案件回顾

2023年，美国《纽约时报》和挪威非营利组织调查新闻实验室联合发布了一份震撼性的调查报告，揭示了全球定位数据交易产业对国家安全造成的严重威胁。调查团队购买了一家名为"数据经纪商"公司的商业定位数据包，仅花费约120万美元就获取了超过500亿条手机定位记录。在这些数据中，调查人员发现了大量涉及美国军事人员、情报官员和核武器管理人员的精确定位轨迹。

调查团队从数据中识别出以下关键发现：美国在国外军事基地的军人日常轨迹，包括宿舍、食堂、健身房和作战指挥中心之间的移动路线；美军特种部队人员在其海外基地和当地居民区之间的通勤模式；美国情报机构工作人员在华盛顿特区附近的通勤路线和常去的咖啡馆、餐厅；以及管理美国核武器储存设施的地勤人员的上下班路线和居住区域。

更令人担忧的是，这些数据并非来自军事或情报系统的内部泄露，而是来自普通人日常使用的手机应用程序。当用户在手机上安装一款免费天气应用、游戏应用或社交应用并同意"位置权限"时，这些应用的后台SDK程序就会开始采集用户的GPS定位数据，并将其打包出售给数据经纪商。数据经纪商再将来自上百个不同应用的数据进行整合、清洗和去标识化处理后，以"匿名化数据集"的名义向第三方出售。

定位数据的安全隐患

定位数据之所以构成严重的安全隐患，在于其具有"身份推断"的强大能力。虽然数据经纪商声称已经对数据进行"去标识化"处理，即移除了用户的姓名、电话号码和身份证号码等直接标识信息。但是，学术界已经多次证明，只要拥有足够的时间和空间维度的定位数据，通过模式分析就可以重新识别大多数用户。

具体而言，分析人员可以通过以下途径从定位数据中推断出用户的身份。一是通过用户的"家庭坐标"匹配房产登记信息。如果某人的移动数据在凌晨两点至早上六点之间固定出现在某一住宅地址，并且其他时间段的轨迹也从同一地址出发和返回，那么这个地址极有可能就是该人的居住地点。通过房产登记数据库的匹配，就可以大概率确定用户身份。

二是通过"工作坐标"匹配企业工商信息。如果某人的定位数据每个工作日早上八点至下午六点集中出现在某一办公楼，该办公楼的企业信息就一定程度揭示了用户的工作单位。对于需要保密身份的情报和军事人员而言，定位数据使得他们无法在进入涉密场所和非涉密生活区域之间保持信息的隔离。

三是通过"关联分析"发现群体身份。即使单个用户的身份无法确认，但几十乃至上百名用户的定位轨迹在空间上同时出现在同一个军事基地范围内，且这些用户在非工作时间段分散居住在不同居民区，这种"汇聚+分散"的数据模式本身就揭示了该区域是一个高度敏感的涉密工作场所。

从经纬度到商业机密的暴露链条

定位数据的风险不仅限于军事和情报领域，在商业竞争中的威胁同样不容小觑。

假设一家企业的核心研发基地位于某城市的高新技术产业开发区，一名竞争对手的商务信息分析师仅需购买一份商业定位数据包，就可以通过以下方式获取高价值情报。首要步，筛选出在工作日早上八点半至九点半之间进入该开发区的定位数据；第二步，进一步筛选出下午五点半至六点半之间离开该区域的数据；第三步，对筛选后的轨迹进行聚类分析，找到具有相同"早进晚出"模式的群体；第四步，与同行、供应商和客户代表的已知定位数据进行交叉比对，识别出该企业的核心研发团队、项目管理团队和供应链管理人员；第五步，通过对这些关键人员的通勤路线、餐饮习惯和社交活动进行分析，推断出企业的外协生产合作方、关键客户和潜在并购目标。

更令人担心的是，在重大商业活动前后，如企业上市、并购谈判、新产品发布和技术成果鉴定期间，通过比对该企业核心团队在活动前后一段时间的定位数据变化，可以推测出大量的决策信息。例如，核心研发团队突然连续多日出现在另一城市的某工业园区，很可能意味着正在推进一项关键的外包合作或联合研发。

法律与监管的滞后

尽管定位数据交易带来的安全问题日益严峻，但全球范围内的法律监管仍存在明显滞后。美国目前没有联邦层面的综合数据隐私法规，仅有加利福尼亚、弗吉尼亚等少数州制定了州级隐私法。欧盟《通用数据保护条例》（GDPR）虽然对个人数据处理设置了较高的合规门槛，但在实际执行中对定位数据经纪商的监管仍然不足。亚太地区大多数国家尚未制定专门针对定位数据交易的法律规范。

这意味着，在全球范围内，定位数据的采集、交易和使用基本处于"无证驾驶"状态。企业管理者需要认识到，即使看起来中立的数据分析业务背后，也可能隐藏着针对企业商业机密的渗透通道。定位数据不再是犯罪案件中才用到的取证手段，而是已经变成企业竞争情报中每天都在使用的常规工具。

企业应对定位数据泄露的防护思路

面对定位数据交易的普遍化趋势，企业可以采取以下防护措施。一是对核心涉密岗位人员实施出行信息安全培训，明确禁止在工作手机上安装非必要的、需要位置权限的应用程序。二是为核心涉密人员配备专门的公务手机，公私分离，避免工作定位轨迹泄露个人身份和生活规律信息。三是在关键商务活动期间，对参与人员实施集中的差旅管理，统一安排交通和住宿，减少个人出行数据的暴露面。四是建立与供应商和客户之间的信息沟通安全规程，避免通过定位敏感的手机应用传递任何涉密内容。

北京企密安信息安全技术有限公司提供企业信息安全风险管理咨询和员工信息安全意识培训服务，帮助企业建立包括定位数据管理在内的全面安全防护体系。如需了解更多服务信息，请致电010-63711822或访问baomiwang.com。