候，因此管理层认为在这方面不应给用户带来任何不便——具有讽刺意味的是，用户信息因为安全漏洞被黑客拿走，才是对用户最大的不便。

用户信息泄露事件可能对雅虎出售的前景带来影响。今年7月，雅虎同意将核心业务以48.3亿美元的价格出售给威瑞森电信，后者原本打算在明年一季度中期完成该交易，而在这个节骨眼上爆出这样的事件，无疑会让收购方重新考虑这笔交易。

据悉，威瑞森决定完全放弃收购雅虎的交易还是努力压低收购价格取决于雅虎遭受的损害，这将由用户数量或用户对其网站及服务参与度的下降程度来确定。目前威瑞森表示可能要重新协商交易条款。

威瑞森发言人鲍勃·瓦雷东尼表示：“在雅虎继续展开调查的同时，我们会对情况进行评估，在得出最后结论之前，我们会重新审视新进展的影响。”

这就意味着雅虎的核心业务的估值，可能会低于此前的48.3亿美元。对于这样规模的一家公司，首席执行官梅耶尔没有资格出现在候任总统特朗普召集的硅谷大佬会议上，也是顺理成章。