【调查】
个人信息“黑市”交易3毛一条
目前非法获取消费者个人信息的形式主要有无良商家盗卖、网站数据窃取、木马病毒攻击、钓鱼网站诈骗、二手手机泄密和信息黑客技术窃取等。
个人信息被当成商品在“黑市”交易已不是秘密。
新京报记者通过调查发现，网上有不少出售个人信息的QQ群，在一个名为“出售个人信息数据”的QQ群里，不少人在群里咨询“求购车主信息”“有没有身份证银行卡加密码信息”……
新京报记者以需要个人信息的名义联系名为“客服3”的管理员，在提供从城市、具体要求之后，该管理员发来一份“样例”，并声称资料靠谱。
据其描述，不同要求的资料价格也不同。其中只有姓名、身份证号、手机号等信息的话，一手资料2元/条，二手资料0.3元/条。“银行的贵，带密不做，风险高。”该管理员称，一般加上银行卡号后，一手信息会升到一条5元，二手信息也升到0.5元一条。
此后，记者又试图添加其他QQ群，大部分都没有审核通过。其中有一位自称“网络大咖”的出售人员表示，“1万数据2800元，服务器提取一手数据”，并称统一先收费再操作。当记者询问能否提供“试用”，遭到对方的拒绝。
“目前非法获取消费者个人信息的形式主要有无良商家盗卖、网站数据窃取、木马病毒攻击、钓鱼网站诈骗、二手手机泄密和信息黑客技术窃取等。”刘洋说。
据刘洋介绍，无良商家倒卖主要是某些掌握大量用户个人信息的商业机构由于管理不善，内部员工盗卖用户个人信息的事件时有发生；木马病毒窃取个人信息主要是针对上网账号，统计显示，超过一半的流行木马病毒与网络盗号相关。而且盗号木马主要针对的用户的游戏账号、社交账号、网银账号和其他支付账号；二手手机泄密是指用户出售自己二手手机时，即便将通讯录、短信、通话记录等信息全部删除，但如果没有对手机中存储的信息进行彻底的销毁，则有可能被不法分子恶意恢复数据并用于不法目的。
2015年，关于网站被拖库、撞库的新闻时常见诸各类媒体。在网站数据窃取方面，刘洋表示，统计显示，仅补天平台在2015年收录了可造成个人信息泄露的漏洞就多达1410个，涉及网站1282个，可导致泄露的个人信息量高达55.3亿条，这一数字较2014年的23.6亿条翻了一倍多。如果按照中国网民总数为6.5亿计算，这一数字也就意味着，仅仅在2015年这一年，平均每个中国网民至少可能泄露了8条以上的个人信息。
除此之外，还有新型“黑客”技术窃取，刘洋介绍，目前一些新型的黑客攻击技术也在被越来越多地用于窃取消费者个人信息。比如伪基站可以伪装成任意号码向用户发送诈骗短信，并诱骗手机用户登录钓鱼网站；钓鱼WiFi则可以直接监听接入该WiFi网络用户的所有上网行为。
【追问】
谁来为被盗刷“埋单”？
支付宝“先行赔付”许先生一万多元损失，百度钱包承诺赔付，北京移动称业务流程办理正常，涉事银行称客户“泄密”导致资金受损。
“事情发生后，都不知道该找谁负责。”许先生说，他先后找了移动、银行、支付宝和百度钱包，支付宝和百度钱包答应赔偿部分损失。移动和各家银行都没有赔偿的说法。
北京移动10086热线4月12日在微博上公布了调查结果称，4月8日17时54分，有人用许先生的手机号码和他自设的密码登录了北京移动官方网站，经网站弹屏二次确认后，办理“中广财经半年包”业务，IP地址显示登录地点在海南海口；18时13分，有人用同样的方式登录该网站办理了更换4G USIM卡业务，系统向客户本机下发换卡二次确认验证码，也就是6位USIM验证码，该密码被输入后，换卡成功。北京移动称，以上业务流程办理正常。
另外，4月18日后，中移动的USIM卡换卡业务已进行了安全机制上的更新，用户如果没有申请备卡就不能办理该业务。
支付宝相关负责人向新京报记者表示，已经在4月11日中午赔付当事人一万多元损失。“按理来说只能赔偿在支付宝平台上损失的资金，这个用户的很多资金是通过银行卡转调的。”据该负责人介绍，因为案例比较特殊，当事人也比较紧张，所以就走了特殊的先行赔付流程。
在当事人的描述中，其手机号码出现问题后，支付宝就发生了非本人的转账操作。而据上述负责人介绍，支付宝要是忘记密码后进行密码更改，至少需要两重验证，包括“手机+身份证”及“身份证+安全问题”。但她同时表示，该案例的特殊性在于，当事人的手机卡被人用几条短信就复制并掌握，同时当事人本身的身份证号、银行卡号，甚至交易密码都可能泄露了。
百度钱包的相关负责人也向新京报记者表示，在全程跟进该事件，并已经请用户提供相关材料，承诺赔付。“之前的问题在于回复了短信导致他的个人信息被盗，然后有人在我们平台上进行一系列动作。”该负责人表示，要是身份信息被别人拿走的话，这些操作都是可做的，不管在哪个支付平台。
新京报记者也就此事采访了上述三家涉事银行。对于许先生所称的期间“网银根本登不上”，其中一家银行相关负责人表示：“通过该客户的描述，推断客户可能已泄露包括银行卡密码在内的相关信息。”据银行方面介绍，客户转账时需验证银行卡卡号、取款密码和短信验证码等多个要素均正确后才可转账成功。
“该客户的网上银行转账功能在此之前已由本人开通，后因泄露包括银行卡密码在内的主要个人信息导致账户资金受损。”银行称，已回电客户，目前资金实时转出银行确实无法进一步处理，关于资金问题还需客户催促警方尽快侦破案件，银行会全力配合警方处理。
分析
“经营者若有安全漏洞须承担一定责任”
刘洋表示，就目前掌握的情况初步推断，之前运营商存在备卡激活太简单的问题，只要登录营业厅，就可以如描述中办理了，目前运营商已经升级了安全的防护，说明对此前这个短板进行了填补。
刘洋认为，目前第三方支付和银行，无论是修改密码和转账，都需要短信验证码，此案中嫌疑人已经有了受害者手机号，接收验证码等于完全没有问题，因此容易“作案”。如果更严格，比如必须网银“U盾”登录、转账等，用户在使用上可能会觉得不方便。建议利用大数据加入一些更加隐秘的验证方式，比如在新登录时须有朋友验证，即使被盗取了验证码，还需要选择认识的朋友才可以使用。
中国通信业知名观察家项立刚表示，事件中有一点是许先生将USIM换卡业务验证码当做退订业务验证码，发到骗子用改号软件修改过的号码上，用户在这方面有些疏忽大意。
北京汇佳律师事务所邱宝昌认为，最终责任人是盗取信息和实施诈骗的犯罪嫌疑人。从中国移动、银行和第三方支付来看，如果这些经营者有安全漏洞或者瑕疵就要承担一定的责任，要先行赔付客户，加大安全等级设置。
■ 建议
对于如何保护好个人信息，防止账户被盗刷，360互联网安全中心网络安全专家刘洋给出了建议。
● 如何保护好个人信息？
1、银行账户、支付账户、普通网站会员账号需要区别使用账号名和密码，每3个月修改一次密码，密码组合尽量采用大写字母、小写字母、数字等组合。
2、对于需要填写身份证号、银行卡号、银行密码等信息时，需要认真检查网站合法性，如查询备案信息，使用360浏览器的照妖镜功能等进行网站鉴定。
3、不随意登录不明WIFI，打开不明短信中的链接，下载不明软件，PC和电脑中安装安全软件，及时查杀木马病毒软件，拦截钓鱼链接。
4、处理旧手机、电脑等带有个人信息的电子产品时，利用专业软件将个人信息删除并保证不可恢复状态。
● 如何防止账户被盗刷？
1、办理网银业务时，申请U顿功能，防止被盗后被轻易修改网银设置。
2、设置日常转账、购物额度，防止大额金额被直接盗刷。
3、手机银行采用最高的安全设置，如绑定手机设备，转账汇款等采用短信验证码和取款密码等组合。
4、大额闲置资金存为定期，每3个月修改一次银行卡取款密码、网银登录密码。
● 怎么提高防骗意识？
1、收到熟人发来的转账、代付款等信息后，需要电话当面确认是否属实。
2、收到银行、运营商等商业机构发来的短信，如有链接不要轻易点击，不要轻易安装链接中的软件。接到电话，可以采用回拨官方客服的方式进行确认，不要轻信电话中所说的内容。
3、警惕冒充公检法等政府机构的短信、电话，如若收到，可以咨询亲友意见、到当地相关机构进行核实。
(责任编辑：安博涛)
