5月9日，銀保監(jiān)會(huì)消費(fèi)者權(quán)益保護(hù)局發(fā)布通報(bào)：2020年3月，中信銀行在未經(jīng)客戶本人授權(quán)的情況下，向第三方提供個(gè)人銀行賬戶交易明細(xì)，違背為存款人保密的原則，涉嫌違法違規(guī)，將按照相關(guān)法律法規(guī)，對(duì)中信銀行啟動(dòng)立案調(diào)查程序，嚴(yán)格依法依規(guī)進(jìn)行查處。

給錢就能“拉銀行流水”嗎？銀行等金融機(jī)構(gòu)中仍存哪些個(gè)人信息保護(hù)漏洞？應(yīng)如何堵??？新華社記者對(duì)此展開調(diào)查。

記者體驗(yàn)：“付錢拉銀行流水”有真有假

記者調(diào)查發(fā)現(xiàn)，當(dāng)前一些網(wǎng)絡(luò)平臺(tái)個(gè)人“銀行流水”信息的售價(jià)從600元至5000元不等，查詢時(shí)段為1個(gè)月至12個(gè)月，時(shí)段越長價(jià)格越高，買家只需要提供查詢對(duì)象身份證號(hào)碼就能查詢。

QQ名為“楊大”的賣家告訴記者，被販賣的各種個(gè)人信息中，“銀行流水”等金融信息最值錢。他表示，做這行的都得在銀行等金融機(jī)構(gòu)里“有人”。

記者查詢中國裁判文書網(wǎng)發(fā)現(xiàn)，銀行“內(nèi)鬼”參與倒賣個(gè)人金融信息的情況并不少見：中行無錫分行職工唐某某利用工作便利，將該單位在提供服務(wù)過程中獲得的5萬余條公民個(gè)人信息，通過電子郵件非法提供給他人；建行余姚城建支行原行長沈某某，將該行受理的貸款客戶財(cái)產(chǎn)信息共計(jì)127條提供給他人用于招攬業(yè)務(wù)。

記者還發(fā)現(xiàn)，由于賣家大多要求“先付款后查詢”，也有不少所謂“偵探公司”借此詐財(cái)。

名為“百勝私家偵探公司”的賣家向記者開價(jià)600元表示可查某股份制銀行客戶的信息。記者支付部分定金后，賣家表示40分鐘左右會(huì)將會(huì)發(fā)來相關(guān)流水信息。約25分鐘后，記者發(fā)現(xiàn)自己被該賣家“拉黑”。

銀行中仍存?zhèn)€人金融信息保護(hù)漏洞

據(jù)了解，2016年以來，有關(guān)部門發(fā)現(xiàn)并通報(bào)一大批涉及金融等重點(diǎn)行業(yè)信息系統(tǒng)及安全監(jiān)管漏洞，抓獲各行業(yè)內(nèi)部涉嫌違規(guī)人員3000余名。但記者調(diào)查發(fā)現(xiàn)，當(dāng)前銀行等金融機(jī)構(gòu)中仍存一些隱患值得警惕。

——為“拉客戶”“沖業(yè)績”違規(guī)泄露用戶信息成部分銀行“潛規(guī)則”。浙江某農(nóng)村信用社的一線柜員小張告訴記者，銀行內(nèi)部只有一線柜員有權(quán)限查詢客戶流水及其他信息，且查詢時(shí)需其他員工共同授權(quán)，系統(tǒng)會(huì)自動(dòng)留痕。

“但如果行長級(jí)別的領(lǐng)導(dǎo)以業(yè)務(wù)需要為名要求查詢導(dǎo)出某客戶流水，柜員往往難以拒絕。為‘籠絡(luò)大客戶’，而幫其私拉他人流水，這在一些銀行也不是秘密?！毙堈f。

——銀行內(nèi)控漏洞致用戶信息流進(jìn)“黑市”。曾在廣州某銀行任職一線柜員的周女士透露，其所在銀行的柜員可以隨意查看客戶半年內(nèi)交易流水，無需授權(quán)。

記者還了解到，目前部分銀行對(duì)記錄客戶信息的紙質(zhì)資料保護(hù)不足，未能及時(shí)銷毀或失控流出的現(xiàn)象時(shí)有發(fā)生。部分已“上云”的資料，也存在因操作規(guī)范執(zhí)行、監(jiān)督不嚴(yán)而導(dǎo)致信息泄露風(fēng)險(xiǎn)大增情況。

浦發(fā)銀行某原電銷中心業(yè)務(wù)主管任職期間違規(guī)獲取、儲(chǔ)存大量客戶個(gè)人信息致其全部外流入電信詐騙團(tuán)伙手中。

——部分銀行App涉嫌過度索權(quán)致泄露信息風(fēng)險(xiǎn)上升。記者隨機(jī)測試了多款銀行App，發(fā)現(xiàn)其中多家存在不同程度“誘導(dǎo)”用戶授權(quán)獲取手機(jī)信息權(quán)限，如不同意其隱私條款則不能繼續(xù)使用。其中中信銀行、中國工商銀行等建議用戶同意讀取撥打電話及通話管理，照片、媒體內(nèi)容及文件，獲取位置信息等信息，否則相關(guān)功能將無法使用。且該類授權(quán)屬于“一次授權(quán)、長期有效”，后期再使用時(shí)，系統(tǒng)不再提示授權(quán)。

北京師范大學(xué)網(wǎng)絡(luò)法治國際中心高級(jí)研究員臧雷表示，根據(jù)相關(guān)國家標(biāo)準(zhǔn)，金融借貸類App可以獲取的最小權(quán)限范圍為存儲(chǔ)權(quán)限。機(jī)構(gòu)應(yīng)盡量遵循最小索權(quán)原則，盡量不因存儲(chǔ)權(quán)限之外的權(quán)限影響用戶使用App的關(guān)鍵功能。

某銀行風(fēng)控部門工作人員向記者透露，目前大多數(shù)銀行App都涉及技術(shù)外包合作方，盡管在遴選時(shí)對(duì)合作企業(yè)背景、安全性有一定考量，但合作企業(yè)部分員工泄露信息的風(fēng)險(xiǎn)仍然不小。

“目前不少銀行員工保護(hù)用戶信息安全全憑自身職業(yè)操守?！敝芘空f。

強(qiáng)化保護(hù)急需提升“法律+技術(shù)”防護(hù)力

如何才能堵上銀行等金融機(jī)構(gòu)中的個(gè)人信息安全漏洞？中國人民銀行某省級(jí)分行工作人員建議，對(duì)于問題較為嚴(yán)重的銀行應(yīng)追究其法律責(zé)任，不能僅“內(nèi)部處理”了事。

專家表示，當(dāng)前我國已有部分法律法規(guī)規(guī)范性文件涉及個(gè)人金融信息的刑事保護(hù)、內(nèi)控制度保護(hù)和技術(shù)規(guī)范，且相關(guān)立法仍在推進(jìn)中。

2月，央行和全國金融標(biāo)準(zhǔn)化技術(shù)委員會(huì)發(fā)布了個(gè)人金融信息保護(hù)技術(shù)規(guī)范，對(duì)金融業(yè)機(jī)構(gòu)的個(gè)人金融信息保護(hù)提出了規(guī)范性要求?！秱€(gè)人金融信息(數(shù)據(jù))保護(hù)試行辦法》也將在征求意見結(jié)束后正式對(duì)外發(fā)布。

2019年12月發(fā)布的《中國人民銀行金融消費(fèi)者權(quán)益保護(hù)實(shí)施辦法(征求意見稿)》要求金融機(jī)構(gòu)應(yīng)當(dāng)建立健全消費(fèi)者金融信息保護(hù)機(jī)制。

2017年5月，兩高發(fā)布了關(guān)于辦理侵犯公民個(gè)人信息刑事案件的相關(guān)司法解釋，非法獲取、出售或者提供財(cái)產(chǎn)信息50條以上的屬“侵犯公民個(gè)人信息罪”“情節(jié)嚴(yán)重”，“處三年以下有期徒刑或者拘役，并處或者單處罰金”。

北京師范大學(xué)法學(xué)院數(shù)字經(jīng)濟(jì)與法律研究中心主任汪慶華表示，目前的個(gè)人信息侵權(quán)民事救濟(jì)機(jī)制仍然著眼于彌補(bǔ)實(shí)際損失，難以對(duì)故意侵權(quán)者在法律上形成有力約束。建議對(duì)非法披露他人信息、故意侵害他人信息權(quán)利的行為設(shè)定最低賠償金額，加大懲罰力度。

上海段和段律師事務(wù)所律師劉春泉建議，應(yīng)督促銀行篩查自身和第三方合作公司在個(gè)人金融信息采集、傳輸、維護(hù)、留痕的全流程管理中，可能出現(xiàn)的泄露風(fēng)險(xiǎn)點(diǎn)，及時(shí)更新防火墻、身份認(rèn)證系統(tǒng)、數(shù)字簽名等安全監(jiān)控技術(shù)，防止因不規(guī)范操作泄露或惡意竊取等內(nèi)部人作案。記者蘭天鳴、胡潔菲