(電子商務(wù)研究中心訊) 一、事件概述
近日，公安部破獲了一起盜賣公民信息的特大案件，被竊取和盜賣的公民信息多達(dá)50億條。經(jīng)公安部調(diào)查，京東網(wǎng)絡(luò)安全部前試用期員工鄭某鵬，長(zhǎng)期監(jiān)守自盜，與黑客相互勾結(jié)，為黑客攻入網(wǎng)站提供重要信息——包括在京東、QQ上的物流信息，交易信息、個(gè)人身份等數(shù)據(jù)信息，為犯罪團(tuán)伙實(shí)施違法犯罪活動(dòng)提供了有力的技術(shù)保障。
京東、騰訊協(xié)助破獲“驚天大案”？
京東發(fā)布的聲明稱，在騰訊與京東聯(lián)合打擊信息安全地下黑色產(chǎn)業(yè)鏈的日常行動(dòng)中，發(fā)現(xiàn)2016年6月底入職京東、尚處于試用期的網(wǎng)絡(luò)工程師鄭某鵬系黑產(chǎn)團(tuán)伙的重要成員，并立即向公安機(jī)關(guān)提供了線索。
以下為京東聲明原文：
日前，京東與騰訊的安全團(tuán)隊(duì)聯(lián)手協(xié)助公安部破獲了一起特大竊取販賣公民個(gè)人信息案。據(jù)介紹，在騰訊與京東聯(lián)合打擊信息安全地下黑色產(chǎn)業(yè)鏈的日常行動(dòng)中，發(fā)現(xiàn)2016年6月底入職京東、尚處于試用期的網(wǎng)絡(luò)工程師鄭某鵬系黑產(chǎn)團(tuán)伙的重要成員，并立即向公安機(jī)關(guān)提供了線索。
經(jīng)了解，鄭某鵬在加入京東之前曾在國(guó)內(nèi)多家知名互聯(lián)網(wǎng)公司工作，其長(zhǎng)期與盜賣個(gè)人信息的犯罪團(tuán)隊(duì)合作，將從所供職公司盜取的個(gè)人信息數(shù)據(jù)進(jìn)行交換，并通過各種方式在互聯(lián)網(wǎng)上販賣。在掌握大量證據(jù)的基礎(chǔ)上，按照公安部統(tǒng)一部署，安徽、北京、遼寧、河南等14個(gè)省、直轄市公安機(jī)關(guān)同步開展集中收網(wǎng)行動(dòng)，韓某，翁某，鄭某鵬等主要犯罪嫌疑人悉數(shù)落網(wǎng)。目前，該案正在進(jìn)一步審理中。
京東與騰訊的安全負(fù)責(zé)人表示，作為緊密的戰(zhàn)略合作伙伴，京東與騰訊自2015年起就在多個(gè)信息安全領(lǐng)域開展了深度合作，并建立了一整套的協(xié)同互助機(jī)制。雙方曾聯(lián)手在打擊手機(jī)木馬、保障互聯(lián)網(wǎng)金融安全、打擊個(gè)人信息泄露等領(lǐng)域開展了多個(gè)專項(xiàng)行動(dòng)。今年2月，京東還聯(lián)合騰訊、百度、沃爾瑪等企業(yè)共同成立了“陽光誠(chéng)信聯(lián)盟”，進(jìn)一步建立了跨行業(yè)的信息安全防護(hù)體系。
雙方表示，在復(fù)雜的網(wǎng)絡(luò)化、信息化安全環(huán)境下，目前個(gè)人信息安全問題正變得日益嚴(yán)峻與繁雜，雙方將進(jìn)一步通過攜手合作，堅(jiān)決配合相關(guān)部門開展積極的打擊行動(dòng)，共同維護(hù)用戶和企業(yè)的正當(dāng)權(quán)益，保障行業(yè)的健康發(fā)展。
盤點(diǎn)：近年電商用戶信息泄漏典型案件
數(shù)據(jù)泄露一直都是互聯(lián)網(wǎng)企業(yè)難以言說的痛，從雅虎2億用戶數(shù)據(jù)泄露，再到前段時(shí)間，借貸寶10G裸貸照片和視頻壓縮包在網(wǎng)上的廣泛流傳，再到京東的12G數(shù)據(jù)泄露。一樁樁一件件，無不都顯示著在當(dāng)前大數(shù)據(jù)時(shí)代下每個(gè)人都在裸奔的普遍常態(tài)。
據(jù)國(guó)內(nèi)知名電商用戶投訴維權(quán)第三方平臺(tái)——電子商務(wù)投訴與維權(quán)公共服務(wù)平臺(tái)(qjkhjx.com/zt/315/)近年來接到的用戶投訴以及對(duì)監(jiān)測(cè)發(fā)現(xiàn)：不少大型互聯(lián)網(wǎng)公司平臺(tái)公司存在重大內(nèi)部管理漏洞，其內(nèi)部人員故意泄露、販賣網(wǎng)站用戶個(gè)人信息資料，侵犯網(wǎng)絡(luò)交易用戶的信息隱私權(quán)。下面盤點(diǎn)近年來電商行業(yè)內(nèi)出現(xiàn)的11起典型用戶信息安全事件如下：
事件一：5173中國(guó)網(wǎng)絡(luò)服務(wù)網(wǎng)數(shù)次被“盜錢”。2010年1月20日，涉嫌盜竊罪的李豪被蘭溪市檢察院批準(zhǔn)逮捕。經(jīng)查，李豪前后一共盜取了100多個(gè)5173網(wǎng)站的賬號(hào)，共獲得贓款12萬余元人民幣。不法分子先在網(wǎng)上找尋有出售游戲幣和游戲裝備信息的5173網(wǎng)絡(luò)賬號(hào)，通過簡(jiǎn)單交易獲知信息，再推算出網(wǎng)絡(luò)賬號(hào)密碼，從而實(shí)施網(wǎng)上盜竊。
事件二：當(dāng)當(dāng)網(wǎng)賬戶遭盜刷。2012年3月，當(dāng)當(dāng)網(wǎng)賬戶集體被盜，余額被用于購(gòu)買電子產(chǎn)品、金銀首飾等大額商品。當(dāng)年6月13日，網(wǎng)名為“我是那個(gè)向日葵”的微博用戶發(fā)布微博稱，其購(gòu)進(jìn)的10張面值500元"當(dāng)當(dāng)網(wǎng)禮品卡"，被盜充。2014年3月，當(dāng)當(dāng)網(wǎng)113位用戶賬戶余額被盜用，損失金額超過6萬元。而當(dāng)當(dāng)網(wǎng)對(duì)于用戶賬戶被盜第一時(shí)間均是撇清關(guān)系，在輿論壓力下才給以補(bǔ)償。(詳見專題:qjkhjx.com/zt/ddw/)
事件三：“1號(hào)店”員工內(nèi)外勾結(jié)泄露客戶信息。2012年5月底，微博用戶挨踢客爆料1號(hào)店員工內(nèi)外勾結(jié)泄露客戶信息，90萬的用戶信息竟被以500元的價(jià)格叫賣。部分消費(fèi)者不久后就遇到了賬戶余額被盜、電話詐騙等問題。之后1號(hào)店凍結(jié)用戶賬戶。1號(hào)店副總裁劉彤回應(yīng)：1號(hào)店在案發(fā)后已進(jìn)行了內(nèi)部檢查，對(duì)系統(tǒng)、流程、權(quán)限進(jìn)行了清理、升級(jí)，以杜絕日后類似事件的發(fā)生。被消費(fèi)者質(zhì)疑“很沒有誠(chéng)意”。直至2013年3月，仍有很多消費(fèi)者稱1號(hào)店對(duì)那次信息泄露事件的處理很不到位，至今仍沒有得到應(yīng)有的補(bǔ)償。(詳見專題:.100ec.cn/zt/yhd)
事件四：支付寶漏洞信息泄露。2013年3月27日晚，網(wǎng)友曝支付寶出現(xiàn)重大漏洞，稱使用谷歌、360索則可以搜索出大量的支付寶交易記錄，包括付款賬戶、收款賬戶、姓名、日期，甚至郵箱和手機(jī)號(hào)等，并附帶上了Google搜索的截圖和多個(gè)詳情頁(yè)的截圖。該消息27日被大量轉(zhuǎn)發(fā)后，支付寶官方于27日晚23時(shí)53分在微博中做了回應(yīng)，稱已做處理，這次有付款結(jié)果頁(yè)面被收錄可能是因?yàn)橛袠O少量用戶主動(dòng)將自己付款結(jié)果頁(yè)面分享到公共區(qū)域。該回應(yīng)遭廣大網(wǎng)友質(zhì)疑。對(duì)此，支付寶在回應(yīng)中稱，支付寶生活助手轉(zhuǎn)賬付款結(jié)果頁(yè)面一般用于支付雙方展示支付結(jié)果，不含真實(shí)姓名、密碼等重要信息，支付寶對(duì)這一頁(yè)面鏈接加具了安全保護(hù)，正常情況下任何搜索引擎都無法抓取。目前已將用戶付款結(jié)果頁(yè)面做部分信息隱藏，進(jìn)一步幫助用戶保護(hù)個(gè)人隱私信息。
事件五：如家、七天開房信息泄密。2013年10月，如家、七天等連鎖酒店被網(wǎng)曝有多達(dá)2000萬條客戶開房信息遭泄露，只需輸入姓名或身份證號(hào)，即可查詢到包括身份證號(hào)、生日、地址、手機(jī)號(hào)、郵箱、公司、登記日期等真實(shí)信息。事發(fā)一周前，國(guó)內(nèi)安全漏洞監(jiān)測(cè)平臺(tái)烏云發(fā)布報(bào)告，稱多家酒店開房記錄被無線上網(wǎng)認(rèn)證管理系統(tǒng)供應(yīng)商——浙江慧達(dá)驛站網(wǎng)絡(luò)有限公司存儲(chǔ)，并因系統(tǒng)有漏洞而存在泄露隱患。
事件六：騰訊7000多萬QQ群遭泄露，隱患危及微信支付。2013年11月20日，國(guó)內(nèi)安全漏洞監(jiān)測(cè)平臺(tái)烏云公布報(bào)告稱，騰訊QQ群關(guān)系數(shù)據(jù)被泄露，在迅雷快傳很輕易就能找到數(shù)據(jù)下載鏈接。根據(jù)QQ號(hào)，可以查詢到備注姓名、年齡、社交關(guān)系網(wǎng)甚至從業(yè)經(jīng)歷等大量個(gè)人隱私。騰訊方面亦承認(rèn)7000多萬QQ群遭泄露。對(duì)此，業(yè)界均擔(dān)憂泄露事件將直接牽連微信安全問題?！昂诳鸵坏┱莆樟薗Q號(hào)碼和銀行卡號(hào)，就能注冊(cè)微信并使用微信支付，盜取用戶資金幾乎是輕而易舉的事情。”
事件七：攜程技術(shù)漏洞導(dǎo)致用戶個(gè)人信息、銀行卡信息等泄露。早在2009年之前，攜程信息安全漏洞就已經(jīng)多次被用戶質(zhì)疑，但均未引起公司足夠重視。2014年1月攜程再次被媒體指出儲(chǔ)存信用卡敏感信息存在泄露風(fēng)險(xiǎn)，攜程網(wǎng)回應(yīng)采用的信用卡支付方式符合國(guó)際慣例，對(duì)自身的信息安全問題再次選擇忽視。2014年3月22日下午18:18分，烏云漏洞平臺(tái)發(fā)布消息稱，攜程系統(tǒng)存技術(shù)漏洞，可導(dǎo)致用戶個(gè)人信息、銀行卡信息等泄露。漏洞泄露的信息包括用戶的姓名、身份證號(hào)碼、銀行卡類別、銀行卡卡號(hào)、銀行卡CVV碼(即卡號(hào)、有效期和服務(wù)約束代碼生成的3位或4位數(shù)字)以及銀行卡6位Bin(用于支付的6位數(shù)字)，上述信息有可能被黑客所讀取。
事件八、快遞單販賣成“灰色產(chǎn)業(yè)鏈”。快遞單成為又一信息泄露途徑，“淘單114”、“淘單網(wǎng)”、“淘單8”、“單號(hào)網(wǎng)”等網(wǎng)站明碼標(biāo)價(jià)出售快遞單號(hào)，0.5元就可買到一份快遞信息，快遞單號(hào)販賣儼然已經(jīng)成為一條灰色產(chǎn)業(yè)鏈。而數(shù)量龐大的淘寶賣家成為快遞單號(hào)的重要來源之一，目前有近90%的淘寶賣家都在刷單，用真實(shí)的快遞單號(hào)“炮制”出逼真的虛假交。
事件九：小米“泄密門”800萬用戶信息泄露。2014年5月13日晚間，安全平臺(tái)烏云發(fā)布了一個(gè)重大的安全漏洞信息，小米論壇被脫褲，約有800萬小米社區(qū)用戶數(shù)據(jù)泄漏，或?qū)⒂绊懶∶滓苿?dòng)云等敏感信息。隨后有用戶收到了詐騙電話，電話源頭能提供用戶的準(zhǔn)確信息，姓名、地址、電話、商品購(gòu)買記錄、密碼、郵箱、注冊(cè)IP等信息等等，以貨到付款的方式進(jìn)行產(chǎn)品推銷及其他詐騙行為。
事件十：13萬12306用戶信息外泄事件。2014年12月25日上午，漏洞報(bào)告平臺(tái)烏云網(wǎng)出現(xiàn)了一則關(guān)于中國(guó)鐵路購(gòu)票網(wǎng)站12306的漏洞報(bào)告，危害等級(jí)顯示為“高”，漏洞類型則是“用戶資料大量泄漏”。這意味著，這個(gè)漏洞將有可能導(dǎo)致所有注冊(cè)了12306用戶的賬號(hào)、明文密碼、身份證、郵箱等敏感信息泄露。瑞星公司針對(duì)12306網(wǎng)站約用戶隱私被泄露事件進(jìn)行調(diào)查后發(fā)現(xiàn)，12306網(wǎng)站主域名下共有6個(gè)分站存在嚴(yán)重的Strust2框架的遠(yuǎn)程執(zhí)行漏洞。
后犯罪嫌疑人蔣某某、施某某被抓獲。經(jīng)過警方初步審查，兩人交代是通過收集互聯(lián)網(wǎng)某游戲網(wǎng)站以及其他多個(gè)網(wǎng)站泄露的用戶名加密碼信息，嘗試登錄其他網(wǎng)站進(jìn)行“撞庫(kù)”，非法獲取用戶的其他信息，并牟取非法利益。
事件十一：攜程“癱瘓門”。2015年5月28日11時(shí)許，攜程網(wǎng)癱瘓，網(wǎng)頁(yè)版和手機(jī)APP均不能正常使用，攜程網(wǎng)回復(fù)稱是服務(wù)器遭到不明攻擊所致，正在緊急恢復(fù)。5月28日下午，攜程官網(wǎng)在首頁(yè)頂部掛出“攜程網(wǎng)站暫時(shí)無法提供服務(wù)，正在緊急修復(fù)中，您可以訪問：藝龍旅行網(wǎng)”的通知。5月28日17點(diǎn)開始，藝龍旅行首頁(yè)網(wǎng)也無法正常訪問，半小時(shí)后才恢復(fù)正常。對(duì)于事故原因，網(wǎng)上在攜程癱瘓事件發(fā)生不久之后，出現(xiàn)了內(nèi)部員工離職報(bào)復(fù)、數(shù)據(jù)庫(kù)被物理刪除等傳言。5月28日22時(shí)45分，攜程官方表示，經(jīng)技術(shù)人員搶修，除個(gè)別業(yè)務(wù)外，攜程官方網(wǎng)站及APP恢復(fù)正常，經(jīng)過排查，數(shù)據(jù)沒有丟失，預(yù)訂數(shù)據(jù)也保存完整。5月29日1時(shí)30分，攜程官方表示，經(jīng)技術(shù)排查，確認(rèn)此次事件是由于員工錯(cuò)誤操作導(dǎo)致，由于涉及的業(yè)務(wù)、應(yīng)用及服務(wù)繁多，驗(yàn)證應(yīng)用與服務(wù)之間的功能是否正常運(yùn)營(yíng)，花了較長(zhǎng)事件，攜程官網(wǎng)及APP已與28日23時(shí)29分全面恢復(fù)正常。
相關(guān)背景數(shù)據(jù)
在“3·15”國(guó)際消費(fèi)者權(quán)益保護(hù)日腳步的臨近之際，網(wǎng)經(jīng)社發(fā)布了《2016年度中國(guó)電子商務(wù)用戶體驗(yàn)與投訴監(jiān)測(cè)報(bào)告》。報(bào)告通過對(duì)淘寶/天貓、京東、蘇寧易購(gòu)、唯品會(huì)、國(guó)美在線、亞馬遜中國(guó)、拼多多、聚美優(yōu)品、當(dāng)當(dāng)網(wǎng)、1號(hào)店等數(shù)百家主流電商全年用戶維權(quán)大數(shù)據(jù)統(tǒng)計(jì)，發(fā)貨問題、物流問題、客戶服務(wù)、退款問題、退換貨難、虛假促銷、商品質(zhì)量、疑似售假、貨不對(duì)板、信息泄露為“2016年度零售電商十大熱點(diǎn)被投訴問題”。
從中國(guó)電子商務(wù)投訴與維權(quán)公共服務(wù)平臺(tái)專家處獲悉，用戶信息泄露是指消費(fèi)者在電商平臺(tái)購(gòu)物后，由于購(gòu)物信息泄露發(fā)生被欺詐、詐騙產(chǎn)生精神、經(jīng)濟(jì)等損失的投訴現(xiàn)，信息泄露在電商市場(chǎng)比較普遍等。
據(jù)網(wǎng)經(jīng)社(100EC.CN)此前對(duì)1000位用戶在線調(diào)查顯示，21.7%的用戶曾因網(wǎng)購(gòu)、論壇、微信等遭遇過信息泄露，并且11.2%的用戶接到過疑似的詐騙電話；56.8%的用戶表示對(duì)互聯(lián)網(wǎng)信息安全擔(dān)憂，并會(huì)對(duì)需要填寫個(gè)人信息的互聯(lián)網(wǎng)游戲，注冊(cè)等保留一定的戒心，而仍有43.2%的用戶認(rèn)為互聯(lián)網(wǎng)信息泄露與個(gè)人無關(guān)，不太關(guān)注。
另?yè)?jù)中國(guó)電子商務(wù)投訴與維權(quán)公共服務(wù)平臺(tái)(qjkhjx.com/zt/315/)近年來接到的類似用戶投訴案例表明，近年來互聯(lián)網(wǎng)/電商行業(yè)“泄密”事件頻頻出現(xiàn)，其重大典型的包括：5173中國(guó)網(wǎng)絡(luò)服務(wù)網(wǎng)數(shù)次被“盜錢”、當(dāng)當(dāng)網(wǎng)多次用戶賬戶遭盜刷、“1號(hào)店”員工內(nèi)外勾結(jié)泄露客戶信息、支付寶漏洞致用戶信息泄露、如家、七天開房信息泄密、騰訊7000多萬QQ群遭泄露、攜程技術(shù)漏洞導(dǎo)致用戶個(gè)人信息、銀行卡信息等泄露、微信朋友圈小游戲竊取用戶信息等。
據(jù)網(wǎng)經(jīng)社(100EC.CN)監(jiān)測(cè)諸多案例獲悉，絕大多數(shù)新型的網(wǎng)絡(luò)騙術(shù)都與個(gè)人信息的泄漏有關(guān)，他們或者是充分利用已經(jīng)竊取到的受害者個(gè)人信息實(shí)施網(wǎng)絡(luò)詐騙，或者就是以受害者的個(gè)人信息為網(wǎng)絡(luò)詐騙的攻擊目標(biāo)，個(gè)人信息的非法交易也恰恰是造成網(wǎng)絡(luò)詐騙犯罪泛濫的根本原因。
相關(guān)法律/法規(guī)
《中華人民共和國(guó)刑法》第二百八十六條：破壞計(jì)算機(jī)信息系統(tǒng)罪。違反國(guó)家規(guī)定，對(duì)計(jì)算機(jī)信息系統(tǒng)功能進(jìn)行刪除、修改、增加、干擾，造成計(jì)算機(jī)信息系統(tǒng)不能正常運(yùn)行，后果嚴(yán)重的，處五年以下有期徒刑或者拘役;后果特別嚴(yán)重的，處五年以上有期徒刑。違反國(guó)家規(guī)定，對(duì)計(jì)算機(jī)信息系統(tǒng)中存儲(chǔ)、處理或者傳輸?shù)臄?shù)據(jù)和應(yīng)用程序進(jìn)行刪除、修改、增加的操作，后果嚴(yán)重的，依照前款的規(guī)定處罰。故意制作、傳播計(jì)算機(jī)病毒等破壞性程序，影響計(jì)算機(jī)系統(tǒng)正常運(yùn)行，后果嚴(yán)重的，依照第一款的規(guī)定處罰。
全國(guó)人大《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》規(guī)定：任何組織和個(gè)人不得竊取或者以其他非法方式獲取公民個(gè)人電子信息，不得出售或者非法向他人提供公民個(gè)人電子信息。公民發(fā)現(xiàn)泄露個(gè)人身份、散布個(gè)人隱私等侵害其合法權(quán)益的網(wǎng)絡(luò)信息，或者受到商業(yè)性電子信息侵?jǐn)_的，有權(quán)要求網(wǎng)絡(luò)服務(wù)提供者刪除有關(guān)信息或者采取其他必要措施予以制止。網(wǎng)絡(luò)服務(wù)提供者和其他企業(yè)事業(yè)單位及其工作人員對(duì)在業(yè)務(wù)活動(dòng)中收集的公民個(gè)人電子信息必須嚴(yán)格保密，不得泄露、篡改、毀損，不得出售或者非法向他人提供。
國(guó)務(wù)院《網(wǎng)絡(luò)交易管理辦法》第十八條規(guī)定：網(wǎng)絡(luò)商品經(jīng)營(yíng)者、有關(guān)服務(wù)經(jīng)營(yíng)者在經(jīng)營(yíng)活動(dòng)中收集、使用消費(fèi)者或者經(jīng)營(yíng)者信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。網(wǎng)絡(luò)商品經(jīng)營(yíng)者、有關(guān)服務(wù)經(jīng)營(yíng)者收集、使用消費(fèi)者或者經(jīng)營(yíng)者信息，應(yīng)當(dāng)公開其收集、使用規(guī)則，不得違反法律、法規(guī)的規(guī)定和雙方的約定收集、使用信息。網(wǎng)絡(luò)商品經(jīng)營(yíng)者、有關(guān)服務(wù)經(jīng)營(yíng)者及其工作人員對(duì)收集的消費(fèi)者個(gè)人信息或者經(jīng)營(yíng)者商業(yè)秘密的數(shù)據(jù)信息必須嚴(yán)格保密，不得泄露、出售或者非法向他人提供。網(wǎng)絡(luò)商品經(jīng)營(yíng)者、有關(guān)服務(wù)經(jīng)營(yíng)者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保信息安全，防止信息泄露、丟失。在發(fā)生或者可能發(fā)生信息泄露、丟失的情況時(shí)，應(yīng)當(dāng)立即采取補(bǔ)救措施。
《快遞市場(chǎng)管理辦法》規(guī)定：快遞企業(yè)、快遞從業(yè)人員不得違法泄露在從事快遞服務(wù)過程中知悉的用戶信息。違反該條款的，按《郵政法》相關(guān)條文予以處罰，即郵政企業(yè)、快遞企業(yè)違法提供用戶使用郵政服務(wù)或者快遞服務(wù)的信息，尚不構(gòu)成犯罪的，由郵政管理部門責(zé)令改正，沒收違法所得，并處1萬元以上5萬元以下的罰款；對(duì)郵政企業(yè)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員給予處分；對(duì)快遞企業(yè)，郵政管理部門還可以責(zé)令停業(yè)整頓直至吊銷其快遞業(yè)務(wù)經(jīng)營(yíng)許可證。
《中華人民共和國(guó)電子商務(wù)法(草案)》：此外，2016年12月19日，十二屆全國(guó)人大常委會(huì)第二十五次會(huì)議初次審議了全國(guó)人大財(cái)經(jīng)委提請(qǐng)的《中華人民共和國(guó)電子商務(wù)法(草案)》(以下簡(jiǎn)稱《草案》)，這是我國(guó)第一部電商(網(wǎng)絡(luò)交易)領(lǐng)域的綜合性法律?！恫莅浮分貙?duì)第三方平臺(tái)作出明確規(guī)定要求對(duì)經(jīng)營(yíng)者進(jìn)行審查，提供穩(wěn)定、安全服務(wù)；對(duì)當(dāng)前問題突出的電商炒信、惡意騷擾、信息泄露等作出明確規(guī)定。電子商務(wù)經(jīng)營(yíng)者要建立制度提升技術(shù)手段，防止信息泄露、丟失、毀損，確保電子商務(wù)數(shù)據(jù)信息安全；在發(fā)生或者可能發(fā)生用戶個(gè)人信息泄露、丟失、毀損時(shí)，電子商務(wù)經(jīng)營(yíng)主體應(yīng)當(dāng)立即采取補(bǔ)救措施，及時(shí)告知用戶，并向有關(guān)部門報(bào)告。
央行《銀行卡收單業(yè)務(wù)管理辦法》第二十八條：“收單機(jī)構(gòu)不得以任何形式存儲(chǔ)銀行卡磁道信息或芯片信息、卡片驗(yàn)證碼、卡片有效期、個(gè)人標(biāo)識(shí)碼等敏感信息，并應(yīng)采取有效措施防止特約商戶和外包服務(wù)機(jī)構(gòu)存儲(chǔ)銀行卡敏感信息”
2008年中國(guó)銀聯(lián)風(fēng)險(xiǎn)管理委員會(huì)發(fā)布的《銀聯(lián)卡收單機(jī)構(gòu)賬戶信息安全管理標(biāo)準(zhǔn)》命令禁止本地保存銀行卡信息：“各收單機(jī)構(gòu)系統(tǒng)只能存儲(chǔ)用于交易清分、差錯(cuò)處理所必需的最基本的賬戶信息，不得存儲(chǔ)銀行卡磁道信息、卡片驗(yàn)證碼、個(gè)人標(biāo)識(shí)代碼(PIN)及卡片有效期?！?/p>
二、專家觀點(diǎn)
律師專家激辯：究竟該誰為用戶數(shù)據(jù)安全負(fù)責(zé)？
按照現(xiàn)行法律，如果用戶信息泄露，企業(yè)是需要承擔(dān)一定的賠償責(zé)任的，網(wǎng)經(jīng)社特約研究員、遼寧亞太律師事務(wù)所董毅智律師此前類似案例曾剖析道，因?yàn)楣九c用戶之間具備合同關(guān)系，有保障用戶信息安全的義務(wù)。如果本次事故是內(nèi)部人員所為，說明公司內(nèi)部存在管理問題，沒有盡到安全管理責(zé)任，應(yīng)承擔(dān)相應(yīng)的民事責(zé)任，賠償用戶損失。如果本次事故是外部攻擊造成，需要具體分析公司方面是否有采取基本的技術(shù)措施保障信息的安全，再來判定公司是否存在過錯(cuò)。
其中一個(gè)重要的問題就是，當(dāng)企業(yè)發(fā)現(xiàn)數(shù)據(jù)泄露后做了什么，是否第一時(shí)間發(fā)出警報(bào)并采取措施直接體現(xiàn)了當(dāng)事公司是否盡到了相關(guān)責(zé)任。在類似事件中，一些企業(yè)往往擔(dān)心自身名譽(yù)受損，對(duì)數(shù)據(jù)泄露抱著遮遮掩掩的態(tài)度，這種心態(tài)正是網(wǎng)絡(luò)攻擊者所期望的局面，也是攻擊者有恃無恐的原因之一。
按照美國(guó)的法律，企業(yè)發(fā)生一次信息泄露事件就可能被罰得傾家蕩產(chǎn)。根據(jù)我國(guó)法律對(duì)用戶隱私的侵權(quán)行為約束力有限，用戶維權(quán)、尋求民事賠償勝訴率不大，對(duì)損失評(píng)估難以確定金額，所以想要對(duì)隱私泄露的責(zé)任人追究還是非常困難的。雖然大規(guī)模信息泄露、數(shù)據(jù)安全事件頻出，卻從未見到企業(yè)負(fù)責(zé)人被問責(zé)。
對(duì)此，網(wǎng)經(jīng)社特約研究員、廣州金鵬律師事務(wù)所合伙人詹朝霞律師認(rèn)為：違法成本低，法律監(jiān)管缺失是“泄密”事件再三出現(xiàn)的根源！從法律層面來看，各類服務(wù)提供商，基于提供服務(wù)所采集的用戶信息數(shù)據(jù)，具有嚴(yán)格保密的法律義務(wù)，類似的規(guī)定散見于國(guó)家工商總局發(fā)布的《網(wǎng)絡(luò)交易管理辦法》、《全國(guó)人民代表大會(huì)常務(wù)委員會(huì)關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》等相關(guān)法律法規(guī)規(guī)章中，雖然規(guī)定不少，但相關(guān)規(guī)定中卻沒有設(shè)置任何對(duì)應(yīng)的處罰措施，違法成本極低。
在日益繁雜多變的網(wǎng)絡(luò)交易中，服務(wù)商們忙于應(yīng)付各種生意，對(duì)于用戶信息保密僅僅是基于商業(yè)道德或品牌榮譽(yù)的角度，其實(shí)施力度可想而知?？梢院敛豢鋸埖卣f，法律監(jiān)管的缺失是類似事件一而再再而三爆發(fā)的根本。行政主管部門，比如工商局、銀監(jiān)會(huì)、證監(jiān)會(huì)、通管局等相關(guān)部門應(yīng)該形成聯(lián)動(dòng)機(jī)制，對(duì)泄露用戶信息的行為甚至是“出賣”用戶信息的行為進(jìn)行狠狠打擊，還消費(fèi)者以安全，還消費(fèi)者以放心。
對(duì)此，網(wǎng)經(jīng)社特約研究員、浙江澤大律師事務(wù)所付勇勇律師認(rèn)為：因商家過失導(dǎo)致消費(fèi)者經(jīng)濟(jì)損失的理應(yīng)賠償?！断M(fèi)者權(quán)益保護(hù)法》的規(guī)定，經(jīng)營(yíng)者及其工作人員對(duì)收集的消費(fèi)者個(gè)人信息必須嚴(yán)格保密，不得泄露、出售或者非法向他人提供。經(jīng)營(yíng)者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保信息安全，防止消費(fèi)者個(gè)人信息泄露、丟失。
在發(fā)生或者可能發(fā)生信息泄露、丟失的情況時(shí)，應(yīng)當(dāng)立即采取補(bǔ)救措施。另外，《網(wǎng)絡(luò)交易管理辦法》也有相同的規(guī)定。如果由于經(jīng)營(yíng)者的過失，導(dǎo)致消費(fèi)者經(jīng)濟(jì)損失的，理應(yīng)承擔(dān)相應(yīng)的賠償責(zé)任。
網(wǎng)經(jīng)社主任曹磊認(rèn)為，用戶信息泄露不僅存在于個(gè)別計(jì)價(jià)電商平臺(tái)，幾乎是當(dāng)下電商行業(yè)的一大“通病”，而信息泄露中受害最大的是處于被動(dòng)的消費(fèi)者。要在購(gòu)物過程中避免信息泄露，需要消費(fèi)者、電商平臺(tái)和相關(guān)部門的共同努力。全國(guó)首部《電子商務(wù)法(草案)》中，加大對(duì)信息安全的保護(hù)力度，明確包括第三方電商平臺(tái)、平臺(tái)內(nèi)經(jīng)營(yíng)者、支付服務(wù)提供者、快遞物流服務(wù)提供者等在內(nèi)的信息安全保護(hù)責(zé)任主體。提出對(duì)未履行保護(hù)義務(wù)的，最高處50萬元罰款并吊銷執(zhí)照；構(gòu)成犯罪的，追究刑事責(zé)任。此外，根據(jù)刑法第二百五十三條：“國(guó)家機(jī)關(guān)或者金融、電信、交通、教育、醫(yī)療等單位的工作人員，違反國(guó)家規(guī)定，將本單位在履行職責(zé)或者提供服務(wù)過程中獲得的公民個(gè)人信息，出售或者非法提供給他人，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金。
那么，如何防止個(gè)人信息被泄露呢？
對(duì)此，網(wǎng)經(jīng)社主任曹磊給出了建議：
第一，網(wǎng)站用戶信息泄露有多種可能性途徑。現(xiàn)在許多APP、網(wǎng)站、公眾號(hào)、小程序都需要用戶注冊(cè)賬號(hào)后才能正常使用。因此，每個(gè)網(wǎng)民擁有多個(gè)賬號(hào)是很平常的事情。在注冊(cè)時(shí)，網(wǎng)站一般都需要填寫一些個(gè)人信息，如常見的賬號(hào)、密碼、郵箱等，像一些電子商務(wù)、婚戀、交友網(wǎng)站等還需要實(shí)名認(rèn)證，要求填寫的信息更加詳細(xì)。平臺(tái)上的用戶數(shù)據(jù)泄露主要有以下幾種方式：黑客利用平臺(tái)存在的安全漏洞入侵網(wǎng)站，盜取用戶數(shù)據(jù)庫(kù)；網(wǎng)站內(nèi)部工作人員倒賣用戶信息；通過撞庫(kù)攻擊，竊取用戶數(shù)據(jù)；利用釣魚攻擊竊取用戶信息；通過木馬、病毒竊取用戶隱私信息。
第二，法律條文需細(xì)化，相關(guān)部門應(yīng)適時(shí)介入。我國(guó)關(guān)于網(wǎng)絡(luò)信息安全方面的法律條文不夠明確，適用范圍尚且不夠精準(zhǔn)，相關(guān)條文必須得到進(jìn)一步細(xì)化、規(guī)范，以此更加公平公正地懲治網(wǎng)絡(luò)信息安全事故的造成者，保護(hù)公民切身利益。此類信息泄露事件不適用“不告不處理的”的原則，相反，執(zhí)法部門應(yīng)主動(dòng)積極介入案件調(diào)查，并對(duì)實(shí)施者進(jìn)行追責(zé)處理。
第三，信息安全無小事，用戶必須增強(qiáng)信息保護(hù)意識(shí)。警惕要求重新輸入賬號(hào)信息，否則將停掉信用卡賬號(hào)之類的郵件，不要回復(fù)或者點(diǎn)擊郵件的鏈接，以免落入圈套。同時(shí)，避免開啟來路不明的電子郵件及文件，安裝殺毒軟件并及時(shí)升級(jí)病毒知識(shí)庫(kù)和操作系統(tǒng)補(bǔ)丁，將敏感信息輸入隱私保護(hù)，打開個(gè)人防火墻。網(wǎng)絡(luò)銀行時(shí)，選擇使用網(wǎng)絡(luò)憑證及約定賬戶方式進(jìn)行轉(zhuǎn)賬交易，不要在網(wǎng)吧、公用計(jì)算機(jī)上和不明的地下網(wǎng)站做在線交易或轉(zhuǎn)賬。不要在多個(gè)網(wǎng)站使用相同的注冊(cè)賬戶名以及登錄密碼，防止網(wǎng)絡(luò)黑客有意盜取，造成多個(gè)網(wǎng)站個(gè)人信息的連環(huán)失竊。
第四，要求網(wǎng)站平臺(tái)收集和使用用戶信息應(yīng)當(dāng)遵循“合法、正當(dāng)、必要”三原則。對(duì)收集到的用戶信息應(yīng)當(dāng)采取安全保護(hù)措施，一旦發(fā)生泄密，必須及時(shí)采取補(bǔ)救措施，否則都可能面臨行政處罰或者用戶的訴訟。
最后，國(guó)內(nèi)知名網(wǎng)購(gòu)維權(quán)專家、網(wǎng)經(jīng)社法律與權(quán)益部姚建芳助理分析師認(rèn)為：
第一，信息安全無小事，忽視必然付出慘重代價(jià)。針對(duì)廣大互聯(lián)網(wǎng)企業(yè)都能夠重視用戶信息安全問題，加強(qiáng)相關(guān)的數(shù)據(jù)安全保護(hù)、技術(shù)監(jiān)管以及內(nèi)部管理。，防止任何形式的信息泄露。一旦出現(xiàn)信息安全問題，盡早補(bǔ)救，以防事態(tài)嚴(yán)重，一發(fā)不可收拾。同時(shí)，一旦有可能威脅用戶信息安全，應(yīng)第一時(shí)間坦誠(chéng)公布，告知用戶，并且主動(dòng)承擔(dān)責(zé)任，給以相應(yīng)的賠償。監(jiān)管部門，加強(qiáng)對(duì)互聯(lián)網(wǎng)、電商、快遞行業(yè)的監(jiān)管，細(xì)化個(gè)人信息保護(hù)相關(guān)法律法規(guī)，做到完善立法，嚴(yán)格執(zhí)法。
第二，用戶增強(qiáng)信息保護(hù)意識(shí)，網(wǎng)絡(luò)支付需謹(jǐn)慎
1、對(duì)要求重新輸入賬號(hào)信息，否則將停掉信用卡賬號(hào)之類的郵件不予理睬。不要回復(fù)或者點(diǎn)擊郵件的鏈接。如果想核實(shí)電子郵件的信息，使用電話，而非鼠標(biāo)；若想訪問某個(gè)公司的網(wǎng)站，使用瀏覽器直接訪問，而非點(diǎn)擊郵件中的鏈接。
2、留意網(wǎng)址。多數(shù)合法網(wǎng)站的網(wǎng)址相對(duì)較短，通常以.com或者.gov結(jié)尾，仿冒網(wǎng)站的地址通常較長(zhǎng)，只是在其中包括合法的企業(yè)名字(甚至根本不包含)。
3、避免開啟來路不明的電子郵件及文件，安裝殺毒軟件并及時(shí)升級(jí)病毒知識(shí)庫(kù)和操作系統(tǒng)補(bǔ)丁，將敏感信息輸入隱私保護(hù)，打開個(gè)人防火墻。
4、使用網(wǎng)絡(luò)銀行時(shí)，選擇使用網(wǎng)絡(luò)憑證及約定賬戶方式進(jìn)行轉(zhuǎn)賬交易，不要在網(wǎng)吧、公用計(jì)算機(jī)上和不明的地下網(wǎng)站做在線交易或轉(zhuǎn)賬。
5、不要在多個(gè)網(wǎng)站使用相同的注冊(cè)賬戶名以及登錄密碼，防止網(wǎng)絡(luò)黑客有意盜取，造成多個(gè)網(wǎng)站個(gè)人信息的連環(huán)失竊。
6、鑒于近來頻頻出現(xiàn)用戶網(wǎng)銀被盜等問題，建議最好有單獨(dú)銀行卡開通網(wǎng)銀供網(wǎng)絡(luò)消費(fèi)使用，同時(shí)網(wǎng)銀盡量不要選擇工資卡等存款較多的銀行卡。
第三，互聯(lián)網(wǎng)信息泄露隱性風(fēng)險(xiǎn)重重，除了我們熟悉的購(gòu)物網(wǎng)站賬戶被盜、CDSN信息泄露外，在日常的手機(jī)軟件下載、WIFI蹭網(wǎng)、手機(jī)支付等又存在一定的風(fēng)險(xiǎn)。然而，所有的信息泄露無外乎三種原因：
(1)擁有個(gè)人信息資料的商業(yè)機(jī)構(gòu)被外部竊取或內(nèi)部泄露：諸如航空公司旅客行程資料被泄漏出現(xiàn)針對(duì)性的詐騙，某快遞公司百萬客戶信息遭泄露等；
(2)技術(shù)漏洞所致：諸如一些快捷酒店因開房記錄由第三方存儲(chǔ)導(dǎo)致客戶信息泄漏，造成用戶大量隱私內(nèi)容泄露等；
(3)用戶個(gè)人由于信息保管不當(dāng)，被不法分子獲得，尤其是在互聯(lián)網(wǎng)應(yīng)用中使用簡(jiǎn)單密碼或者相同的密碼等。
對(duì)此，建議廣大互聯(lián)網(wǎng)/電商企業(yè)加強(qiáng)技術(shù)監(jiān)管，保障用戶信息安全；互聯(lián)網(wǎng)用戶加強(qiáng)個(gè)人信息保護(hù)意，保護(hù)個(gè)人信息不受侵犯；監(jiān)管部門加快相關(guān)法律法規(guī)建設(shè)，嚴(yán)格執(zhí)法。
