兜售客户信息年入30万，银行职员竟称"不知违法"！比内鬼更可怕的是，黑灰产系统性攻击- 大数跨境

首页

兜售客户信息年入30万，银行职员竟称"不知违法"！比内鬼更可怕的是，黑灰产系统性攻击

券商中国

2020-05-20

导读：券商中国微信公众号：quanshangcn

又有银行客户信息被非法倒卖！银行员工以每条80元~110元价格倒卖客户信息年入30万，称不知违法。

如果说银行“内鬼”盗卖信息是蚂蚁搬家，那么更多情况下，大规模的银行、金融机构用户数据泄露，可能是来自黑灰产组织的有目的攻击了。而近两年多起来的一个现象是，银行APP也成为更容易被黑客“攻破”的突破口、非法盗取或入侵银行账户信息牟利。

银行员工“蚂蚁搬家”盗卖客户信息

江苏电视台公共新闻频道报道称，近日，淮安警方破获了一起特大贩卖公民个人信息案，共抓获26名嫌疑人，涉案金额2000多万元。

淮安警方称，犯罪团伙通过现有的技术手段无法获取到如此大规模的公民个人信息，这些案件就可能有银行内部的工作人员参与其中。调查中发现，果然有一名银行工作人员丁某仅靠帮忙查询银行卡信息，一年黑色收入超30万元。

丁某称，自己查询了大几百条或者一千条个人信息，每条80到110元，称自己不知道这是违法的，“只是觉得违反银行规定，因为我们银行不允许私自把客户信息泄露。”

梳理中国裁判文书网不难发现，银行员工因为贩卖客户信息而触犯刑法，并以“侵犯公民个人信息罪”获刑的案例并不少见。

裁判文书网显示，今年3月底，位于浙江省余姚市的建设银行余姚城建支行原行长沈某冲，因犯侵犯公民个人信息罪被判处有期徒刑3年，缓刑3年，并处罚金人民币6000元。

沈某冲出生于1973年，现年47岁案件经审理查明，2017年3月17日，沈某冲将余姚市东城名苑业主的财产信息共计1111条，通过QQ邮箱非法提供给周某用于招揽业务。同年4月20日，沈某冲又将银行贷款客户财产信息共计127条，提供给周某用于招揽业务。2018年8月15日，沈某冲主动向公安机关投案，并如实供述了上述犯罪事实。

山东省邹城市人民法院一份刑事判决书显示，2018年5月份期间，浦发银行电销中心任业务主管杨某，通过在休假前把保存在电脑的客户数据（姓名、电话号码等）用手机拍了照片，之后保存在自己的电脑里的方式，利用工作便利获取客户个人信息20余万条，并非法提供给山东星耀君程电子商务有限公司用于电话营销；同时，这家电商公司员工李某在对这些信息资料进行加工整理后，又以每条0.3元的价格对外售卖给第三人李某洪，后者再将这些个人信息贩卖给陈某实施电话诈骗。

“对于银行本身而言，客户隐私信息及账户资源是极具商业价值的，所以银行对应着在合规上有着严格的流程规范约束，但不排除银行个别员工，通过蚂蚁搬家的方式获取这些信息，再用于个人牟利。”华北一家反欺诈科技公司高级经理告诉记者。

警惕黑灰产组织的系统性攻击

如果说银行“内鬼”盗卖信息是蚂蚁搬家，那么更多情况下，大规模的银行、金融机构用户数据泄露，可能是来自黑灰产组织的有目的攻击了。

“更多的是一些三方和黑产组织有目的地去攻击，有一些系统和平台也会存在漏洞。”上述华北某公司技术专家告诉记者。

今年4月14日，公安部公布10起侵犯公民个人信息违法犯罪典型案件，其中就有两例，是技术“黑客”非法盗取信息售卖。

2019年10月，江苏省南通市公安局网安部门工作发现，网民“wolinxuwei”多次在“暗网”交易平台出售银行开户、手机注册等公民个人信息，数量高达500余万条。经侦查，公安机关查明，“wolinxuwei”真实身份为林某。2019年初，林某在“telegram”群组结识某公司安全工程师贺某，林某以40万的价格从贺某处购得银行开户、手机卡注册等各类公民信息350余万条，并通过“暗网”销售给经营期货交易平台、推销POS机的费某、王某等人，非法牟利70余万元。

2019年6月，北京市公安局网安部门工作发现，网民“yuhong”在“暗网”贩卖国内某银行6.02万条用户个人信息。北京市公安局网安部门缜密侦查，锁定犯罪嫌疑人高某。7月24日，北京公安机关将高某抓获归案。经审查，高某交代其利用网站漏洞非法窃取了某银行等单位网站上存储的公民个人信息，截至被抓获，非法牟利3万余元。

腾讯安全数据安全团队负责人彭思翔在接受记者采访时指出，“从宏观看银行业存储了大量用户敏感信息，信息又全又准确，是黑产重点攻击的目标。具体来看，外部攻击方面各银行为自身发展，开展了大量业务应用，且更新速度快，所以攻击面很大，攻击窗口较多，很难做到滴水不漏的防护；内部治理方面，部分银行权限管控粗放，脱敏机制不完善，导致不必要人员可以接触大量敏感信息，有误操作或为经济利益贩卖信息的情况。”

在他看来，银行信息泄露可能发生在以下几个场景：

1.外包管理领域，特别是对外包研发、测试的管理不当。生产环境暴露、数据库过度授权，都会引起数据泄露。

2.信息科技运行领域，访问控制策略不当，包括物理访问、主机访问、终端访问、远程vpn访问。如果没有建立统一的、恰当的访问策略，会导致数据泄漏。

3.开发、测试和维护领域，若三个环境未分离，分离后生产数据使用未脱敏，都会导致数据泄漏。

4.信息安全领域，系统漏洞未及时修复、未开展代码审计等等都会导致系统被攻陷，数据被脱库。

个人金融隐私保护新挑战：APP端泄露

而近来裁判文书网披露的多起案件显示，银行APP也成为更容易被黑客“攻破”的突破口、非法盗取或入侵银行账户信息牟利。

2019年12月24日，浙江金华市婺城区人民法院对一起非法注册银行账户并出售获利的案件做出了判决。判处两名主犯有期徒刑4年3个月，并处罚金7万元；判处7名从犯有期徒刑1年6个月至2年3个月不等，并处罚金两万至四万不等。

判决书显示，短短的两个月，9名团伙利用“利用APP漏洞和使用抓包软件”，开设了10000余个银行三类账户，涉及华润银行、温州民商银行、金华银行、浦发银行、中国银行、招商银行、建设银行等多家银行。

2019年10月，只有初中文化的00后田某被福建省厦门市思明区人民法院以非法获取计算机信息系统数据罪判处有期徒刑三年，并处罚金人民币一万元。判决文书显示，田某在2019年1月5日至1月15日期间，通过软件抓包、PS身份证等非法手段，在厦门银行手机银行APP内使用虚假身份信息注册银行Ⅱ、Ⅲ类账户，非法销售获利。

在作案方法上，他们利用了类似的APP技术漏洞，跳过了银行开户所必须的“四要素”（即验证开户人姓名、手机号码、身份证号码以及绑定账户账号或卡号）验证。

具体来看，先输入本人身份信息，待进行人脸识别步骤时，利用软件抓包技术将银行系统下发的人脸识别身份认证数据包进行拦截并保存。随后，在输入开卡密码步骤，将APP返回到第一步（上传身份证照片之步骤），输入伪造的身份信息，并再次进入到人脸识别之身份验证步骤，此时，其上传此前拦截下来的包含其本人身份信息的数据包，使系统误以为要比对其本人的身份信息，最终完成开户。

“你的信息被泄露，可能都是你绝对想不到的地方。”一位银行智能风控业务负责人向记者分享，移动互联网繁荣后，引流、导流流行，但用户信息泄露的平台往往可能不是金融机构、大的流量公司或者平台，反而极有可能是发生在房产中介APP、手游APP的注册、充值、交易过程中。

中国信息通信研究院发布的《2019金融行业移动APP安全观测报告》显示，在对133327款金融行业APP进行扫描检测后发现，73.23%存在不同程度的安全漏洞，70.22%存在高危漏洞。平均每款金融行业APP存在20.3个安全漏洞，其中6.7个为高危漏洞。不过，移动金融APP信息安全保护也引起的监管的重视，去年以来，多个监管部门数次公开点名批评百余款应用软件及其运营企业，涉及未经用户同意超范围及非必要使用个人信息等违规情形；去年5月份到8月份，监管部门密集出台了关于数据安全管理办法、APP违规收集使用个人信息行为认定方法等多项征求意见稿及草案。