每經(jīng)編輯 李凈翰    

據(jù)江蘇公共新聞，近日，江蘇淮安警方破獲了一起特大販賣公民個人信息案，共抓獲26名嫌疑人，涉案金額2000多萬元。

淮安警方稱，犯罪團伙通過現(xiàn)有的技術(shù)手段無法獲取到如此大規(guī)模的公民個人信息，這些案件就可能有銀行內(nèi)部的工作人員參與其中。調(diào)查中發(fā)現(xiàn)，有一名建行工作人員僅靠幫忙查詢銀行卡信息，一年黑色收入超30萬元。

這位建行員工稱，自己查詢了幾百條個人信息，每條80到110元，并稱自己不知道這是違法的，“只是覺得違反銀行規(guī)定，因為我們銀行不允許私自把客戶信息泄露。”

圖片來源：江蘇新聞

銀行員工出售客戶信息年入30萬

在這起涉及9個省份、公安部列為部督專案的案件中，早在2019年6月，有人在網(wǎng)上通過QQ等通信工具公開出售銀行卡相關(guān)信息，包括銀行卡對應(yīng)的卡主身份證號碼、電話號碼、余額甚至交易流水，引起了警方注意。

圖片來源：淮陰警方

一位男子王某稱，在一個偶然的機會，他發(fā)現(xiàn)與銀行卡相關(guān)信息售價動輒幾百元，且需求量很大，于是他轉(zhuǎn)行當起了“信息販子”。接下來，他根據(jù)客戶需要查詢的不同銀行卡，對應(yīng)不同的上線查詢渠道，并以經(jīng)濟利益誘惑，將一名建行員工拉下水。

這名建行員工供述，根據(jù)雙方達成“合作”協(xié)議，他每查詢1條銀行卡相關(guān)信息，即可獲利80~100元不等的報酬。光憑這一黑色收入，年收入就超過30萬元。

一般來講，像建行這名員工這樣處在販賣信息黑產(chǎn)鏈的第一環(huán)，他再聯(lián)系中間商，為了安全起見，中間商一般只有一到兩人，中間商下面還有各種分銷商，層層代理，形成一個以銀行“內(nèi)鬼”為源頭、大量中間商為中介，通過網(wǎng)絡(luò)勾結(jié)、販賣銀行卡的相關(guān)身份證、電話號碼、余額、交易記錄的網(wǎng)絡(luò)犯罪團伙。

淮陰分局網(wǎng)安大隊大隊長朱延亮稱，因為層級很多，所以越到產(chǎn)業(yè)鏈的末端，信息的價格越高，從“內(nèi)鬼”到銷售末端，一條信息的價格可能翻上數(shù)倍，除了犯罪風險，沒有其他成本，利潤非常高。

淮陰警方稱，目前，26名犯罪嫌疑人已被移交檢察機關(guān)提起公訴。

圖片來源：淮陰警方

銀行APP的漏洞可能被黑客利用

此外，近來裁判文書網(wǎng)披露的多起案件顯示，銀行APP也成為被黑客“攻破”的突破口、非法盜取或入侵銀行賬戶信息牟利。

2019年12月24日，浙江金華市婺城區(qū)人民法院對一起非法注冊銀行賬戶并出售獲利的案件做出了判決。判處兩名主犯有期徒刑4年3個月，并處罰金7萬元；判處7名從犯有期徒刑1年6個月至2年3個月不等，并處罰金兩萬至四萬不等。

判決書顯示，短短的兩個月，9名團伙利用“利用APP漏洞和使用抓包軟件”，開設(shè)了10000余個銀行三類賬戶，涉及華潤銀行、溫州民商銀行、金華銀行、浦發(fā)銀行、中國銀行、招商銀行、建設(shè)銀行等多家銀行。

2019年10月，只有初中文化的“00后”田某被福建省廈門市思明區(qū)人民法院以非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪判處有期徒刑三年，并處罰金人民幣一萬元。判決文書顯示，田某在2019年1月5日至1月15日期間，通過軟件抓包、PS身份證等非法手段，在廈門銀行手機銀行APP內(nèi)使用虛假身份信息注冊銀行Ⅱ、Ⅲ類賬戶，非法銷售獲利。

在作案方法上，他們利用了類似的APP技術(shù)漏洞，跳過了銀行開戶所必須的“四要素”（即驗證開戶人姓名、手機號碼、身份證號碼以及綁定賬戶賬號或卡號）驗證。

具體來看，先輸入本人身份信息，待進行人臉識別步驟時，利用軟件抓包技術(shù)將銀行系統(tǒng)下發(fā)的人臉識別身份認證數(shù)據(jù)包進行攔截并保存。隨后，在輸入開卡密碼步驟，將APP返回到第一步（上傳身份證照片之步驟），輸入偽造的身份信息，并再次進入到人臉識別之身份驗證步驟，此時，其上傳此前攔截下來的包含其本人身份信息的數(shù)據(jù)包，使系統(tǒng)誤以為要比對其本人的身份信息，最終完成開戶。

圖片來源：攝圖網(wǎng)（圖文無關(guān)）

中國信息通信研究院發(fā)布的《2019金融行業(yè)移動APP安全觀測報告》顯示，在對133327款金融行業(yè)APP進行掃描檢測后發(fā)現(xiàn)，73.23%存在不同程度的安全漏洞，70.22%存在高危漏洞。平均每款金融行業(yè)APP存在20.3個安全漏洞，其中6.7個為高危漏洞。

監(jiān)管部門正不斷加強對消費者的保護

商業(yè)銀行等金融機構(gòu)掌握著大量用戶，并且擁有非常關(guān)鍵的資金信息數(shù)據(jù)，但如果因為保護不善，導致個人信息泄露，將帶來財產(chǎn)損失等個人影響，

據(jù)第一財經(jīng)，一位銀行業(yè)人士稱，個人信息售賣可以短期、快速獲利，當前，銀行在個人信息安全保護制度上還有待健全，疏于對員工的管理，再加上員工法律意識淡薄，使得泄露現(xiàn)象屢禁不止。

近年來，監(jiān)管機構(gòu)已印發(fā)了一系列監(jiān)管政策文件，要求銀行保險機構(gòu)認真貫徹落實個人信息保護方面的法律法規(guī)，加強客戶隱私保護，對客戶信息嚴格實行從采集到存儲、銷毀等全流程的制度化管理。

2019年12月，央行起草了《中國人民銀行金融消費者權(quán)益保護實施辦法（征求意見稿）》，向社會公開征求意見，正式實施后，規(guī)范將升級到部門規(guī)章級別。相信經(jīng)過最近這一系列事情之后，國家會加速出臺對公民信息保護的法律，強制性、有約束性的規(guī)范和措施將會出現(xiàn)。

4月22日，銀保監(jiān)會副主席黃洪在國新辦新聞發(fā)布會上還強調(diào)，銀保監(jiān)會始終對侵害金融消費者權(quán)益、損害客戶信息安全的行為堅持零容忍的態(tài)度，一經(jīng)發(fā)現(xiàn)，將嚴肅依法查處，嚴厲打擊。此外，銀保監(jiān)會高度重視銀行保險機構(gòu)網(wǎng)絡(luò)安全工作，尤其把客戶信息保護作為重中之重。

每日經(jīng)濟新聞綜合江蘇新聞、第一財經(jīng)、券商中國