來(lái)源于：券商中國(guó)、中國(guó)基金報(bào)又有銀行客戶信息被非法倒賣！銀行員工以每條80元~110元價(jià)格倒賣客戶信息年入30萬(wàn)，稱不知違法。
江蘇電視臺(tái)公共新聞?lì)l道報(bào)道稱，近日，淮安警方破獲了一起特大販賣公民個(gè)人信息案，共抓獲26名嫌疑人，涉案金額2000多萬(wàn)元。淮安警方稱，犯罪團(tuán)伙通過(guò)現(xiàn)有的技術(shù)手段無(wú)法獲取到如此大規(guī)模的公民個(gè)人信息，這些案件就可能有銀行內(nèi)部的工作人員參與其中。調(diào)查中發(fā)現(xiàn)，果然有一名銀行工作人員丁某僅靠幫忙查詢銀行卡信息，一年黑色收入超30萬(wàn)元。丁某稱，自己查詢了大幾百條或者一千條個(gè)人信息，每條80到110元，稱自己不知道這是違法的，“只是覺(jué)得違反銀行規(guī)定，因?yàn)槲覀冦y行不允許私自把客戶信息泄露。”梳理中國(guó)裁判文書網(wǎng)不難發(fā)現(xiàn)，銀行員工因?yàn)樨溬u客戶信息而觸犯刑法，并以“侵犯公民個(gè)人信息罪”獲刑的案例并不少見(jiàn)。裁判文書網(wǎng)顯示，今年3月底，位于浙江省余姚市的建設(shè)銀行余姚城建支行原行長(zhǎng)沈某沖，因犯侵犯公民個(gè)人信息罪被判處有期徒刑3年，緩刑3年，并處罰金人民幣6000元。沈某沖出生于1973年，現(xiàn)年47歲案件經(jīng)審理查明，2017年3月17日，沈某沖將余姚市東城名苑業(yè)主的財(cái)產(chǎn)信息共計(jì)1111條，通過(guò)QQ郵箱非法提供給周某用于招攬業(yè)務(wù)。同年4月20日，沈某沖又將銀行貸款客戶財(cái)產(chǎn)信息共計(jì)127條，提供給周某用于招攬業(yè)務(wù)。2018年8月15日，沈某沖主動(dòng)向公安機(jī)關(guān)投案，并如實(shí)供述了上述犯罪事實(shí)。山東省鄒城市人民法院一份刑事判決書顯示，2018年5月份期間，浦發(fā)銀行電銷中心任業(yè)務(wù)主管楊某，通過(guò)在休假前把保存在電腦的客戶數(shù)據(jù)（姓名、電話號(hào)碼等）用手機(jī)拍了照片，之后保存在自己的電腦里的方式，利用工作便利獲取客戶個(gè)人信息20余萬(wàn)條，并非法提供給山東星耀君程電子商務(wù)有限公司用于電話營(yíng)銷；同時(shí)，這家電商公司員工李某在對(duì)這些信息資料進(jìn)行加工整理后，又以每條0.3元的價(jià)格對(duì)外售賣給第三人李某洪，后者再將這些個(gè)人信息販賣給陳某實(shí)施電話詐騙。
此前就有客戶數(shù)據(jù)在暗網(wǎng)上被叫賣之前，據(jù)社交媒體賬號(hào) @Bank Security 發(fā)布的消息顯示，"暗網(wǎng)"上大量國(guó)內(nèi)銀行的數(shù)據(jù)正在被出售。數(shù)據(jù)包括上海銀行 80 萬(wàn)行客戶數(shù)據(jù)、興業(yè)銀行46 萬(wàn)信用卡資料、20 萬(wàn)上海理財(cái) VIP 客戶數(shù)據(jù)和 10 萬(wàn)上海浦發(fā)銀行客戶資料。
根據(jù)網(wǎng)曝圖片顯示，被泄露的數(shù)據(jù)包括姓名、地址、電話號(hào)碼、身份證號(hào)、存款金額、所辦業(yè)務(wù)等金融數(shù)據(jù)。
如果數(shù)據(jù)是真的，這事情想想還是挺恐怖，幾十萬(wàn)人相當(dāng)于在裸奔。不過(guò)呢，多家銀行隨后均回應(yīng)：消息不實(shí)。
騰訊安全數(shù)據(jù)安全團(tuán)隊(duì)負(fù)責(zé)人彭思翔在接受記者采訪時(shí)指出，“從宏觀看銀行業(yè)存儲(chǔ)了大量用戶敏感信息，信息又全又準(zhǔn)確，是黑產(chǎn)重點(diǎn)攻擊的目標(biāo)。具體來(lái)看，外部攻擊方面各銀行為自身發(fā)展，開展了大量業(yè)務(wù)應(yīng)用，且更新速度快，所以攻擊面很大，攻擊窗口較多，很難做到滴水不漏的防護(hù)；內(nèi)部治理方面，部分銀行權(quán)限管控粗放，脫敏機(jī)制不完善，導(dǎo)致不必要人員可以接觸大量敏感信息，有誤操作或?yàn)榻?jīng)濟(jì)利益販賣信息的情況。”
在他看來(lái)，銀行信息泄露可能發(fā)生在以下幾個(gè)場(chǎng)景：
1.外包管理領(lǐng)域，特別是對(duì)外包研發(fā)、測(cè)試的管理不當(dāng)。生產(chǎn)環(huán)境暴露、數(shù)據(jù)庫(kù)過(guò)度授權(quán)，都會(huì)引起數(shù)據(jù)泄露。2.信息科技運(yùn)行領(lǐng)域，訪問(wèn)控制策略不當(dāng)，包括物理訪問(wèn)、主機(jī)訪問(wèn)、終端訪問(wèn)、遠(yuǎn)程vpn訪問(wèn)。如果沒(méi)有建立統(tǒng)一的、恰當(dāng)?shù)脑L問(wèn)策略，會(huì)導(dǎo)致數(shù)據(jù)泄漏。3.開發(fā)、測(cè)試和維護(hù)領(lǐng)域，若三個(gè)環(huán)境未分離，分離后生產(chǎn)數(shù)據(jù)使用未脫敏，都會(huì)導(dǎo)致數(shù)據(jù)泄漏。4.信息安全領(lǐng)域，系統(tǒng)漏洞未及時(shí)修復(fù)、未開展代碼審計(jì)等等都會(huì)導(dǎo)致系統(tǒng)被攻陷，數(shù)據(jù)被脫庫(kù)。個(gè)人金融隱私保護(hù)新挑戰(zhàn)：APP端泄露而近來(lái)裁判文書網(wǎng)披露的多起案件顯示，銀行APP也成為更容易被黑客“攻破”的突破口、非法盜取或入侵銀行賬戶信息牟利。2019年12月24日，浙江金華市婺城區(qū)人民法院對(duì)一起非法注冊(cè)銀行賬戶并出售獲利的案件做出了判決。判處兩名主犯有期徒刑4年3個(gè)月，并處罰金7萬(wàn)元；判處7名從犯有期徒刑1年6個(gè)月至2年3個(gè)月不等，并處罰金兩萬(wàn)至四萬(wàn)不等。判決書顯示，短短的兩個(gè)月，9名團(tuán)伙利用“利用APP漏洞和使用抓包軟件”，開設(shè)了10000余個(gè)銀行三類賬戶，涉及華潤(rùn)銀行、溫州民商銀行、金華銀行、浦發(fā)銀行、中國(guó)銀行、招商銀行、建設(shè)銀行等多家銀行。2019年10月，只有初中文化的00后田某被福建省廈門市思明區(qū)人民法院以非法獲取計(jì)算機(jī)信息系統(tǒng)數(shù)據(jù)罪判處有期徒刑三年，并處罰金人民幣一萬(wàn)元。判決文書顯示，田某在2019年1月5日至1月15日期間，通過(guò)軟件抓包、PS身份證等非法手段，在廈門銀行手機(jī)銀行APP內(nèi)使用虛假身份信息注冊(cè)銀行Ⅱ、Ⅲ類賬戶，非法銷售獲利。在作案方法上，他們利用了類似的APP技術(shù)漏洞，跳過(guò)了銀行開戶所必須的“四要素”（即驗(yàn)證開戶人姓名、手機(jī)號(hào)碼、身份證號(hào)碼以及綁定賬戶賬號(hào)或卡號(hào)）驗(yàn)證。具體來(lái)看，先輸入本人身份信息，待進(jìn)行人臉識(shí)別步驟時(shí)，利用軟件抓包技術(shù)將銀行系統(tǒng)下發(fā)的人臉識(shí)別身份認(rèn)證數(shù)據(jù)包進(jìn)行攔截并保存。隨后，在輸入開卡密碼步驟，將APP返回到第一步（上傳身份證照片之步驟），輸入偽造的身份信息，并再次進(jìn)入到人臉識(shí)別之身份驗(yàn)證步驟，此時(shí)，其上傳此前攔截下來(lái)的包含其本人身份信息的數(shù)據(jù)包，使系統(tǒng)誤以為要比對(duì)其本人的身份信息，最終完成開戶。“你的信息被泄露，可能都是你絕對(duì)想不到的地方。”一位銀行智能風(fēng)控業(yè)務(wù)負(fù)責(zé)人向記者分享，移動(dòng)互聯(lián)網(wǎng)繁榮后，引流、導(dǎo)流流行，但用戶信息泄露的平臺(tái)往往可能不是金融機(jī)構(gòu)、大的流量公司或者平臺(tái)，反而極有可能是發(fā)生在房產(chǎn)中介APP、手游APP的注冊(cè)、充值、交易過(guò)程中。中國(guó)信息通信研究院發(fā)布的《2019金融行業(yè)移動(dòng)APP安全觀測(cè)報(bào)告》顯示，在對(duì)133327款金融行業(yè)APP進(jìn)行掃描檢測(cè)后發(fā)現(xiàn)，73.23%存在不同程度的安全漏洞，70.22%存在高危漏洞。平均每款金融行業(yè)APP存在20.3個(gè)安全漏洞，其中6.7個(gè)為高危漏洞。不過(guò)，移動(dòng)金融APP信息安全保護(hù)也引起的監(jiān)管的重視，去年以來(lái)，多個(gè) 監(jiān)管部門數(shù)次公開點(diǎn)名批評(píng)百余款應(yīng)用軟件及其運(yùn)營(yíng)企業(yè)，涉及未經(jīng)用戶同意超范圍及非必要使用個(gè)人信息等違規(guī)情形；去年5月份到8月份，監(jiān)管部門密集出臺(tái)了關(guān)于數(shù)據(jù)安全管理辦法、APP違規(guī)收集使用個(gè)人信息行為認(rèn)定方法等多項(xiàng)征求意見(jiàn)稿及草案。
