建行員工出賣客戶信息，年入30萬(wàn)！還說(shuō)“不知道這是違法的”

每經(jīng)編輯 李凈翰    

據(jù)江蘇公共新聞，近日，江蘇淮安警方破獲了一起特大販賣公民個(gè)人信息案，共抓獲26名嫌疑人，涉案金額2000多萬(wàn)元。

淮安警方稱，犯罪團(tuán)伙通過(guò)現(xiàn)有的技術(shù)手段無(wú)法獲取到如此大規(guī)模的公民個(gè)人信息，這些案件就可能有銀行內(nèi)部的工作人員參與其中。調(diào)查中發(fā)現(xiàn)，有一名建行工作人員僅靠幫忙查詢銀行卡信息，一年黑色收入超30萬(wàn)元。

這位建行員工稱，自己查詢了幾百條個(gè)人信息，每條80到110元，并稱自己不知道這是違法的，“只是覺得違反銀行規(guī)定，因?yàn)槲覀冦y行不允許私自把客戶信息泄露。”

圖片來(lái)源：江蘇新聞

銀行員工出售客戶信息年入30萬(wàn)

在這起涉及9個(gè)省份、公安部列為部督專案的案件中，早在2019年6月，有人在網(wǎng)上通過(guò)QQ等通信工具公開出售銀行卡相關(guān)信息，包括銀行卡對(duì)應(yīng)的卡主身份證號(hào)碼、電話號(hào)碼、余額甚至交易流水，引起了警方注意。

圖片來(lái)源：淮陰警方

一位男子王某稱，在一個(gè)偶然的機(jī)會(huì)，他發(fā)現(xiàn)與銀行卡相關(guān)信息售價(jià)動(dòng)輒幾百元，且需求量很大，于是他轉(zhuǎn)行當(dāng)起了“信息販子”。接下來(lái)，他根據(jù)客戶需要查詢的不同銀行卡，對(duì)應(yīng)不同的上線查詢渠道，并以經(jīng)濟(jì)利益誘惑，將一名建行員工拉下水。

這名建行員工供述，根據(jù)雙方達(dá)成“合作”協(xié)議，他每查詢1條銀行卡相關(guān)信息，即可獲利80~100元不等的報(bào)酬。光憑這一黑色收入，年收入就超過(guò)30萬(wàn)元。

一般來(lái)講，像建行這名員工這樣處在販賣信息黑產(chǎn)鏈的第一環(huán)，他再聯(lián)系中間商，為了安全起見，中間商一般只有一到兩人，中間商下面還有各種分銷商，層層代理，形成一個(gè)以銀行“內(nèi)鬼”為源頭、大量中間商為中介，通過(guò)網(wǎng)絡(luò)勾結(jié)、販賣銀行卡的相關(guān)身份證、電話號(hào)碼、余額、交易記錄的網(wǎng)絡(luò)犯罪團(tuán)伙。

淮陰分局網(wǎng)安大隊(duì)大隊(duì)長(zhǎng)朱延亮稱，因?yàn)閷蛹?jí)很多，所以越到產(chǎn)業(yè)鏈的末端，信息的價(jià)格越高，從“內(nèi)鬼”到銷售末端，一條信息的價(jià)格可能翻上數(shù)倍，除了犯罪風(fēng)險(xiǎn)，沒有其他成本，利潤(rùn)非常高。

淮陰警方稱，目前，26名犯罪嫌疑人已被移交檢察機(jī)關(guān)提起公訴。

圖片來(lái)源：淮陰警方

銀行APP的漏洞可能被黑客利用

此外，近來(lái)裁判文書網(wǎng)披露的多起案件顯示，銀行APP也成為被黑客“攻破”的突破口、非法盜取或入侵銀行賬戶信息牟利。

2019年12月24日，浙江金華市婺城區(qū)人民法院對(duì)一起非法注冊(cè)銀行賬戶并出售獲利的案件做出了判決。判處兩名主犯有期徒刑4年3個(gè)月，并處罰金7萬(wàn)元；判處7名從犯有期徒刑1年6個(gè)月至2年3個(gè)月不等，并處罰金兩萬(wàn)至四萬(wàn)不等。

判決書顯示，短短的兩個(gè)月，9名團(tuán)伙利用“利用APP漏洞和使用抓包軟件”，開設(shè)了10000余個(gè)銀行三類賬戶，涉及華潤(rùn)銀行、溫州民商銀行、金華銀行、浦發(fā)銀行、中國(guó)銀行、招商銀行、建設(shè)銀行等多家銀行。

2019年10月，只有初中文化的“00后”田某被福建省廈門市思明區(qū)人民法院以非法獲取計(jì)算機(jī)信息系統(tǒng)數(shù)據(jù)罪判處有期徒刑三年，并處罰金人民幣一萬(wàn)元。判決文書顯示，田某在2019年1月5日至1月15日期間，通過(guò)軟件抓包、PS身份證等非法手段，在廈門銀行手機(jī)銀行APP內(nèi)使用虛假身份信息注冊(cè)銀行Ⅱ、Ⅲ類賬戶，非法銷售獲利。

在作案方法上，他們利用了類似的APP技術(shù)漏洞，跳過(guò)了銀行開戶所必須的“四要素”（即驗(yàn)證開戶人姓名、手機(jī)號(hào)碼、身份證號(hào)碼以及綁定賬戶賬號(hào)或卡號(hào)）驗(yàn)證。

具體來(lái)看，先輸入本人身份信息，待進(jìn)行人臉識(shí)別步驟時(shí)，利用軟件抓包技術(shù)將銀行系統(tǒng)下發(fā)的人臉識(shí)別身份認(rèn)證數(shù)據(jù)包進(jìn)行攔截并保存。隨后，在輸入開卡密碼步驟，將APP返回到第一步（上傳身份證照片之步驟），輸入偽造的身份信息，并再次進(jìn)入到人臉識(shí)別之身份驗(yàn)證步驟，此時(shí)，其上傳此前攔截下來(lái)的包含其本人身份信息的數(shù)據(jù)包，使系統(tǒng)誤以為要比對(duì)其本人的身份信息，最終完成開戶。

圖片來(lái)源：攝圖網(wǎng)（圖文無(wú)關(guān)）

中國(guó)信息通信研究院發(fā)布的《2019金融行業(yè)移動(dòng)APP安全觀測(cè)報(bào)告》顯示，在對(duì)133327款金融行業(yè)APP進(jìn)行掃描檢測(cè)后發(fā)現(xiàn)，73.23%存在不同程度的安全漏洞，70.22%存在高危漏洞。平均每款金融行業(yè)APP存在20.3個(gè)安全漏洞，其中6.7個(gè)為高危漏洞。

監(jiān)管部門正不斷加強(qiáng)對(duì)消費(fèi)者的保護(hù)

商業(yè)銀行等金融機(jī)構(gòu)掌握著大量用戶，并且擁有非常關(guān)鍵的資金信息數(shù)據(jù)，但如果因?yàn)楸Ｗo(hù)不善，導(dǎo)致個(gè)人信息泄露，將帶來(lái)財(cái)產(chǎn)損失等個(gè)人影響，

據(jù)第一財(cái)經(jīng)，一位銀行業(yè)人士稱，個(gè)人信息售賣可以短期、快速獲利，當(dāng)前，銀行在個(gè)人信息安全保護(hù)制度上還有待健全，疏于對(duì)員工的管理，再加上員工法律意識(shí)淡薄，使得泄露現(xiàn)象屢禁不止。

近年來(lái)，監(jiān)管機(jī)構(gòu)已印發(fā)了一系列監(jiān)管政策文件，要求銀行保險(xiǎn)機(jī)構(gòu)認(rèn)真貫徹落實(shí)個(gè)人信息保護(hù)方面的法律法規(guī)，加強(qiáng)客戶隱私保護(hù)，對(duì)客戶信息嚴(yán)格實(shí)行從采集到存儲(chǔ)、銷毀等全流程的制度化管理。

2019年12月，央行起草了《中國(guó)人民銀行金融消費(fèi)者權(quán)益保護(hù)實(shí)施辦法（征求意見稿）》，向社會(huì)公開征求意見，正式實(shí)施后，規(guī)范將升級(jí)到部門規(guī)章級(jí)別。相信經(jīng)過(guò)最近這一系列事情之后，國(guó)家會(huì)加速出臺(tái)對(duì)公民信息保護(hù)的法律，強(qiáng)制性、有約束性的規(guī)范和措施將會(huì)出現(xiàn)。

4月22日，銀保監(jiān)會(huì)副主席黃洪在國(guó)新辦新聞發(fā)布會(huì)上還強(qiáng)調(diào)，銀保監(jiān)會(huì)始終對(duì)侵害金融消費(fèi)者權(quán)益、損害客戶信息安全的行為堅(jiān)持零容忍的態(tài)度，一經(jīng)發(fā)現(xiàn)，將嚴(yán)肅依法查處，嚴(yán)厲打擊。此外，銀保監(jiān)會(huì)高度重視銀行保險(xiǎn)機(jī)構(gòu)網(wǎng)絡(luò)安全工作，尤其把客戶信息保護(hù)作為重中之重。

每日經(jīng)濟(jì)新聞綜合江蘇新聞、第一財(cái)經(jīng)、券商中國(guó)