(電子商務(wù)研究中心訊) 一、事件背景
6月1日起，《中華人民共和國(guó)網(wǎng)絡(luò)安全法》正式施行，作為我國(guó)網(wǎng)絡(luò)安全治理領(lǐng)域的基礎(chǔ)性立法，首次在法律層面規(guī)定了個(gè)人信息保護(hù)的基本原則，明確指出，收集適用信息應(yīng)經(jīng)用戶明示同意，不得收集無(wú)關(guān)信息，不得向他人提供個(gè)人信息，經(jīng)過(guò)處理無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的除外，不得非法出售個(gè)人信息。對(duì)此，網(wǎng)經(jīng)社對(duì)《網(wǎng)絡(luò)安全法》以及信息泄露現(xiàn)狀、如何防范進(jìn)行解讀。
二、相關(guān)數(shù)據(jù)
所謂個(gè)人信息包括兩類，一類是姓名、住址等基本信息；另一類是賬戶、密碼等交易類信息。隨著互聯(lián)網(wǎng)應(yīng)用的普及和人們對(duì)互聯(lián)網(wǎng)的依賴，互聯(lián)網(wǎng)的安全問(wèn)題也日益凸顯。惡意程序、各類釣魚和欺詐繼續(xù)保持高速增長(zhǎng)，同時(shí)黑客攻擊和大規(guī)模的個(gè)人信息泄露事件頻發(fā)，與各種網(wǎng)絡(luò)攻擊大幅增長(zhǎng)相伴的，是大量網(wǎng)民個(gè)人信息的泄露與財(cái)產(chǎn)損失的不斷增加。
而在電商領(lǐng)域，由于用戶在各大電商網(wǎng)站注冊(cè)、購(gòu)物導(dǎo)致的個(gè)人信息泄露事件時(shí)有發(fā)生，據(jù)“中國(guó)電子商務(wù)投訴與維權(quán)公共平臺(tái)”受理的來(lái)自全國(guó)各地用戶投訴案例顯示，包括小紅書、達(dá)令、當(dāng)當(dāng)網(wǎng)、攜程在內(nèi)的多家電商平臺(tái)用戶投訴比較集中，反映這些平臺(tái)個(gè)人信息泄露問(wèn)題較為突出。
據(jù)中國(guó)電子商務(wù)研究中心(100EC.CN)此前對(duì)1000位用戶在線調(diào)查顯示，21.7%的用戶曾因網(wǎng)購(gòu)、論壇、微信等遭遇過(guò)信息泄露，并且11.2%的用戶接到過(guò)疑似的詐騙電話；56.8%的用戶表示對(duì)互聯(lián)網(wǎng)信息安全擔(dān)憂，并會(huì)對(duì)需要填寫個(gè)人信息的互聯(lián)網(wǎng)游戲，注冊(cè)等保留一定的戒心，而仍有43.2%的用戶認(rèn)為互聯(lián)網(wǎng)信息泄露與個(gè)人無(wú)關(guān)，不太關(guān)注。
據(jù)中國(guó)電子商務(wù)投訴與維權(quán)公共服務(wù)平臺(tái)(qjkhjx.com/zt/315/)近年來(lái)接到的類似用戶投訴案例表明，近年來(lái)互聯(lián)網(wǎng)/電商行業(yè)“泄密”事件頻頻出現(xiàn)，其重大典型的包括：5173中國(guó)網(wǎng)絡(luò)服務(wù)網(wǎng)數(shù)次被“盜錢”、當(dāng)當(dāng)網(wǎng)多次用戶賬戶遭盜刷、“1號(hào)店”員工內(nèi)外勾結(jié)泄露客戶信息、支付寶漏洞致用戶信息泄露、如家、七天開房信息泄密、騰訊7000多萬(wàn)QQ群遭泄露、攜程技術(shù)漏洞導(dǎo)致用戶個(gè)人信息、銀行卡信息等泄露、微信朋友圈小游戲竊取用戶信息、快遞單販賣成“灰色產(chǎn)業(yè)鏈”、小米“泄密門”800萬(wàn)用戶信息泄露、13萬(wàn)12306用戶信息外泄事件等(詳見(jiàn)【電商快評(píng)】50億條公民信息泄露？為何信息泄露成常態(tài)？http://qjkhjx.com/detail--6392629.html)。
另?yè)?jù)中國(guó)互聯(lián)網(wǎng)協(xié)會(huì)《中國(guó)網(wǎng)民權(quán)益保護(hù)調(diào)查報(bào)告2016》顯示，近一年的時(shí)間，國(guó)內(nèi)6.88億網(wǎng)民因垃圾短信、詐騙信息、個(gè)人信息泄露等造成的經(jīng)濟(jì)損失估算達(dá)915億元。54%的網(wǎng)民認(rèn)為個(gè)人信息泄露情況嚴(yán)重，84%的網(wǎng)民曾親身感受到因個(gè)人信息泄露帶來(lái)的不良影響。
據(jù)網(wǎng)經(jīng)社(100EC.CN)監(jiān)測(cè)諸多案例獲悉，絕大多數(shù)新型的網(wǎng)絡(luò)騙術(shù)都與個(gè)人信息的泄漏有關(guān)，他們或者是充分利用已經(jīng)竊取到的受害者個(gè)人信息實(shí)施網(wǎng)絡(luò)詐騙，或者就是以受害者的個(gè)人信息為網(wǎng)絡(luò)詐騙的攻擊目標(biāo)，個(gè)人信息的非法交易也恰恰是造成網(wǎng)絡(luò)詐騙犯罪泛濫的根本原因。
三、專家點(diǎn)評(píng)
針對(duì)《網(wǎng)絡(luò)安全法》的正式實(shí)施，長(zhǎng)期跟蹤研究電商、互聯(lián)網(wǎng)用戶權(quán)益保護(hù)的行業(yè)“智庫(kù)”——網(wǎng)經(jīng)社發(fā)表本快評(píng)，供參考。
3.1《網(wǎng)絡(luò)安全法》十大亮點(diǎn)
網(wǎng)經(jīng)社特約研究員、上海漢盛律師事務(wù)所高級(jí)合伙人李旻律師認(rèn)為：《網(wǎng)絡(luò)安全法》有十大亮點(diǎn)。
《網(wǎng)絡(luò)安全法》的頒布，其立法本意是要在我國(guó)領(lǐng)域內(nèi)推廣“安全可控”的產(chǎn)品和服務(wù)。“安全可控”包含著三方面的意思，首先，在于“產(chǎn)品的安全可控”，即禁止網(wǎng)絡(luò)服務(wù)提供者通過(guò)網(wǎng)絡(luò)非法控制和操縱用戶設(shè)備，損害用戶對(duì)設(shè)備和系統(tǒng)的控制權(quán)；其次，在于“數(shù)據(jù)的自主可控”，即禁止網(wǎng)絡(luò)服務(wù)提供者利用提供產(chǎn)品或服務(wù)的便利條件非法獲取用戶重要數(shù)據(jù)，損害用戶對(duì)自己數(shù)據(jù)的控制權(quán)；第三，在于“用戶的選擇可控”，即禁止服務(wù)提供者利用用戶對(duì)其產(chǎn)品和服務(wù)的依賴性，限制用戶選擇使用其他產(chǎn)品和服務(wù)，損害用戶的網(wǎng)絡(luò)安全和利益。
亮點(diǎn)一：網(wǎng)絡(luò)空間主權(quán)原則制度?！?/strong>網(wǎng)絡(luò)安全法》前所未有的提出了網(wǎng)絡(luò)空間主權(quán)概念，豐富了我國(guó)享有的主權(quán)范圍，其將網(wǎng)絡(luò)空間主權(quán)視為是我國(guó)國(guó)家主權(quán)在網(wǎng)絡(luò)空間中的自然延伸和表現(xiàn)。將網(wǎng)絡(luò)空間的概念上升為國(guó)家主權(quán)，更有利于保障我國(guó)合法網(wǎng)絡(luò)權(quán)益不受他國(guó)或國(guó)外組織的侵害。一切在我國(guó)網(wǎng)絡(luò)空間領(lǐng)域內(nèi)非法入侵、竊取、破壞計(jì)算機(jī)及其他服務(wù)設(shè)備或提供相關(guān)技術(shù)的行為，都將被視作是侵害我國(guó)國(guó)家主權(quán)的行為。
亮點(diǎn)二：網(wǎng)絡(luò)安全等級(jí)保護(hù)制度?！?/strong>網(wǎng)絡(luò)安全法》確立的網(wǎng)絡(luò)安全等級(jí)保護(hù)制度將網(wǎng)絡(luò)安全分為五個(gè)等級(jí)，隨著級(jí)別的增高，國(guó)家信息安全監(jiān)管部門介入的強(qiáng)度越大，以此對(duì)信息系統(tǒng)安全保護(hù)起到監(jiān)督和檢查。
亮點(diǎn)三：實(shí)名認(rèn)證制度?！?/strong>網(wǎng)絡(luò)安全法》規(guī)定了網(wǎng)絡(luò)服務(wù)經(jīng)營(yíng)者、提供者及其他主體在與用戶簽訂協(xié)議或者確認(rèn)提供服務(wù)時(shí)應(yīng)當(dāng)采取實(shí)名認(rèn)證制度，包括但不限于網(wǎng)絡(luò)接入、域名注冊(cè)、入網(wǎng)手續(xù)辦理、為用戶提供信息發(fā)布、即時(shí)通訊等服務(wù)。實(shí)務(wù)中，這一制度靈活性及可操作性較強(qiáng)，可采取前臺(tái)匿名，后臺(tái)實(shí)名的方式進(jìn)行。但是，實(shí)名認(rèn)證的工作必須落實(shí)到位，若不實(shí)行網(wǎng)絡(luò)實(shí)名制的，則最高可對(duì)平臺(tái)處以50萬(wàn)元的罰款。
亮點(diǎn)四：關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品、服務(wù)的安全審查制度?！?/strong>網(wǎng)絡(luò)安全法》對(duì)提高我國(guó)關(guān)鍵信息基礎(chǔ)設(shè)施安全可控水平提出了相關(guān)法律要求，并配套相繼出臺(tái)了《網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法(試行)》(該《辦法》與《網(wǎng)絡(luò)安全法》均于2017年6月1日起生效)，明確了關(guān)系國(guó)家安全的網(wǎng)絡(luò)和信息系統(tǒng)采購(gòu)的重要網(wǎng)絡(luò)產(chǎn)品和服務(wù)，對(duì)網(wǎng)絡(luò)產(chǎn)品和服務(wù)的安全性、可控性應(yīng)當(dāng)經(jīng)過(guò)網(wǎng)絡(luò)安全審查。涉及國(guó)家安全、軍事領(lǐng)域等產(chǎn)品及服務(wù)的采購(gòu)，若可能影響國(guó)家安全的，應(yīng)當(dāng)經(jīng)過(guò)國(guó)家安全審查。
亮點(diǎn)五：安全認(rèn)證檢測(cè)制度。針對(duì)網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品，《網(wǎng)絡(luò)安全法》規(guī)定應(yīng)當(dāng)按照相關(guān)國(guó)家標(biāo)準(zhǔn)的強(qiáng)制性要求，由具備資格的機(jī)構(gòu)安全認(rèn)證合格或者安全檢測(cè)符合要求后，方可銷售或者提供。
亮點(diǎn)六：重要數(shù)據(jù)強(qiáng)制本地存儲(chǔ)制度。該制度主要調(diào)整的是關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者在搜集個(gè)人信息重要數(shù)據(jù)的合法性問(wèn)題，規(guī)定了需要強(qiáng)制在本地進(jìn)行數(shù)據(jù)存儲(chǔ)。
亮點(diǎn)七：境外數(shù)據(jù)傳輸審查評(píng)估制度。本地存儲(chǔ)的數(shù)據(jù)若確屬需要數(shù)據(jù)轉(zhuǎn)移出境的，需要同時(shí)滿足以下條件：1、經(jīng)過(guò)安全評(píng)估認(rèn)為不會(huì)危害國(guó)家安全和社會(huì)公共利益的；2、經(jīng)個(gè)人信息主體同意的。另外，該制度還規(guī)定了一些法律擬制的情況，比如撥打國(guó)際電話、發(fā)送國(guó)際電子郵件、通過(guò)互聯(lián)網(wǎng)跨境購(gòu)物以及其他個(gè)人主動(dòng)行為，均可視為已經(jīng)取得了個(gè)人信息主體同意。
亮點(diǎn)八：個(gè)人信息保護(hù)制度?！?/strong>網(wǎng)絡(luò)安全法》在如何更好的對(duì)個(gè)人信息進(jìn)行保護(hù)這一問(wèn)題上有了相當(dāng)大的突破。它確立了網(wǎng)絡(luò)運(yùn)營(yíng)者在收集、使用個(gè)人信息過(guò)程中的合法、正當(dāng)、必要原則。形式上，進(jìn)一步要求通過(guò)公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，經(jīng)被收集者同意后方可收集和使用數(shù)據(jù)。另一方面，《網(wǎng)絡(luò)安全法》加大了對(duì)網(wǎng)絡(luò)詐騙等不法行為的打擊力度，特別對(duì)網(wǎng)絡(luò)詐騙嚴(yán)厲打擊的相關(guān)內(nèi)容，切中了個(gè)人信息泄露亂象的要害，充分體現(xiàn)了保護(hù)公民合法權(quán)利的立法原則。
亮點(diǎn)九：個(gè)人信息流通制度。針對(duì)目前個(gè)人信息非法買賣、非法分享的社會(huì)亂象，《網(wǎng)絡(luò)安全法》給出了一記重拳。規(guī)定了未經(jīng)被收集者同意，網(wǎng)絡(luò)運(yùn)營(yíng)者不得泄露、篡改、毀損其收集的個(gè)人信息的義務(wù)。但是，經(jīng)過(guò)處理無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的不在此列。這樣的規(guī)定即杜絕了個(gè)人信息數(shù)據(jù)被非法濫用，又不影響網(wǎng)絡(luò)經(jīng)營(yíng)者及管理者由于自身企業(yè)發(fā)展需要所面臨的大數(shù)據(jù)分析問(wèn)題。
亮點(diǎn)十：網(wǎng)絡(luò)通信管制制度。網(wǎng)絡(luò)通信管制制度的確立目的是在發(fā)生重大事件的情況下，通過(guò)賦予政府行政介入的權(quán)力，犧牲部分通信自由權(quán)，來(lái)維護(hù)國(guó)家安全和社會(huì)公共秩序的制度。該做法是國(guó)際通行做法，例如在發(fā)生暴恐事件中，可切斷不法分子的通聯(lián)渠道，避免事態(tài)進(jìn)一步惡化，保障用戶的合法權(quán)益，維護(hù)社會(huì)穩(wěn)定。但是這種管制影響是比較大的，因此《網(wǎng)絡(luò)安全法》嚴(yán)謹(jǐn)?shù)匾?guī)定實(shí)施臨時(shí)網(wǎng)絡(luò)管制，需要經(jīng)過(guò)國(guó)務(wù)院決定或者批準(zhǔn)。一般來(lái)說(shuō)，網(wǎng)絡(luò)通信管制制度的實(shí)施是短時(shí)性的，一旦事件處置結(jié)束，政府會(huì)立即恢復(fù)正常通信，以盡可能小的對(duì)個(gè)人通信帶來(lái)不便。
3.2《網(wǎng)絡(luò)安全法》的執(zhí)行
網(wǎng)經(jīng)社特約研究員、浙江墾丁律師事務(wù)所聯(lián)合創(chuàng)始人麻策律師認(rèn)為《網(wǎng)絡(luò)安全法》的執(zhí)行需企業(yè)配合，具體表現(xiàn)為：
1、目前對(duì)于“關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者”具體范圍的認(rèn)定已經(jīng)顯得十分的急迫，國(guó)務(wù)院應(yīng)該盡快出臺(tái)認(rèn)定標(biāo)準(zhǔn)，如果配套法規(guī)將該定義擴(kuò)大化和碎片化，會(huì)令人無(wú)所適從。
2、在跨境電商迅速發(fā)展和一帶一路戰(zhàn)略布署等特殊歷史背景下，個(gè)人信息出境問(wèn)題也顯得更為重要，雖然跨境電商交易可以直接視為消費(fèi)者同意數(shù)據(jù)出境，但跨境電商公司仍應(yīng)當(dāng)盡快修訂網(wǎng)站服務(wù)協(xié)議來(lái)獲得消費(fèi)者同意。
3、個(gè)人信息出境適用的前提仍是必須先行符合信息收集使用三原則，即合法、必要和正當(dāng)性，否則出境仍會(huì)隱藏風(fēng)險(xiǎn)。
網(wǎng)經(jīng)社特約研究員、遼寧亞太律師事務(wù)所董毅智律師則認(rèn)為《網(wǎng)絡(luò)安全法》實(shí)施需權(quán)衡好安全與發(fā)展的關(guān)系：
1、《網(wǎng)絡(luò)安全法》是網(wǎng)絡(luò)安全的基本法，為今后我國(guó)構(gòu)建完整全面系統(tǒng)的網(wǎng)絡(luò)安全法律體系奠定了基礎(chǔ)。
2、如何權(quán)衡安全與發(fā)展之間的關(guān)系，將是未來(lái)該法實(shí)施的重大挑戰(zhàn)，我國(guó)互聯(lián)網(wǎng)產(chǎn)業(yè)能夠在國(guó)際上實(shí)現(xiàn)跨越式發(fā)展，實(shí)現(xiàn)彎道超車，確實(shí)因?yàn)榍岸晗鄬?duì)寬松的監(jiān)管環(huán)境，而今《網(wǎng)絡(luò)安全法》實(shí)施必然會(huì)產(chǎn)生安全與發(fā)展的矛盾，如何尋找切好點(diǎn)，真正實(shí)現(xiàn)互聯(lián)網(wǎng)安全的法治，需要一個(gè)長(zhǎng)的周期去觀察。
3、呼吁強(qiáng)調(diào)執(zhí)法問(wèn)題，任何立法的最終價(jià)值體現(xiàn)在執(zhí)法層面，如何順應(yīng)民意，在監(jiān)管上實(shí)現(xiàn)高超的技術(shù)，利用互聯(lián)網(wǎng)的特色，將是一個(gè)不斷考量人性的弱點(diǎn)的歷程，需要每個(gè)網(wǎng)民關(guān)注。
3.3信息泄露的根源
這么多的個(gè)人信息，究竟是如何泄露的？網(wǎng)經(jīng)社特約研究員、上海市信息安全行業(yè)協(xié)會(huì)專委會(huì)副主任張威認(rèn)為，在線旅游網(wǎng)站平臺(tái)上的用戶數(shù)據(jù)泄露主要有以下幾種方式：1)黑客利用平臺(tái)存在的安全漏洞入侵網(wǎng)站，盜取用戶數(shù)據(jù)庫(kù)；網(wǎng)站內(nèi)部工作人員倒賣用戶信息；2)通過(guò)撞庫(kù)攻擊，竊取用戶數(shù)據(jù)；3)利用釣魚攻擊竊取用戶信息；通過(guò)木馬、病毒竊取用戶隱私信息。
對(duì)于社交網(wǎng)絡(luò)的個(gè)人信息泄露，張威表示現(xiàn)在對(duì)于社交網(wǎng)絡(luò)的個(gè)人信息獲取確實(shí)比較泛濫，利用人性的熱點(diǎn)實(shí)現(xiàn)一些不道德的目的，很多人也因此上當(dāng)受騙，最近協(xié)會(huì)碰到比較多的問(wèn)題。這種危害廣大網(wǎng)民了解較少，從而不太注意，防范意識(shí)比較差。
一種是采集信息詐騙，類似此前朋友圈“刷屏幕”的“星座性格測(cè)試”這樣的形式。通過(guò)看似有意思的互動(dòng)活動(dòng)，采集用戶的真實(shí)信息，這些真實(shí)信息會(huì)和手機(jī)的IP和串號(hào)進(jìn)行綁定，再通過(guò)針對(duì)性的策劃進(jìn)行詐騙。
還有一種是假冒微信群或qq群對(duì)特定人群進(jìn)行欺騙。最近上海的某家上市公司就碰到這種手法的社交欺詐，公司財(cái)務(wù)某日被拉進(jìn)一個(gè)公司工作交流的微信群，群里都是“公司員工”(中國(guó)電子商務(wù)投訴與維權(quán)公共服務(wù)平臺(tái)注明：實(shí)際為騙子“馬甲”)，在討論日常的工作，突然有個(gè)他老板頭像的人在群里跟他說(shuō)有個(gè)項(xiàng)目需要他馬上打款169萬(wàn)，讓他去操作，因?yàn)檎鎸?shí)性很高，所以他立即向指定賬戶進(jìn)行了操作，到最后才發(fā)現(xiàn)上當(dāng)受騙了，因?yàn)槟莻€(gè)群里除了他，其實(shí)其他人都是騙子，核心在于給他營(yíng)造了一種場(chǎng)景。
而網(wǎng)經(jīng)社生活服務(wù)O2O部助理分析師陳禮騰表達(dá)了他對(duì)“共享充電寶”這一新型模式出現(xiàn)信息泄露的看法，利用共享充電寶盜取連接手機(jī)上的信息，從理論上說(shuō)是可行的，這一安全隱患也確實(shí)存在。雖然還沒(méi)有實(shí)際案例，但以前有媒體報(bào)道，有人借用別人的充電寶導(dǎo)致信息泄露，因此這一風(fēng)險(xiǎn)不容忽視。
一般來(lái)說(shuō)，共享充電寶企業(yè)不至于主動(dòng)在向消費(fèi)者提供的共享充電寶上安裝竊取手機(jī)信息的裝置，對(duì)企業(yè)來(lái)說(shuō)，這種行為風(fēng)險(xiǎn)太大。但是在共享充電寶的3種模式中，除了類似‘小電’這種固定的模式，其他兩種模式的共享充電寶都處于相對(duì)開放狀態(tài)，誰(shuí)都可以借了帶走。這就有一個(gè)隱患，即不法分子可能先借來(lái)充電寶，然后拆開，在里面安裝上那種特殊的芯片，再還回去，等著充電寶被下一個(gè)消費(fèi)者借走，當(dāng)其開始使用時(shí)，就可以植入木馬了。”
共享充電寶應(yīng)該和共享單車一樣，有特殊的設(shè)計(jì)要求，比如采用全封閉的防拆設(shè)計(jì)，避免被不法分子打開改裝，或者一旦被打開過(guò)，借用充電寶的消費(fèi)者就能發(fā)現(xiàn)，從而避免使用。陳禮騰表示：就目前看來(lái)，雖然共享充電寶融資不斷，但對(duì)于這種單一服務(wù)的未來(lái)發(fā)展還不能作出樂(lè)觀評(píng)價(jià)。隨著信息價(jià)值越來(lái)越重要以及消費(fèi)者對(duì)信息安全的重視，如果不能處理好該風(fēng)險(xiǎn)，勢(shì)必會(huì)對(duì)其發(fā)展產(chǎn)生負(fù)面影響。
在網(wǎng)經(jīng)社主任曹磊看來(lái)，用戶信息泄露有多種可能性途徑，互聯(lián)網(wǎng)信息泄露隱形風(fēng)險(xiǎn)重重?，F(xiàn)在很多網(wǎng)民擁有多個(gè)賬號(hào)，注冊(cè)時(shí)網(wǎng)站一般都需要填寫一些個(gè)人信息，如常見(jiàn)的賬號(hào)、密碼、郵箱等，有的網(wǎng)站甚至要實(shí)名認(rèn)證。
網(wǎng)經(jīng)社法律權(quán)益部分析師姚建芳總結(jié)了信息泄露的三種原因：即擁有個(gè)人信息資料的商業(yè)機(jī)構(gòu)被外部竊取或內(nèi)部泄露；技術(shù)漏洞所致，造成用戶大量隱私內(nèi)容曝光；用戶個(gè)人由于信息保管不當(dāng)，被不法分子獲得等。
要了解訂單究竟從哪里泄露的，要看整個(gè)產(chǎn)業(yè)的流轉(zhuǎn)情況。我們下單買一個(gè)東西，大體上要經(jīng)過(guò)商家、電商平臺(tái)、物流、最后到達(dá)用戶手中，所以這四個(gè)環(huán)節(jié)都有可能產(chǎn)生訂單信息泄露的問(wèn)題。
一、商家環(huán)節(jié)
1、內(nèi)部倒賣。內(nèi)部員工倒賣訂單數(shù)據(jù)分為兩種情況，一種是內(nèi)部員工行為，另一種則是黑產(chǎn)打入的行為。先說(shuō)內(nèi)部員工行為，一個(gè)小型商家對(duì)員工的錄用，可想而之是個(gè)什么情況：不在乎學(xué)歷，不在乎背景，只要有點(diǎn)經(jīng)驗(yàn)即可，而且待遇也比較低，員工流動(dòng)也大，因此面對(duì)一些誘惑，很容易去倒賣數(shù)據(jù)，賣了幾批數(shù)據(jù)后就跑路換個(gè)其他公司接著做。還有一種是“黑產(chǎn)”打入，黑產(chǎn)直接派一些人去應(yīng)聘，然后拿數(shù)據(jù)，也是干一陣就跑。
2、木馬病毒。商家的員工有時(shí)候會(huì)接待一些聲稱有大訂單的人物，訂單包括多種需求，所以會(huì)需要員工接收訂單文件，又或者發(fā)給員工一個(gè)鏈接，而木馬病毒就在這里了。木馬和病毒會(huì)潛伏下來(lái)監(jiān)控員工電腦操作，獲取訂單軟件系統(tǒng)信息的帳號(hào)密碼。
3、三方工具后門。在線銷售會(huì)需要一些系統(tǒng)的支撐，比如倉(cāng)庫(kù)管理、訂單管理、面單打印等，市面上也有各種公司提供這一類軟件，這種軟件水平也參差不齊。有的直接就是黑產(chǎn)這種人開發(fā)的，目的就是竊取訂單信息。還有的屬于安全能力薄弱，有一些漏洞可以被利用，但是單一的某個(gè)軟件漏洞還不夠可怕，現(xiàn)在很多公司為商家提供一攬子服務(wù)，訂單系統(tǒng)的服務(wù)器都在云上，一旦突破就是一個(gè)大群體訂單泄露。
4、弱口令。所謂弱口令并非是指123456這種，而是由于員工的流動(dòng)性，離職后密碼沒(méi)有修改造成訂單信息被竊取。
5、無(wú)線與監(jiān)聽(tīng)問(wèn)題。很多公司都用的是小型家用無(wú)線路由器，這種路由器一是默認(rèn)密碼不修改，二是自身有漏洞。這樣黑客就可以采用DNS中間人、網(wǎng)絡(luò)監(jiān)聽(tīng)流量等手段獲取網(wǎng)絡(luò)流量信息。這種情況下，改系統(tǒng)密碼、上云服務(wù)其實(shí)都沒(méi)有用處，但最重要的問(wèn)題是難以發(fā)現(xiàn)。
二、用戶環(huán)節(jié)
用戶這里比較突出的是問(wèn)題：賬號(hào)被盜、木馬病毒、釣魚、無(wú)線。
1、賬號(hào)被盜。目前主要是撞庫(kù)。撞庫(kù)這個(gè)事情，稍微有點(diǎn)技術(shù)實(shí)力的電商都會(huì)用各種手段來(lái)防御，比如設(shè)備指紋、IP判定等防掃號(hào)。
2、木馬病毒。主要是手機(jī)端的比較突出。2014年下半年，我們發(fā)現(xiàn)接近70%的訂單信息泄露是手機(jī)用戶，調(diào)研受害用戶發(fā)現(xiàn)在手機(jī)上確實(shí)存在安卓遠(yuǎn)控類軟件，但種類十分繁多。建議在APP上增加了一些安全的功能，對(duì)其中一些數(shù)據(jù)做了特殊加密，對(duì)啟動(dòng)環(huán)境進(jìn)行了判斷。
3、釣魚。偽基站釣魚是一種。另外是社工類的釣魚，冒充客服打電話、兼職招聘收集用戶信息等，其目的也主要是為了得到賬號(hào)。
4、無(wú)線。主要是偽熱點(diǎn)收集信息。
但是，通常用戶不會(huì)理解這里的四類問(wèn)題，第一反應(yīng)就是將責(zé)任歸于電商平臺(tái)。會(huì)產(chǎn)生投訴，甚者會(huì)產(chǎn)生司法糾紛。所以對(duì)用戶的投訴處理要慎重對(duì)待，某些特殊用戶可能要先行賠償，出現(xiàn)危機(jī)要有公關(guān)處理。
三、物流環(huán)節(jié)
物流端其實(shí)也和商戶一樣，但是結(jié)構(gòu)上會(huì)簡(jiǎn)單一些。主要風(fēng)險(xiǎn)兩個(gè)：
1、內(nèi)部倒賣。有倒賣系統(tǒng)數(shù)據(jù)的，但更多的是倒賣物流面單，倒賣物流訂單的特點(diǎn)是地域化比較集中，通常是某個(gè)門店，所以很容易歸類發(fā)現(xiàn)。而且主要集中在一些代理加盟的物流點(diǎn)，管理比較松散。
2、系統(tǒng)漏洞。關(guān)于系統(tǒng)漏洞，幾個(gè)大的物流公司都有出過(guò)問(wèn)題，攻擊者可以直接從系統(tǒng)上撈取物流海量商家和用戶信息。
對(duì)物流公司的泄露，一是宣傳教育，二是專項(xiàng)打擊，配合公安幾輪打下來(lái)，他們就會(huì)引以為鑒。這里有一個(gè)判斷因子，有些情況下，訂單還沒(méi)有到物流側(cè)，用戶就接到了詐騙電話，所以在調(diào)查的時(shí)候要問(wèn)清楚。
四、電商平臺(tái)
平臺(tái)端碰到的問(wèn)題主要分為兩類，內(nèi)鬼和系統(tǒng)漏洞。但內(nèi)鬼里面最突出的問(wèn)題是外包。
1、內(nèi)部員工作案。一個(gè)電商的業(yè)務(wù)系統(tǒng)，能夠接觸到用戶訂單的人實(shí)在太多，從客服到技術(shù)，到數(shù)據(jù)平臺(tái)，前端等都有機(jī)會(huì)接觸。內(nèi)部員工的管控相對(duì)比較容易，一個(gè)是匿名化處理，所謂匿名化處理，就是對(duì)關(guān)鍵用戶信息進(jìn)行匿名或模糊處理，即使員工接觸到也無(wú)法聯(lián)系對(duì)方，或必須通過(guò)系統(tǒng)聯(lián)系對(duì)方。再一個(gè)是操作監(jiān)控，如果要偷拿訂單信息，必然是批量化，而不是個(gè)別單一訂單，從統(tǒng)計(jì)上就可以做一些規(guī)則預(yù)警。還有一個(gè)是加強(qiáng)警示教育，一旦發(fā)現(xiàn)，從重處理絕不姑息。內(nèi)部員工作案的幾率比較低，但一旦出事就是大事，所以這部分能夠在自己掌控的地方要處理好。
2、外包員工。外包員工的作案大家在媒體上也屢見(jiàn)不鮮，外包的應(yīng)用系統(tǒng)開發(fā)、基礎(chǔ)架構(gòu)的維護(hù)、客服是這里需要重點(diǎn)看的問(wèn)題。安全部門要介入外包管理，從最開始的立項(xiàng)就要保證外包無(wú)法接觸到敏感數(shù)據(jù)。對(duì)外包除了在立項(xiàng)階段，還進(jìn)行現(xiàn)場(chǎng)調(diào)研，確定外包公司的環(huán)境能夠滿足我們對(duì)安全的要求，并且不定期抽查。
3、自身的系統(tǒng)漏洞。一是主要漏洞：防掃號(hào)、SQL注入、越權(quán)/遍歷問(wèn)題、搜索引擎爬取，對(duì)這一類漏洞的防范，就看企業(yè)的基本功了，生產(chǎn)新上線的系統(tǒng)有沒(méi)有經(jīng)過(guò)代碼審計(jì)、滲透和掃描。主站問(wèn)題往往都比較重視，但有很多后臺(tái)支撐系統(tǒng)，各種問(wèn)題五花八門，當(dāng)企業(yè)做大以后，后臺(tái)支撐系統(tǒng)出的問(wèn)題不比主站少，這就要清理回收支撐系統(tǒng)，該放在內(nèi)網(wǎng)的收到內(nèi)網(wǎng)，該關(guān)的關(guān)，該改的改。
3.4互聯(lián)網(wǎng)信息泄露責(zé)任如何界定？
對(duì)于頻頻出現(xiàn)的互聯(lián)網(wǎng)信息泄露，用戶和企業(yè)均表示委屈，那么信息泄露責(zé)任究竟該如何界定，誰(shuí)又該為信息泄露帶來(lái)的經(jīng)濟(jì)損失買單？
網(wǎng)經(jīng)社特約研究員、北京盈科(杭州)律師事務(wù)所方超強(qiáng)律師認(rèn)為，電商平臺(tái)在獲取個(gè)人信息的同時(shí)，就有保護(hù)個(gè)人信息的義務(wù)。信息泄露存在不同的情況，如果電商平臺(tái)提供了符合其規(guī)模的保護(hù)措施，但在這種情況之下還是被黑客入侵了系統(tǒng)，這種情況屬于不可抗力，電商不用承擔(dān)責(zé)任，但如果最終發(fā)現(xiàn)因平臺(tái)存在漏洞而導(dǎo)致信息泄露，那么平臺(tái)就要負(fù)責(zé)。
若盜號(hào)者是利用技術(shù)手段從電商平臺(tái)上盜取數(shù)據(jù)，獲得相關(guān)賬號(hào)密碼，則需要進(jìn)一步考慮電商平臺(tái)在數(shù)據(jù)保密層面上技術(shù)保護(hù)水平是否足夠高，有無(wú)明顯漏洞；若一些初學(xué)者黑客也可以攻破平臺(tái)的安全保護(hù)措施，可以認(rèn)為平臺(tái)沒(méi)有給予與其規(guī)模相匹配的保護(hù)，這樣的情況下可以認(rèn)為平臺(tái)存在漏洞，需要承擔(dān)責(zé)任。
根據(jù)《網(wǎng)絡(luò)交易管理辦法》第25條第二款規(guī)定：第三方交易平臺(tái)經(jīng)營(yíng)者應(yīng)當(dāng)采取必要的技術(shù)手段和管理措施保證平臺(tái)的正常運(yùn)行，提供必要、可靠的交易環(huán)境和交易服務(wù)，維護(hù)網(wǎng)絡(luò)交易秩序。
方超強(qiáng)直言，在現(xiàn)實(shí)中很難有一個(gè)標(biāo)準(zhǔn)去判斷什么叫做“平臺(tái)存在漏洞導(dǎo)致信息泄露”，若消費(fèi)者向法院投訴平臺(tái)，平臺(tái)只要舉證證明其盡到了安全責(zé)任保護(hù)義務(wù)，就很難對(duì)平臺(tái)進(jìn)行追責(zé)。同時(shí)，對(duì)于消費(fèi)者因?yàn)樵诓煌娚唐脚_(tái)使用相同的賬號(hào)密碼，以致遭到“撞庫(kù)”盜號(hào)，所有賬號(hào)密碼一同被盜，造成自身重大損失，此類情形，應(yīng)當(dāng)由誰(shuí)承擔(dān)責(zé)任要視賬號(hào)泄密的不同情況分而論之。
而對(duì)于社交網(wǎng)絡(luò)信息泄露，方超強(qiáng)認(rèn)為社交網(wǎng)絡(luò)信息泄露追溯案源難各地法院判例不一。社交網(wǎng)絡(luò)信息泄露問(wèn)題較為普遍，之前就代理過(guò)此類案件，也是財(cái)務(wù)被一個(gè)跟她老板一模一樣的QQ詐騙了幾十萬(wàn)，到目前刑事案件基本沒(méi)進(jìn)展。民事案件在處理過(guò)程中，各地法院判例不一，有以勞動(dòng)爭(zhēng)議判的，也有以一般民事財(cái)產(chǎn)損害判的，以勞動(dòng)爭(zhēng)議判的，員工承擔(dān)責(zé)任一般不超過(guò)20%。這類欺詐案件實(shí)際辦案過(guò)程確實(shí)很難，因?yàn)槭湛顜ぬ?hào)都是馬甲號(hào)，連帳號(hào)開戶人自己也不知道。
3.5如何防范、打擊個(gè)人信息被泄露呢？
信息泄露帶來(lái)的危害毋庸置疑，那么如何保護(hù)用戶的個(gè)人信息安全，對(duì)此，網(wǎng)經(jīng)社主任曹磊給出了如下四點(diǎn)建議：
第一，網(wǎng)站用戶信息泄露有多種可能性途徑。現(xiàn)在許多APP、網(wǎng)站、公眾號(hào)、小程序都需要用戶注冊(cè)賬號(hào)后才能正常使用。因此，每個(gè)網(wǎng)民擁有多個(gè)賬號(hào)是很平常的事情。在注冊(cè)時(shí)，網(wǎng)站一般都需要填寫一些個(gè)人信息，如常見(jiàn)的賬號(hào)、密碼、郵箱等，像一些電子商務(wù)、婚戀、交友網(wǎng)站等還需要實(shí)名認(rèn)證，要求填寫的信息更加詳細(xì)。平臺(tái)上的用戶數(shù)據(jù)泄露主要有以下幾種方式：黑客利用平臺(tái)存在的安全漏洞入侵網(wǎng)站，盜取用戶數(shù)據(jù)庫(kù)；網(wǎng)站內(nèi)部工作人員倒賣用戶信息；通過(guò)撞庫(kù)攻擊，竊取用戶數(shù)據(jù)；利用釣魚攻擊竊取用戶信息；通過(guò)木馬、病毒竊取用戶隱私信息。
第二，法律條文需細(xì)化，相關(guān)部門應(yīng)適時(shí)介入。我國(guó)關(guān)于網(wǎng)絡(luò)信息安全方面的法律條文不夠明確，適用范圍尚且不夠精準(zhǔn)，相關(guān)條文必須得到進(jìn)一步細(xì)化、規(guī)范，以此更加公平公正地懲治網(wǎng)絡(luò)信息安全事故的造成者，保護(hù)公民切身利益。此類信息泄露事件不適用“不告不處理的”的原則，相反，執(zhí)法部門應(yīng)主動(dòng)積極介入案件調(diào)查，并對(duì)實(shí)施者進(jìn)行追責(zé)處理。
第三，信息安全無(wú)小事，用戶必須增強(qiáng)信息保護(hù)意識(shí)。警惕要求重新輸入賬號(hào)信息，否則將停掉信用卡賬號(hào)之類的郵件，不要回復(fù)或者點(diǎn)擊郵件的鏈接，以免落入圈套。同時(shí)，避免開啟來(lái)路不明的電子郵件及文件，安裝殺毒軟件并及時(shí)升級(jí)病毒知識(shí)庫(kù)和操作系統(tǒng)補(bǔ)丁，將敏感信息輸入隱私保護(hù)，打開個(gè)人防火墻。網(wǎng)絡(luò)銀行時(shí)，選擇使用網(wǎng)絡(luò)憑證及約定賬戶方式進(jìn)行轉(zhuǎn)賬交易，不要在網(wǎng)吧、公用計(jì)算機(jī)上和不明的地下網(wǎng)站做在線交易或轉(zhuǎn)賬。不要在多個(gè)網(wǎng)站使用相同的注冊(cè)賬戶名以及登錄密碼，防止網(wǎng)絡(luò)黑客有意盜取，造成多個(gè)網(wǎng)站個(gè)人信息的連環(huán)失竊。
第四，要求網(wǎng)站平臺(tái)收集和使用用戶信息應(yīng)當(dāng)遵循“合法、正當(dāng)、必要”三原則。對(duì)收集到的用戶信息應(yīng)當(dāng)采取安全保護(hù)措施，一旦發(fā)生泄密，必須及時(shí)采取補(bǔ)救措施，否則都可能面臨行政處罰或者用戶的訴訟。
網(wǎng)經(jīng)社法律與權(quán)益部分析師姚建芳認(rèn)為，保護(hù)個(gè)人信息,僅靠企業(yè)的技術(shù)手段遠(yuǎn)遠(yuǎn)不夠，根據(jù)業(yè)界掌握的情況，很多互聯(lián)網(wǎng)用戶個(gè)人信息泄露事件都是一些企業(yè)內(nèi)部員工泄露導(dǎo)致的，因此，企業(yè)加大對(duì)內(nèi)部員工的管理、承接至關(guān)重要，還可以出臺(tái)“黑名單”機(jī)制，各電商、互聯(lián)網(wǎng)公司聯(lián)網(wǎng)，一次犯罪、各家平臺(tái)、乃至全行業(yè)永不錄用！
網(wǎng)經(jīng)社特約研究員、廣州金鵬律師事務(wù)所合伙人詹朝霞律師直言，可以毫不夸張地說(shuō)，違法成本低，法律監(jiān)管缺失是“泄密”事件再三出現(xiàn)的根源。按照美國(guó)的法律，企業(yè)發(fā)生一次信息泄露事件就可能被罰得傾家蕩產(chǎn)。
遏制公民個(gè)人信息泄露不是一個(gè)群體努力就可以完成的事情，需要企業(yè)、用戶和政府部門多方聯(lián)手。作為企業(yè)應(yīng)該多方面的保護(hù)用戶的個(gè)人信息，防范泄露風(fēng)險(xiǎn)，通過(guò)各種技術(shù)手段屏蔽互聯(lián)網(wǎng)黑客，竊取用戶個(gè)人信息，同時(shí)加強(qiáng)對(duì)企業(yè)內(nèi)部員工的管理。對(duì)于用戶來(lái)說(shuō)，應(yīng)該提高保護(hù)個(gè)人信息安全意識(shí)，不主動(dòng)外泄個(gè)人信息，在互聯(lián)網(wǎng)賬戶上盡量使用復(fù)雜的密碼，不要使用相同賬戶和密碼，這樣相對(duì)比較安全。完備的法律是保障個(gè)人信息的有力武器，只有法制和技術(shù)攜手，個(gè)人信息保護(hù)的“防火墻”才能越筑越牢。
》》更多信息泄露相關(guān)案例，詳見(jiàn)電商3.15曝光臺(tái)：qjkhjx.com/zt/315_qy/
