【电商快评】50亿条公民信息泄露？为何信息泄露成常态？

一、事件概述   近日，公安部破获了一起盗卖公民信息的特大案件，被窃取和盗卖的公民信息多达50亿条。经公安部调查，京东网络安全部前试用期员工郑某鹏，长期监守自盗，与黑客相互勾结，为黑客攻入网站提供重要信息——包括在京东、QQ上的物流信息，交易信息、个人身份等数据信息，为犯罪团伙实施违法犯罪活动提供了有力的技术保障。京东、腾讯协助破获“惊天大案”？京东发布的声明称，在腾讯与京东联合打击信息安全地下黑色产业链的日常行动中，发现2016年6月底入职京东、尚处于试用期的网络工程师郑某鹏系黑产团伙的重要成员，并立即向公安机关提供了线索。以下为京东声明原文：日前，京东与腾讯的安全团队联手协助公安部破获了一起特大窃取贩卖公民个人信息案。据介绍，在腾讯与京东联合打击信息安全地下黑色产业链的日常行动中，发现2016年6月底入职京东、尚处于试用期的网络工程师郑某鹏系黑产团伙的重要成员，并立即向公安机关提供了线索。经了解，郑某鹏在加入京东之前曾在国内多家知名互联网公司工作，其长期与盗卖个人信息的犯罪团队合作，将从所供职公司盗取的个人信息数据进行交换，并通过各种方式在互联网上贩卖。在掌握大量证据的基础上，按照公安部统一部署，安徽、北京、辽宁、河南等14个省、直辖市公安机关同步开展集中收网行动，韩某，翁某，郑某鹏等主要犯罪嫌疑人悉数落网。目前，该案正在进一步审理中。京东与腾讯的安全负责人表示，作为紧密的战略合作伙伴，京东与腾讯自2015年起就在多个信息安全领域开展了深度合作，并建立了一整套的协同互助机制。双方曾联手在打击手机木马、保障互联网金融安全、打击个人信息泄露等领域开展了多个专项行动。今年2月，京东还联合腾讯、百度、沃尔玛等企业共同成立了“阳光诚信联盟”，进一步建立了跨行业的信息安全防护体系。双方表示，在复杂的网络化、信息化安全环境下，目前个人信息安全问题正变得日益严峻与繁杂，双方将进一步通过携手合作，坚决配合相关部门开展积极的打击行动，共同维护用户和企业的正当权益，保障行业的健康发展。盘点：近年电商用户信息泄漏典型案件数据泄露一直都是互联网企业难以言说的痛，从雅虎2亿用户数据泄露，再到前段时间，借贷宝10G裸贷照片和视频压缩包在网上的广泛流传，再到京东的12G数据泄露。一桩桩一件件，无不都显示着在当前大数据时代下每个人都在裸奔的普遍常态。   据国内知名电商用户投诉维权第三方平台——电子商务投诉与维权公共服务平台(www.100ec.cn/zt/315/)近年来接到的用户投诉以及对监测发现：不少大型互联网公司平台公司存在重大内部管理漏洞，其内部人员故意泄露、贩卖网站用户个人信息资料，侵犯网络交易用户的信息隐私权。下面盘点近年来电商行业内出现的11起典型用户信息安全事件如下：事件一：5173中国网络服务网数次被“盗钱”。2010年1月20日，涉嫌盗窃罪的李豪被兰溪市检察院批准逮捕。经查，李豪前后一共盗取了100多个5173网站的账号，共获得赃款12万余元人民币。不法分子先在网上找寻有出售游戏币和游戏装备信息的5173网络账号，通过简单交易获知信息，再推算出网络账号密码，从而实施网上盗窃。事件二：当当网账户遭盗刷。2012年3月，当当网账户集体被盗，余额被用于购买电子产品、金银首饰等大额商品。当年6月13日，网名为“我是那个向日葵”的微博用户发布微博称，其购进的10张面值500元"当当网礼品卡"，被盗充。2014年3月，当当网113位用户账户余额被盗用，损失金额超过6万元。而当当网对于用户账户被盗第一时间均是撇清关系，在舆论压力下才给以补偿。(详见专题:www.100ec.cn/zt/ddw/)事件三：“1号店”员工内外勾结泄露客户信息。2012年5月底，微博用户挨踢客爆料1号店员工内外勾结泄露客户信息，90万的用户信息竟被以500元的价格叫卖。部分消费者不久后就遇到了账户余额被盗、电话诈骗等问题。之后1号店冻结用户账户。1号店副总裁刘彤回应：1号店在案发后已进行了内部检查，对系统、流程、权限进行了清理、升级，以杜绝日后类似事件的发生。被消费者质疑“很没有诚意”。直至2013年3月，仍有很多消费者称1号店对那次信息泄露事件的处理很不到位，至今仍没有得到应有的补偿。(详见专题:.100ec.cn/zt/yhd)事件四：支付宝漏洞信息泄露。2013年3月27日晚，网友曝支付宝出现重大漏洞，称使用谷歌、360索则可以搜索出大量的支付宝交易记录，包括付款账户、收款账户、姓名、日期，甚至邮箱和手机号等，并附带上了Google搜索的截图和多个详情页的截图。该消息27日被大量转发后，支付宝官方于27日晚23时53分在微博中做了回应，称已做处理，这次有付款结果页面被收录可能是因为有极少量用户主动将自己付款结果页面分享到公共区域。该回应遭广大网友质疑。对此，支付宝在回应中称，支付宝生活助手转账付款结果页面一般用于支付双方展示支付结果，不含真实姓名、密码等重要信息，支付宝对这一页面链接加具了安全保护，正常情况下任何搜索引擎都无法抓取。目前已将用户付款结果页面做部分信息隐藏，进一步帮助用户保护个人隐私信息。事件五：如家、七天开房信息泄密。2013年10月，如家、七天等连锁酒店被网曝有多达2000万条客户开房信息遭泄露，只需输入姓名或身份证号，即可查询到包括身份证号、生日、地址、手机号、邮箱、公司、登记日期等真实信息。事发一周前，国内安全漏洞监测平台乌云发布报告，称多家酒店开房记录被无线上网认证管理系统供应商——浙江慧达驿站网络有限公司存储，并因系统有漏洞而存在泄露隐患。事件六：腾讯7000多万QQ群遭泄露，隐患危及微信支付。2013年11月20日，国内安全漏洞监测平台乌云公布报告称，腾讯QQ群关系数据被泄露，在迅雷快传很轻易就能找到数据下载链接。根据QQ号，可以查询到备注姓名、年龄、社交关系网甚至从业经历等大量个人隐私。腾讯方面亦承认7000多万QQ群遭泄露。对此，业界均担忧泄露事件将直接牵连微信安全问题。“黑客一旦掌握了QQ号码和银行卡号，就能注册微信并使用微信支付，盗取用户资金几乎是轻而易举的事情。”事件七：携程技术漏洞导致用户个人信息、银行卡信息等泄露。早在2009年之前，携程信息安全漏洞就已经多次被用户质疑，但均未引起公司足够重视。2014年1月携程再次被媒体指出储存信用卡敏感信息存在泄露风险，携程网回应采用的信用卡支付方式符合国际惯例，对自身的信息安全问题再次选择忽视。2014年3月22日下午18:18分，乌云漏洞平台发布消息称，携程系统存技术漏洞，可导致用户个人信息、银行卡信息等泄露。漏洞泄露的信息包括用户的姓名、身份证号码、银行卡类别、银行卡卡号、银行卡CVV码(即卡号、有效期和服务约束代码生成的3位或4位数字)以及银行卡6位Bin(用于支付的6位数字)，上述信息有可能被黑客所读取。事件八、快递单贩卖成“灰色产业链”。快递单成为又一信息泄露途径，“淘单114”、“淘单网”、“淘单8”、“单号网”等网站明码标价出售快递单号，0.5元就可买到一份快递信息，快递单号贩卖俨然已经成为一条灰色产业链。而数量庞大的淘宝卖家成为快递单号的重要来源之一，目前有近90%的淘宝卖家都在刷单，用真实的快递单号“炮制”出逼真的虚假交。事件九：小米“泄密门”800万用户信息泄露。2014年5月13日晚间，安全平台乌云发布了一个重大的安全漏洞信息，小米论坛被脱裤，约有800万小米社区用户数据泄漏，或将影响小米移动云等敏感信息。随后有用户收到了诈骗电话，电话源头能提供用户的准确信息，姓名、地址、电话、商品购买记录、密码、邮箱、注册IP等信息等等，以货到付款的方式进行产品推销及其他诈骗行为。事件十：13万12306用户信息外泄事件。2014年12月25日上午，漏洞报告平台乌云网出现了一则关于中国铁路购票网站12306的漏洞报告，危害等级显示为“高”，漏洞类型则是“用户资料大量泄漏”。这意味着，这个漏洞将有可能导致所有注册了12306用户的账号、明文密码、身份证、邮箱等敏感信息泄露。瑞星公司针对12306网站约用户隐私被泄露事件进行调查后发现，12306网站主域名下共有6个分站存在严重的Strust2框架的远程执行漏洞。后犯罪嫌疑人蒋某某、施某某被抓获。经过警方初步审查，两人交代是通过收集互联网某游戏网站以及其他多个网站泄露的用户名加密码信息，尝试登录其他网站进行“撞库”，非法获取用户的其他信息，并牟取非法利益。事件十一：携程“瘫痪门”。2015年5月28日11时许，携程网瘫痪，网页版和手机APP均不能正常使用，携程网回复称是服务器遭到不明攻击所致，正在紧急恢复。5月28日下午，携程官网在首页顶部挂出“携程网站暂时无法提供服务，正在紧急修复中，您可以访问：艺龙旅行网”的通知。5月28日17点开始，艺龙旅行首页网也无法正常访问，半小时后才恢复正常。对于事故原因，网上在携程瘫痪事件发生不久之后，出现了内部员工离职报复、数据库被物理删除等传言。5月28日22时45分，携程官方表示，经技术人员抢修，除个别业务外，携程官方网站及APP恢复正常，经过排查，数据没有丢失，预订数据也保存完整。5月29日1时30分，携程官方表示，经技术排查，确认此次事件是由于员工错误操作导致，由于涉及的业务、应用及服务繁多，验证应用与服务之间的功能是否正常运营，花了较长事件，携程官网及APP已与28日23时29分全面恢复正常。相关背景数据在“3·15”国际消费者权益保护日脚步的临近之际，中国电子商务研究中心发布了《2016年度中国电子商务用户体验与投诉监测报告》。报告通过对淘宝/天猫、京东、苏宁易购、唯品会、国美在线、亚马逊中国、拼多多、聚美优品、当当网、1号店等数百家主流电商全年用户维权大数据统计，发货问题、物流问题、客户服务、退款问题、退换货难、虚假促销、商品质量、疑似售假、货不对板、信息泄露为“2016年度零售电商十大热点被投诉问题”。从中国电子商务投诉与维权公共服务平台专家处获悉，用户信息泄露是指消费者在电商平台购物后，由于购物信息泄露发生被欺诈、诈骗产生精神、经济等损失的投诉现，信息泄露在电商市场比较普遍等。据中国电子商务研究中心(100EC.CN)此前对1000位用户在线调查显示，21.7%的用户曾因网购、论坛、微信等遭遇过信息泄露，并且11.2%的用户接到过疑似的诈骗电话；56.8%的用户表示对互联网信息安全担忧，并会对需要填写个人信息的互联网游戏，注册等保留一定的戒心，而仍有43.2%的用户认为互联网信息泄露与个人无关，不太关注。另据中国电子商务投诉与维权公共服务平台(www.100ec.cn/zt/315/)近年来接到的类似用户投诉案例表明，近年来互联网/电商行业“泄密”事件频频出现，其重大典型的包括：5173中国网络服务网数次被“盗钱”、当当网多次用户账户遭盗刷、“1号店”员工内外勾结泄露客户信息、支付宝漏洞致用户信息泄露、如家、七天开房信息泄密、腾讯7000多万QQ群遭泄露、携程技术漏洞导致用户个人信息、银行卡信息等泄露、微信朋友圈小游戏窃取用户信息等。据中国电子商务研究中心(100EC.CN)监测诸多案例获悉，绝大多数新型的网络骗术都与个人信息的泄漏有关，他们或者是充分利用已经窃取到的受害者个人信息实施网络诈骗，或者就是以受害者的个人信息为网络诈骗的攻击目标，个人信息的非法交易也恰恰是造成网络诈骗犯罪泛滥的根本原因。相关法律/法规《中华人民共和国刑法》第二百八十六条：破坏计算机信息系统罪。违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役;后果特别严重的，处五年以上有期徒刑。违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。全国人大《关于加强网络信息保护的决定》规定：任何组织和个人不得窃取或者以其他非法方式获取公民个人电子信息，不得出售或者非法向他人提供公民个人电子信息。公民发现泄露个人身份、散布个人隐私等侵害其合法权益的网络信息，或者受到商业性电子信息侵扰的，有权要求网络服务提供者删除有关信息或者采取其他必要措施予以制止。网络服务提供者和其他企业事业单位及其工作人员对在业务活动中收集的公民个人电子信息必须严格保密，不得泄露、篡改、毁损，不得出售或者非法向他人提供。国务院《网络交易管理办法》第十八条规定：网络商品经营者、有关服务经营者在经营活动中收集、使用消费者或者经营者信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。网络商品经营者、有关服务经营者收集、使用消费者或者经营者信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。网络商品经营者、有关服务经营者及其工作人员对收集的消费者个人信息或者经营者商业秘密的数据信息必须严格保密，不得泄露、出售或者非法向他人提供。网络商品经营者、有关服务经营者应当采取技术措施和其他必要措施，确保信息安全，防止信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。《快递市场管理办法》规定：快递企业、快递从业人员不得违法泄露在从事快递服务过程中知悉的用户信息。违反该条款的，按《邮政法》相关条文予以处罚，即邮政企业、快递企业违法提供用户使用邮政服务或者快递服务的信息，尚不构成犯罪的，由邮政管理部门责令改正，没收违法所得，并处1万元以上5万元以下的罚款；对邮政企业直接负责的主管人员和其他直接责任人员给予处分；对快递企业，邮政管理部门还可以责令停业整顿直至吊销其快递业务经营许可证。《中华人民共和国电子商务法(草案)》：此外，2016年12月19日，十二届全国人大常委会第二十五次会议初次审议了全国人大财经委提请的《中华人民共和国电子商务法(草案)》(以下简称《草案》)，这是我国第一部电商(网络交易)领域的综合性法律。《草案》着重对第三方平台作出明确规定要求对经营者进行审查，提供稳定、安全服务；对当前问题突出的电商炒信、恶意骚扰、信息泄露等作出明确规定。电子商务经营者要建立制度提升技术手段，防止信息泄露、丢失、毁损，确保电子商务数据信息安全；在发生或者可能发生用户个人信息泄露、丢失、毁损时，电子商务经营主体应当立即采取补救措施，及时告知用户，并向有关部门报告。央行《银行卡收单业务管理办法》第二十八条：“收单机构不得以任何形式存储银行卡磁道信息或芯片信息、卡片验证码、卡片有效期、个人标识码等敏感信息，并应采取有效措施防止特约商户和外包服务机构存储银行卡敏感信息”2008年中国银联风险管理委员会发布的《银联卡收单机构账户信息安全管理标准》命令禁止本地保存银行卡信息：“各收单机构系统只能存储用于交易清分、差错处理所必需的最基本的账户信息，不得存储银行卡磁道信息、卡片验证码、个人标识代码(PIN)及卡片有效期。”二、专家观点   律师专家激辩：究竟该谁为用户数据安全负责？按照现行法律，如果用户信息泄露，企业是需要承担一定的赔偿责任的，中国电子商务研究中心特约研究员、辽宁亚太律师事务所董毅智律师此前类似案例曾剖析道，因为公司与用户之间具备合同关系，有保障用户信息安全的义务。如果本次事故是内部人员所为，说明公司内部存在管理问题，没有尽到安全管理责任，应承担相应的民事责任，赔偿用户损失。如果本次事故是外部攻击造成，需要具体分析公司方面是否有采取基本的技术措施保障信息的安全，再来判定公司是否存在过错。其中一个重要的问题就是，当企业发现数据泄露后做了什么，是否第一时间发出警报并采取措施直接体现了当事公司是否尽到了相关责任。在类似事件中，一些企业往往担心自身名誉受损，对数据泄露抱着遮遮掩掩的态度，这种心态正是网络攻击者所期望的局面，也是攻击者有恃无恐的原因之一。按照美国的法律，企业发生一次信息泄露事件就可能被罚得倾家荡产。根据我国法律对用户隐私的侵权行为约束力有限，用户维权、寻求民事赔偿胜诉率不大，对损失评估难以确定金额，所以想要对隐私泄露的责任人追究还是非常困难的。虽然大规模信息泄露、数据安全事件频出，却从未见到企业负责人被问责。对此，中国电子商务研究中心特约研究员、广州金鹏律师事务所合伙人詹朝霞律师认为：违法成本低，法律监管缺失是“泄密”事件再三出现的根源！从法律层面来看，各类服务提供商，基于提供服务所采集的用户信息数据，具有严格保密的法律义务，类似的规定散见于国家工商总局发布的《网络交易管理办法》、《全国人民代表大会常务委员会关于加强网络信息保护的决定》等相关法律法规规章中，虽然规定不少，但相关规定中却没有设置任何对应的处罚措施，违法成本极低。在日益繁杂多变的网络交易中，服务商们忙于应付各种生意，对于用户信息保密仅仅是基于商业道德或品牌荣誉的角度，其实施力度可想而知。可以毫不夸张地说，法律监管的缺失是类似事件一而再再而三爆发的根本。行政主管部门，比如工商局、银监会、证监会、通管局等相关部门应该形成联动机制，对泄露用户信息的行为甚至是“出卖”用户信息的行为进行狠狠打击，还消费者以安全，还消费者以放心。对此，中国电子商务研究中心特约研究员、浙江泽大律师事务所付勇勇律师认为：因商家过失导致消费者经济损失的理应赔偿。《消费者权益保护法》的规定，经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。另外，《网络交易管理办法》也有相同的规定。如果由于经营者的过失，导致消费者经济损失的，理应承担相应的赔偿责任。中国电子商务研究中心主任曹磊认为，用户信息泄露不仅存在于个别计价电商平台，几乎是当下电商行业的一大“通病”，而信息泄露中受害最大的是处于被动的消费者。要在购物过程中避免信息泄露，需要消费者、电商平台和相关部门的共同努力。全国首部《电子商务法(草案)》中，加大对信息安全的保护力度，明确包括第三方电商平台、平台内经营者、支付服务提供者、快递物流服务提供者等在内的信息安全保护责任主体。提出对未履行保护义务的，最高处50万元罚款并吊销执照；构成犯罪的，追究刑事责任。此外，根据刑法第二百五十三条：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。那么，如何防止个人信息被泄露呢？对此，中国电子商务研究中心主任曹磊给出了建议：第一，网站用户信息泄露有多种可能性途径。现在许多APP、网站、公众号、小程序都需要用户注册账号后才能正常使用。因此，每个网民拥有多个账号是很平常的事情。在注册时，网站一般都需要填写一些个人信息，如常见的账号、密码、邮箱等，像一些电子商务、婚恋、交友网站等还需要实名认证，要求填写的信息更加详细。平台上的用户数据泄露主要有以下几种方式：黑客利用平台存在的安全漏洞入侵网站，盗取用户数据库；网站内部工作人员倒卖用户信息；通过撞库攻击，窃取用户数据；利用钓鱼攻击窃取用户信息；通过木马、病毒窃取用户隐私信息。第二，法律条文需细化，相关部门应适时介入。我国关于网络信息安全方面的法律条文不够明确，适用范围尚且不够精准，相关条文必须得到进一步细化、规范，以此更加公平公正地惩治网络信息安全事故的造成者，保护公民切身利益。此类信息泄露事件不适用“不告不处理的”的原则，相反，执法部门应主动积极介入案件调查，并对实施者进行追责处理。第三，信息安全无小事，用户必须增强信息保护意识。警惕要求重新输入账号信息，否则将停掉信用卡账号之类的邮件，不要回复或者点击邮件的链接，以免落入圈套。同时，避免开启来路不明的电子邮件及文件，安装杀毒软件并及时升级病毒知识库和操作系统补丁，将敏感信息输入隐私保护，打开个人防火墙。网络银行时，选择使用网络凭证及约定账户方式进行转账交易，不要在网吧、公用计算机上和不明的地下网站做在线交易或转账。不要在多个网站使用相同的注册账户名以及登录密码，防止网络黑客有意盗取，造成多个网站个人信息的连环失窃。第四，要求网站平台收集和使用用户信息应当遵循“合法、正当、必要”三原则。对收集到的用户信息应当采取安全保护措施，一旦发生泄密，必须及时采取补救措施，否则都可能面临行政处罚或者用户的诉讼。最后，国内知名网购维权专家、中国电子商务研究中心法律与权益部姚建芳助理分析师认为：第一，信息安全无小事，忽视必然付出惨重代价。针对广大互联网企业都能够重视用户信息安全问题，加强相关的数据安全保护、技术监管以及内部管理。，防止任何形式的信息泄露。一旦出现信息安全问题，尽早补救，以防事态严重，一发不可收拾。同时，一旦有可能威胁用户信息安全，应第一时间坦诚公布，告知用户，并且主动承担责任，给以相应的赔偿。监管部门，加强对互联网、电商、快递行业的监管，细化个人信息保护相关法律法规，做到完善立法，严格执法。第二，用户增强信息保护意识，网络支付需谨慎1、对要求重新输入账号信息，否则将停掉信用卡账号之类的邮件不予理睬。不要回复或者点击邮件的链接。如果想核实电子邮件的信息，使用电话，而非鼠标；若想访问某个公司的网站，使用浏览器直接访问，而非点击邮件中的链接。2、留意网址。多数合法网站的网址相对较短，通常以.com或者.gov结尾，仿冒网站的地址通常较长，只是在其中包括合法的企业名字(甚至根本不包含)。3、避免开启来路不明的电子邮件及文件，安装杀毒软件并及时升级病毒知识库和操作系统补丁，将敏感信息输入隐私保护，打开个人防火墙。4、使用网络银行时，选择使用网络凭证及约定账户方式进行转账交易，不要在网吧、公用计算机上和不明的地下网站做在线交易或转账。5、不要在多个网站使用相同的注册账户名以及登录密码，防止网络黑客有意盗取，造成多个网站个人信息的连环失窃。6、鉴于近来频频出现用户网银被盗等问题，建议最好有单独银行卡开通网银供网络消费使用，同时网银尽量不要选择工资卡等存款较多的银行卡。第三，互联网信息泄露隐性风险重重，除了我们熟悉的购物网站账户被盗、CDSN信息泄露外，在日常的手机软件下载、WIFI蹭网、手机支付等又存在一定的风险。然而，所有的信息泄露无外乎三种原因：(1)拥有个人信息资料的商业机构被外部窃取或内部泄露：诸如航空公司旅客行程资料被泄漏出现针对性的诈骗，某快递公司百万客户信息遭泄露等；(2)技术漏洞所致：诸如一些快捷酒店因开房记录由第三方存储导致客户信息泄漏，造成用户大量隐私内容泄露等；(3)用户个人由于信息保管不当，被不法分子获得，尤其是在互联网应用中使用简单密码或者相同的密码等。对此，建议广大互联网/电商企业加强技术监管，保障用户信息安全；互联网用户加强个人信息保护意，保护个人信息不受侵犯；监管部门加快相关法律法规建设，严格执法。

分享到