• 我们采访发现，绝大多数受访者否认曾与智能非洲共享联系方式，甚至不知晓该组织。
  • 智能非洲拥有大规模邮件列表的行为高度存疑。

事件经过：群发邮件错误暴露敏感联系人列表

BTW Media 特别调查发现，上月智能非洲笨拙发送的邮件中泄露的大部分邮件地址，均未经数据主体同意获取。

智能非洲群发了一封标题为“AFRINIC 选举与 CAIGA 框架在线咨询会”的邀请函，并将收件人置于“To”而非“Bcc”字段，导致大量与 AFRINIC 相关的电子邮件地址暴露给所有其他收件人。独立报道称，该信息源自智能非洲一名项目经理，并称泄露规模达数千个地址，将事件从简单的礼仪疏忽升级为重大数据暴露事件。

我们的采访显示：多数收件人否认任何形式的同意

BTW Media 联系了许多电子邮件被泄露的 AFRINIC 资源成员和网络运营商。绝大多数人告诉我们，他们从未与智能非洲共享过电子邮件地址，并且许多情况下“完全不知道他们是谁”。典型回复包括：“绝对没有”；“不，我们没有”；“我从未分享过我的联系信息，也未同意”；以及“不，我没有分享我的电子邮件，我不认识他们”。多名受访者明确要求不要再联系。少数人承认，他们的地址可能在其他地方被发现——例如，当工程师同意被列为 ASN 或 IP 资源的技术联系人时——但强调技术 WHOIS 条目并非与事件响应无关的群发联系的全面同意。

另请阅读： 智能非洲泄露数千名 AFRINIC 会员邮箱地址

智能非洲解释为何站不住脚：公开数据与非公开数据之辩

公开记录中有两个与 AFRINIC 相关的联系数据来源，但两者都不能完全证明智能非洲持有整合的大规模邮件列表的合理性：

  • AFRINIC 会员页面出于透明度列出组织及其物理地址，但并未提供可下载或浏览的会员电子邮件汇编。
  • AFRINIC 的 WHOIS 是一个官方公开记录，用于互联网运营（滥用、路由、事件协调），且明确对任何人开放；但它不是营销数据库。AFRINIC 进一步指出，批量 WHOIS 数据旨在用于运营或研究目的。

相比之下，智能非洲的可见收件人消息似乎针对的是广泛的会员群体，而非与运营事件相关的特定资源联系人。目的与用途的这种不匹配，正是受访者批评的核心所在。

另请阅读：为何 AFRINIC 争议不止于 IP 地址——关乎自由

风险概览：安全与法律义务被触发

暴露的注册相关地址对网络钓鱼者颇具吸引力，他们能冒充 AFRINIC 或供应商，收集凭证、发起欺诈性资源变更或索要付款。法律风险不小：毛里求斯《2017 年数据保护法》要求控制者在意识到个人数据泄露后 72 小时内向专员通报，若风险较高还可能需通知受影响个人。若该列表源自 AFRINIC 内部或 AFRINIC 承包商，则引发控制者/处理者角色及披露合法依据的疑问；若智能非洲从不同来源汇编该列表，则仍需证明处理具有有效法律依据。

智能非洲日益增长的角色——以及为何应适用更高标准

智能非洲定位为非洲数字化转型的召集平台，近期还宣传了对 AFRINIC 治理危机的协调大陆响应。这一管理者主张加剧了对数据治理的期望：一个寻求影响互联网治理成果的机构必须满足基本的隐私与安全卫生，包括对列表的严格访问控制、选择加入记录，以及任何外部邮件默认使用密送。

另请阅读：秘密 AFRINIC“改革委员会”引发对非洲互联网治理的新担忧

智能非洲现在必须回答的问题

  • 来源：智能非洲如何获得一份 AFRINIC 网站上并未公开的类似会员的邮件列表？如果从任何 AFRINIC 来源获得，法律依据是什么，又有何协议规范传输？如果是外部汇编，处理依据和目的限制是什么？
  • 泄露响应：该数据集的控制者是谁，所需的 72 小时通知是否已经触发？是否向受影响个人发出防范网络钓鱼的警告（提供 DMARC/DKIM/SPF 指导）并提供补救联系点？

读者须知：WHOIS 的功能与局限

为理解消息源提出的细微之处，回想一下：IANA 将 AS 号范围分配给区域注册机构，每个 RIR 发布 WHOIS 以便工程师能迅速联系到正确的人员。在 AFRINIC 区域，这种透明度是路由稳定性的基础，但它并非无同意即进行广泛政治或政策动员的万能许可。

采访结论

我们联系到的人传达的最主要信息很简单：他们不同意智能非洲的做法，他们不知道自己的电子邮件如何出现在列表上。智能非洲需要提供列表来源的可验证解释，并证明遵守了数据保护义务，而来自 AFRINIC 社区的批评既合理又有充分依据。