“您所乘坐的航班出現故障不能起飛,收到信息及時聯系專線4008162378辦理變更或退票……”福州市民梁先生在同程網上預訂了兩張南寧飛往福州的機票,可就在登機前兩天,他卻收到了機票“退改簽”的短信,上面清清楚楚顯示著他的真實姓名、證件號碼、航班信息。
“到底是誰泄露了我的航班信息?”差點信以為真的梁先生在確認發來短信的號碼並非航空公司的客服熱線後,才明白這是壹條詐騙短信,沒有上當。但對於自己的信息如何讓對方知曉,他卻壹直想不通。
隨著互聯網技術的突飛猛進,網上購物、移動支付、大數據等給人們生活帶來極大便利的同時,也給個人信息安全帶來了前所未有的風險,侵犯公民個人信息犯罪持續增多。面對個人信息泄露引發的信息買賣、無端騷擾和電信詐騙,公民尚需小心防範,公安機關對個案的打擊,也對此類犯罪起到壹定的遏制作用。但如果因信息安全監管本身存在漏洞,那將會直接導致公民安全受威脅、財產受損害,使我國公民個人信息安全體系面臨更嚴峻的考驗。
航班被陌生人取消
乘客信息安全存漏洞
“民航旅客訂座系統”(Eterm系統),是中國民航信息網絡股份有限公司(以下簡稱“中航信”)開發的訂票系統。由於該系統操作界面是黑色背景、綠色和黃色字體,因此又被業內人士稱為“黑屏系統”。
作為目前國內各大航空公司的訂票系統,“黑屏系統”面向航空公司、機場、機票銷售代理等機構,主要提供航空客運業務、航空旅遊電子分銷等服務。
今年2月,林女士通過壹家航空公司官方APP軟件預訂了壹張從北京飛往英國倫敦的機票。4月19日,她突然接到APP發來的信息,稱她訂的機票已經成功退票。林女士堅稱自己從來沒有申請過退票,但經該航空公司客服確認後,這壹行為正是林女士自己通過APP軟件操作所致。林女士再次打開APP確認,發現“常用乘機人”中竟然有幾個陌生人的資料。這些人的姓名、聯系方式、身份證號碼、開戶銀行和卡號全都壹目了然,另外還有十幾條不屬於林女士的航行記錄也都赫然在列。而林女士的機票,就是其中壹個關聯人取消的。
這個關聯人發現自己收到了從北京飛往英國的航班提示,但自己並沒有購票過,便選擇了取消。本應安全隱密的訂票信息竟毫無保留地呈現在陌生人面前,而對方只需要動動手指,就可以任意對這些信息進行修改、取消等操作。
據某機票代理商負責人介紹,有權限查看並有可能泄露乘客航班信息的源頭,主要有機票代理商、航空公司工作人員、中航信工作人員以及黑客這4大類人群。他們通過不同渠道和權限,在Eterm系統上只需輸入乘客身份證號,就能查到包括乘客相應航班的座位、艙位、電話號碼等詳細資料,完全不需要乘客本人的驗證。
因此,盡管信息泄露渠道繁多,但源頭都指向了Eterm系統。雖然登錄該系統需要特定的賬號密碼,但信息“倒爺”們會通過淘寶、QQ等網絡平臺向機票代理商、航空公司工作人員購買賬號密碼,或者直接通過“黑客”手段,通過軟件將壹個賬號分出數個小號,便可順利訪問中航信的數據庫。
事後,雖然航空公司APP工作人員回應稱,機票被別人取消是軟件系統漏洞才鬧出了“大烏龍”,然而公民個人信息的泄露卻並不只是壹個偶然事件。
信息泄露防不勝防
安全監管需兼顧平衡
2013年底,壹家為全國4500多家酒店提供網絡服務的公司因系統存在安全漏洞,致使全國高達2000萬條賓館住宿記錄泄露。2015年初至2016年6月,丁某在不法網站上非法下載獲取這些賓館住宿記錄等公民個人信息,並上傳至自己開辦的“嗅密碼”網站。
該網站除了能夠查詢住宿記錄外,還提供用戶QQ、部分論壇賬號及密碼找回功能。其中住宿記錄***有將近二千萬條,用戶經註冊成為會員後,可以在網頁“開房查詢”欄目項下,以輸入關鍵字姓名或身份證號的方式查詢網站數據庫中賓館住宿記錄(顯示姓名、身份證號、手機號碼、地址、住宿時間等信息)。自2015年5月份左右,丁某開始對該網站采取註冊會員方式收取費用。壹年時間裏,“嗅密碼”網站***有查詢記錄49698條,收取會員費191440.92元。此案經審理後,丁某以侵犯公民個人信息罪被判處有期徒刑三年,並處罰金人民幣二萬元。
公安部網絡技術研發中心主任許劍卓分析說,侵犯公民個人信息的犯罪已經成為其他各類犯罪的上遊犯罪,不管是敲詐勒索、電信詐騙等等各類犯罪,多數以非法獲取個人信息為前提。
最高人民法院研究室主任顏茂昆認為,大數據時代,包括個人信息在內的數據只有通過流動、***享甚至交易才能充分發揮其社會價值、經濟價值,而這些數據在流動和交易過程中,又極易產生個人信息擴散、失控的危險。因此,處理大數據發展的現實需要與保護公民個人信息之間的關系應有兩個關鍵詞:壹是兼顧,二是平衡。
顏茂昆認為,所謂兼顧,就是在發展大數據的同時,必須依法保護公民個人的信息安全。只有包括個人信息在內的數據在法律的保護下安全迅速地收集和流通,才能夠真正地推動我國信息產業的可持續發展。
所謂平衡,就是在兩者之間尋求壹個結合點和平衡點,在法律層面為個人信息交易和流動保留了壹定的空間。顏茂昆舉例說,網絡安全法規定,網絡運營者不得泄露、篡改、毀損其收集的個人信息,未經被收集者同意,不得向他人提供個人信息,但是經過處理無法識別特定個人且不能復原的除外。“這個規定是要嚴格保護公民個人信息,對網絡運營者提出要求,但是同時也為數據提供留下了壹些空間。”顏茂昆說。
?“誰收集誰負責”
法律責任界定日漸清晰
當前,不少網絡運營者因為履行職責或者提供服務的需要,掌握著海量公民個人信息,這些信息壹旦泄露將造成惡劣社會影響和嚴重危害後果。
《法制日報》記者註意到,公民個人信息泄露,往往存在於信息收集源頭到信息倒賣之間的多個環節中。在機票信息泄露事件中,由於從Eterm系統源頭到乘客,中間經歷了中航信、航空公司、第三方航空APP、機票代理商、在線訂票網站等多個環節,每個環節都存在信息泄露的可能性,這也導致了個人信息泄露的受害者難以維權追責。
針對取證難、追責難的困局,網絡安全法明確了網絡信息安全的責任主體,確立了“誰收集,誰負責”的基本原則。其中,第40條明確規定:“網絡運營者應當對其收集的用戶信息嚴格保密,並建立健全用戶信息保護制度。”
5月9日,最高人民法院召開新聞發布會,發布了《最高人民法院、最高人民檢察院關於辦理侵犯公民個人信息刑事案件適用法律若幹問題的解釋》(以下簡稱《解釋》)。《解釋》***13條,進壹步明確侵犯公民信息罪的定罪量刑標準和有關法律適用問題,其中便對如何處理拒不履行公民個人信息安全管理義務行為進行了明確。
顏茂昆介紹說,拒不履行信息網絡安全管理義務罪主體是網絡服務提供者。《解釋》規定,網絡服務提供者拒不履行法律、行政法規規定的信息網絡安全管理義務,經監管部門責令采取改正措施而拒不改正,致使用戶的公民個人信息泄露,造成嚴重後果的,應當依照拒不履行信息網絡安全管理義務罪,追究其刑事責任。
此外,與侵犯公民個人信息罪相關聯的另壹個犯罪是非法利用信息網絡罪。顏茂昆說,實踐中,壹些行為人通過建立網站、通訊群組等供他人進行公民個人信息交換、流轉、銷售,以非法牟利。
根據刑法規定,設立用於實施違法犯罪活動的網站、通訊群組,情節嚴重的,構成非法利用信息網絡罪。最高法經研究認為,供他人實施非法獲取、出售或者提供公民個人信息違法犯罪活動的網站、通訊群組實際上屬於“用於實施違法犯罪活動的網站、通訊群組”。
因此,《解釋》規定,設立用於實施非法獲取、出售或者提供公民個人信息違法犯罪活動的網站、通訊群組,情節嚴重的,應當以非法利用信息網絡罪定罪處罰；同時構成侵犯公民個人信息罪的,依照侵犯公民個人信息罪定罪處罰。
許劍卓說,隨著《解釋》即將從6月1日起實施,公安機關將針對公民個人信息保護從重點打擊侵犯公民個人信息源頭,落實網絡服務商的網絡安全防護責任,打擊購買、收售、交易、幫助建立平臺和通訊群組整個利益鏈條三方面開展工作。
為切實加大對行業“內鬼”參與公民個人信息泄露案件的懲治力度,《解釋》明確了在認定“情節嚴重”時,對行業“內鬼”泄露信息的數量、數額標準都要減半計算,降低了入罪門檻。“這為我們更好地打擊這類犯罪提供了法律基礎。所以下壹步我們要追查源頭,深挖行業‘內鬼’。”許劍卓說。
與此同時,“壹些手機APP會收集和它的業務無關的信息,比如公民行蹤軌跡、通話記錄,這種情況相當普遍。這些服務商沒有依法落實有關安全防護措施,導致公民個人信息的泄露。”許劍卓稱,“下壹步,我們將結合網絡安全法的實施,進壹步強化安全監管,要求這些服務商落實相關的監管義務。對於未按法律要求、未落實相關義務而導致公民個人信息泄露的,我們將根據這次司法解釋和網絡安全法的規定予以嚴厲打擊。”