信息保护法案出台前夜：金融信息黑产依旧猖獗

　　本报记者慈玉鹏张荣旺北京报道

　　“交3000元即可查指定人银行流水，仅需提供被查方的身份证号或银行卡号，信息渠道上游是银行机构内部。”《中国经营报》记者近日从百度贴吧及QQ群组中的信息贩卖者处了解到，银行流水等他人金融信息皆可查询，不同贩卖者可查询的信息范围不同，有贩卖者称只做国有银行的信息查询“生意”。

　　近年来，刷脸支付、人脸打卡等应用进入各种手机APP及现实生活场景，背后的人脸信息泄露、人脸图像滥用、AI换脸等现象和黑产陆续被曝出，引起人们的担忧。

　　记者从业内人士处了解到，金融信息黑产主要来源有三个，一是金融机构内部人士泄露，二是金融机构合作方泄露，三是信息黑客攻击金融机构等相关企业获取。大数据、人工智能技术迅速发展的背景下，银行等金融机构正在进行互联网化、开放化、智能化转型，随着信息转移链条点增多，客户金融信息泄露的风险也相应提升。

　　随着《中华人民共和国个人信息保护法（草案）》等其他法规陆续出台落地，金融信息黑产市场运作逐步被压制，倒逼着机构提升信息安全技术及制度建设，减少信息泄露及违规使用的可能性。

　　“黑产”贩卖

　　记者近期从百度贴吧等多个渠道获悉，有信息贩卖者表示可查银行流水。通过QQ群搜索，可查询到“查流水”相关的多个群组。

　　一位自称可查询银行流水的人士表示，只要提供身份证号或银行卡号，就可查询第三人银行流水，该人士表示查询一次需要3000元，查询需付款50%定金，当天即可提供数据。

　　该人士表示其在银行内部有渠道，记者询问其某股份制银行是否可查，其表示可查。经记者了解，该群信息黑产贩卖者亦有多层架构，第一层任务是提供信息者，其他多层人士充当中介。该人士告诉记者，其掌握的是首层信息，并非中介，查询速度快。经了解，除金融信息外，其还可进行其他类型信息查询。

　　另一位金融信息贩卖者告诉记者，相关信息的上游渠道是银行，只能查国有银行数据，“仅需一天时间处理。”

　　专注信息安全领域的京都律师事务所律师巴波告诉记者：“目前金融信息作为黑产在网络售卖的情况并不少见，私自售卖银行客户金融信息触犯刑法，当然，在这个领域也存在打着信息售卖的幌子行骗的情况。”

　　除银行等金融机构，信息泄露源头也涉及第三方机构。某国有银行金融科技部门相关负责人告诉记者：“目前信息泄露多是非生产网上的信息泄露，生产网泛指银行交易系统所在的网段。一方面，在客户金融信息流向测试网、办公室网进行加工、查询、统计等操作的过程中，银行需要将数据进行脱敏处理，脱敏处理不到位可能会造成信息被第三方获取。另一方面，中小银行科技力量较为薄弱，在网络工具开发及信息建模的过程中往往会委托第三方开发，而这个过程就存在一定不可控性。据其了解，有银行的数据就在流通过程中发生泄漏。”

　　专注网络信息安全的北京赛博英杰科技有限公司董事长谭晓生告诉记者:“为了一些计算模型构建，银行机构有时需要将客户数据与大数据分析供应商共享而完成计算，信息可无损复制，供应商是否有能力保障客户信息安全，是金融机构需要面对的问题。”

　　另一位国有银行金融科技部门人士告诉记者：“目前，银行系统受到攻击的频率越来越高，银行在开放化建设的过程中，链条上的一个环节工作不到位，也可能造成信息泄露，银行客户信息数据安全需要监控和管理的范围增大了。”

　　记者注意到，央行近日公开表示，近年来金融机构消费者金融信息保护意识不断增强，管理水平不断提升。但也有部分金融机构工作人员无视法律和规定，严重侵害了消费者金融信息安全权，甚至泄露履行反洗钱职责获得的相关信息，反映出部分金融机构的金融消费权益保护意识不足，内部控制仍需持续强化。

　　记者经聚投诉平台发现，有多个国有银行、股份制银行等金融机构在10月份被投诉涉嫌违法搜集或泄露用户信息，其中举报内容包括消费者发现自身地理位置、通讯录信息、金融信息等未经同意被搜集或泄露等。

　　央行近日依据《中华人民共和国消费者权益保护法》《中华人民共和国反洗钱法》有关规定，公示了对多个银行的处罚决定，总罚单超过4000万元，违法行为类型为侵害个人消费者信息依法得到保护的权利，以及违反洗钱管理规定，泄露客户信息。

　　记者了解到，银行在客户信息方面违规主要是两个维度，一方面是个人金融信息违规违法获取，另一方面是个人金融信息泄露。