華碩因路由器資安漏洞遭起訴一案與美國聯邦貿易委員會達成和解
美國聯邦貿易委員會（Federal Trade Commission, FTC）於2014年間以路由器(Router)與雲端服務的安全漏洞，導生消費者面臨資安與隱私風險之虞，而依據《聯邦貿易委員會法》第5條（Federal Trade Commission Act, 15 U.S.C. § 45(a)）委員會防止不公平競爭違法手段（unfair methods of competition unlawful ; prevention by Commission）之規定，即華碩涉嫌行使不公平或詐欺的手段致影響商業活動之公平競爭為由，對我國知名全球科技公司華碩電腦股份有限公司(ASUSTeK Computer, Inc.)進行起訴 。
本案歷經FTC近二年的調查程序後，華碩公司於2016年2月23日同意FTC的和解條件，即華碩公司應針對部分存在資安疑慮的產品依計畫進行改善，並且於未來20年期間內須接受FTC的獨立稽核(independent audits)。 FTC於該案的起訴報告中指出，華碩於銷售其所生產的路由器產品時，曾對消費者強調該產品具許多資安保障措施，具有得以防止使用者不受駭客攻擊等效果；然而，該產品實際上卻具有嚴重的軟體設計漏洞，使駭客得以在使用者未知的情況下，利用華碩路由器的網頁控制面板(web-based control panel)之設計漏洞，任意改變路由器的安全設定；更有專家發現駭客於入侵華碩製造之路由器產品後，得以強佔使用者的網路頻寬。
此外，華碩允許使用者沿用路由器產品的預設帳號密碼，再加上華碩所提供的AiCloud與AiDisk雲端服務功能，讓使用者得以隨身硬碟建立其私有的雲端儲存空間，使得駭客得藉由上述華碩路由器的設計漏洞直接竊取使用者於隨身硬碟內所儲存的資料。FTC並於起訴聲明中指出，駭客利用華碩路由器產品與相關服務的漏洞，於2014年間成功入侵超過12,900多位產品使用者的雲端儲存空間。除此之外，使華碩更加備受譴責的是，當該漏洞被發現之後，其並未主動向產品的使用者強調產品存在該資安問題，更未告知使用者應下載更正該設計漏洞的軟體更新，因此FTC始決定對華碩進行起訴。
黃宇良
法律研究員 編譯整理
FEDERAL TRADE COMMISSION ACT, 15 U.S.C. § 45(a).
Federal Trade Commission, ASUS Settles FTC Charges That Insecure Home Routers and “Cloud” Services Put Consumers’ Privacy At Risk, Feb. 23, 2016, https://www.ftc.gov/news-events/press-releases/2016/02/asus-settles-ftc-charges-insecure-home-routers-cloud-services-put (last visited Feb. 25, 2016).
IN THE MATTER OF ASUSTek Computer, Inc., 142 F.T.C. 3156 (2016), https://www.ftc.gov/system/files/documents/cases/160222asusagree.pdf (last visited Feb. 25, 2016).
鑒於「監管不確定性」係加密貨幣市場發展之一大阻礙，2018年間，美國證券交易委員會（United States Securities and Exchange Commission, SEC）成員威廉．希曼（William Hinman）表示，SEC打算發布指導方針，協助市場參與者確認「哪些數位資產之發售，會被認為是投資契約，進而構成證券」，須受到相關證券法規監管。據此，2019年4月3日，SEC公布指導文件：「數位資產之投資契約分析框架」（Framework for “Investment Contract” Analysis of Digital Assets）。惟須注意的是，該文件為內部成員之意見，不具正式法律效力，不得拘束SEC企業財務局或委員會本身，而僅屬一種指導。 美國法上對於「投資契約」的認定標準，為聯邦最高法院建立的Howey Test，即基於合理的獲利預期、且該獲利來自他人的創業或經營努力、而投資金錢於一共同事業者，成立投資契約，進而構成證券。因此，為確認「哪些數位資產之發售，會被認為是投資契約，進而構成證券」，該文件特別針對「Howey Test」中的「基於合理的獲利預期」、「該獲利來自他人的創業或經營努力」，提出具體判斷標準，並輔以「其他相關考量因素」，供市場參與者作一參考： （一）基於合理的獲利預期：例如「數位資產持有人可否分享企業收入或利潤，或從數位資產的增值獲得利潤」、「持有人現在或未來得否在次級市場交易」等具體標準； （二）該獲利來自他人的創業或經營努力：例如「營運上是否去中心化」、「數位資產持有人，是否期待發行人執行或管理必要工作」等具體標準； （三）其他相關考量因素：包含「數位資產之設計和執行，旨在滿足使用者需求，而非投機買賣」、「數位資產的價值，通常會保持不變或隨時間減損，理性持有人不會『以投資為目的』而長期持有」、「數位資產可作為真實貨幣之替代物」等等，文件中指出，只要這些其他相關考量因素越明顯，越不符合上開「基於合理的獲利預期且該獲利來自他人的創業或經營努力」。 文件中亦強調，SEC將參酌個案事實，綜合上開各項標準，為客觀之認定。
英國資料倫理與創新中心提出「議題速覽-深度偽造與視聽假訊息」報告英國資料倫理與創新中心（Centre for Data Ethics and Innovation, CDEI）於2019年10月發布「議題速覽-深度偽造與視聽假訊息」報告（Snapshot Paper - Deepfakes and Audiovisual Disinformation），指出深度偽造可被定義為透過先進軟體捏造特定人、主題或環境樣貌之影片或聲音等內容。除取代特定主體之臉部外，其亦具備臉部特徵重塑、臉部生成與聲音生成之功能。而隨相關技術逐漸成熟將難辨網路視聽影像之真偽，故CDEI指出有必要採取相關因應措施，包含： 一. 立法 許多國家開始討論是否透過訂立專法因應深度偽造，例如紐約州眾議院議員提出法案禁止特定能取代個人臉部數位技術之應用，美國國會亦有相關審議中草案。然而，縱有法律規範，政府仍無法輕易的辨識影片製造者，且相關立法可能抑制該技術於正當目的上之應用，並導致言論自由之侵害，故未來英國制定相關制度之制定將審慎為之。 二. 偵測 媒體鑑識方法於刑事鑑識領域已實行多年，其也可以運用於辨識深度偽造。媒體鑑識方法之一為檢查個體是否有物理上不一致之現象，以認定特定證物是否經竄改，包括拍攝過程中被拍攝對象是否眨眼，或皮膚上顏色或陰影是否閃爍。雖目前英國相關鑑識專家對於媒體鑑識方法是否可辨識深度偽造仍有疑義，惟相關單位已經著手發展相關技術。 三. 教育 教育亦為有效因應深度偽造之方法。目前許多主流媒體均開始喚起大眾對於深度偽造之意識，例如Buzzfeed於去年即點出5個方法以辨認有問題之影片。科技公司也開始投入公眾教育，提高成人網路使用者對於假訊息與深度偽造之辨識，然而報告指出其成效仍有待觀察。
英國通過「隱私及電子通訊規範」英國於今年5月26日通過「隱私及電子通訊規範」（The Privacy and Electronic Communications Regulations），實現隱私監督之責，以管控cookies或是侵害個人資料之行為。 新法納入歐盟於2009年e隱私指令中所決定之改變，旨在讓網路使用者自行決定資訊服務業或其他事業能儲存多少使用者之紀錄。但業者對此項新要求表示困惑，因此英國之隱私權主管監督機關資訊專員公署（Information Commissioner's Office，ICO）最近出版一份指引，指導網站如何遵守新法使用cookies功能之規定及履行告知義務之要求。然而指引中並未強制規定告知內容與方式，因此業者仍可自行決定如何最有效地履行告知義務。 ICO本週表示新法尚有一年之緩衝期間，讓業者調整使用cookies功能之方式。政府表示目前仍在與瀏覽企業者討論，如何透過瀏覽器頁面之設置取得當事人之同意，而此部分尚未規定在新法中。 「政府的指引太晚公布了，並且缺乏明確性，又無法確定新法是否能允許以瀏覽器技術作為解決之方法，這樣會讓業界無所適從」，任職於Pinsent Masons法律事務所的科技法律專家Clarie McCracken說，「此種非決定性之指引會使業者無法找到標準作法以避免觸犯新法。」。 ICO認為企業在新法正式施行前，最好趕快表明其如何使用cookies功能並制定相關規定以遵守新法。 新法同時要求特定企業當其所蒐集之個人資料遭受駭客攻擊或外洩時，其必須要告知消費者。根據新法，個人資料遭受侵害之定義為：某種安全狀態遭受攻擊，導致與公共電子通訊服務有關之個人資料被故意或不法毀損、滅失、竄改、越權揭露或存取、傳遞、儲存或其他相關利用。當上述情事發生時，公司必須通報ICO，說明大致情況及可能產生之結果，並提出公司將採取之因應措施，同時告知受害之消費者。