个人信息是被谁“偷走”的？酒店快递外卖成信息泄露重灾区

4日,北京市第三中级法院通报了该院审理涉公民个人信息犯罪案件的情况及典型案例。根据三中院的统计,该院自2013年7月建院至今,辖区法院共受理涉及公民个人信息犯罪公诉案件75件,涉案人员104人,涉案单位2个,其中上诉案件16件。

记者梳理这些案件,发现近几年被侵犯的公民个人信息数量从“倍数级”进阶至“指数级”爆炸式增长,酒店、快递公司、外卖平台等企业成为信息泄露的重灾区。

泄露了啥:征信 行踪 住宿 房产越来越多的个人信息被泄露

从信息特点看,被侵犯的公民个人信息数量从“倍数级”进阶至“指数级”爆炸式增长。在信息类型上,涉案信息过去主要是姓名、身份证号、手机号、住址等传统静态信息,现在增加了征信信息、定位信息、行踪轨迹信息、住宿信息、房屋产权信息等多方面、多维度的动态信息。从个案上看,被侵犯的公民个人信息数量日益庞大,储存信息的载体从传统的U盘、硬盘等变为储存量更大的云盘。

因公民个人信息内容存在重复、混同、庞杂的特点,且数量巨大,信息本身识别困难,鉴定机构在认定涉案信息数量方面存在一定难度。与之相对的却是,公民个人信息被打包出售、价格低廉,甚至在犯罪分子间进行二次贩售。

如何泄露:木马 服务器 数据窃取 暗网手段太多监管难度加大

从犯罪手段看,获取公民个人信息的手段不仅包括通过木马程序、改写网址、架设服务器、搭建网站等有技术含量的方式对特定机关、机构的数据库资料秘密窃取,也包括通过流动QQ群、微信群、论坛等网络平台明码标价购买,以及利用“大数据截取”或“暗网进入”等“暗网”方式进行公民个人信息的非法交易等。

暗网确切的技术名词叫做“隐藏的服务器”,是需要通过特殊软件、授权才能连接的网络,更是暗黑交易的绝佳隐匿场所。在暗网,像比特币、莱特币等加密货币有了“流通”的价值。

由于“暗网”的访问门槛低、用户匿名、交易隐蔽,交易方式亦从“现实货币”演进为“虚拟货币”,导致交易对方信息难以查询、交易金额难以认定,给侦查机关调查下游犯罪及计算犯罪分子违法所得造成阻碍。

有啥后果:绑架 诈骗 敲诈勒索极易引发关联犯罪

在犯罪主体上,近年来出现了公司、公司总经理、公司职员共同承担刑事责任的情形,企业如酒店、快递公司、外卖平台等成为信息泄露的重灾区。

单位职员利用职务之便获取公民个人信息、犯罪分子通过恶意软件等方式侵入企业获取个人信息现象多发;涉案公民个人信息归属主体类型化明显,如考生群体、老年人群体、新生儿群体等。

从危害后果看,公民个人信息因涉及住宿、财产、征信、轨迹等敏感内容,极易引发绑架、诈骗、敲诈勒索等关联犯罪。犯罪实践中,行为人利用非法获取的公民个人信息实施的犯罪主要有诈骗罪,比如向不特定对象发送“中奖”信息;合同诈骗罪,比如利用某些理财软件漏洞骗取财物;敲诈勒索罪,比如利用酒店开房记录等住宿信息对相关人员进行勒索。

但囿于信息泄露违法所得金额的限制,对于涉公民个人信息犯罪违法所得的追缴与罚金的财产性处罚,却远不足以填平公民个人信息泄露造成的次生危害。

典型案例一单位犯罪!为电话推销获取公民信息

为了电话推销而侵犯公民信息,不仅牵连员工“受过”,单位也难逃刑责。

北京某文化传播有限公司为推销演讲培训课程,雇佣被告人孙某等20余人从事电话销售工作,并通过入职培训、口口相传等方式,授意被告人张某等人加入以信息资源交流为目的的QQ群,获取包括姓名、手机号码等在内的公民个人信息。

以单位名义由销售人员实施侵犯公民个人信息,且获取的销售利润归公司所有,该公司的行为符合单位犯罪的条件,因此被列为刑事被告。

最终,法院以侵犯公民个人信息罪判处该公司罚款50万元,判处被告人张某、孙某等11人有期徒刑1年10个月至有期徒刑8个月、缓刑1年不等的刑罚,并处相应罚金。

被另案处理的该公司总经理刘某,作为直接负责的主管人员,组织、授意公司员工向他人非法提供公民个人信息,为公司获取经济利益,同样被以侵犯公民个人信息罪判处有期徒刑3年6个月,并处罚金3万元。

典型案例二“内鬼”泄露!中介串通物业窃取业主信息

近年来,大面积的用户个人信息泄露事件屡见不鲜,除了网络“黑客”,更多的是因为企业“内鬼”。

在三中院通报的典型案例中,有一起房产中介串通小区物业人员窃取业主信息的案件。徐某是某物业公司的内保员,欧阳某是一名房产中介。因欧阳某多次与徐某接触,商谈购买北京某小区的业主信息,因此徐某伙同物业公司的中控员李某、熊某和负责秩序维护的吴某等人,非法进入物业公司电脑,窃取业主信息4000余条,并以人民币4000元的价格出售给欧阳某。