百万条国内金融客户信息在“暗网”叫卖？涉事机构回应：数据系不法分子伪造

记者|张晓云近日，一则百万条客户数据在暗网被贩卖出售的消息引起市场高度关注，其中包含多家国内金融机构，由于涉及个人信息泄露，因此在社交圈引发热议。界面新闻记者查询发现，消息的来源是一家境外公开黑客论坛Raidforu...

记者|张晓云

近日，一则百万条客户数据在暗网被贩卖出售的消息引起市场高度关注，其中包含多家国内金融机构，由于涉及个人信息泄露，因此在社交圈引发热议。

界面新闻记者查询发现，消息的来源是一家境外公开黑客论坛Raidforums，有用户昵称为s868858和togoodforthisshit出售疑似来自国内数家银行保险等金融机构的公民数据。其中，用户名为s868858的用户发帖称出售农业银行数据，信息量超90万行。用户名为togoodforthisshit的用户称出售多家国内银行、保险等金融机构的一百多万条客户信息数据，包括约80万条上海银行客户信息、46万条兴业银行信用卡客户信息、10万条平安保险客户信息、10万条浦发银行客户信息、6.3万条招商银行客户信息。

对此，多家金融机构称数据系不法分子伪造，贩卖的数据关键要素与真实客户信息不匹配。

上海银行回复界面新闻称，经该行对所谓“上海银行客户信息”进行了详细比对，发现其所谓客户信息中并无该行银行账户信息，且与该行真实客户信息关键要素并不匹配。可认定该贩卖信息非该行泄露数据，不排除系不法分子为牟取不当利益伪造、拼凑、出售所谓银行的客户信息。

上海银行表示，该行高度重视客户数据安全，部署多层次网络安全纵深防御措施，能够及时发现、遏制网络攻击行为；制定了包括网络、数据、终端、互联网出口层面严格的管控措施。对于涉及客户信息的生产网络，实施封闭式管理；对开发、测试环境数据实施脱敏处理；对涉及敏感信息的业务系统，实施下载自动加密的技术；禁止USB口等外设的数据输出；通过技防和人防手段加强员工行为监测、管理。

兴业银行回应称，对于不法分子在“暗网”上发帖声称可出售所谓的多家银行客户信息数据，兴业银行经过深入核查比对，确认其中所谓的“兴业银行信用卡客户信息”与该行真实的客户信息要素并不吻合，不排除系不法分子伪造、售卖所谓银行客户信息牟取不当利益。 该行将保留追究伪冒客户信息、损害商誉的法律责任的权利。

中国平安表示，经排查，相关客户信息并非公司客户，系不法分子伪造。中国平安对伪造并贩卖公民信息的犯罪行为表示严厉谴责，呼吁有关执法司法部门严厉打击这一违法犯罪行为。

其中一家银行内部人士表示，这种数据的泄露贩卖信息几乎一年一次，都是假的，之所以写是银行的信息，一是容易引发关注度，而是因为银行用户数据价格较贵。

而在网传的“百万银行客户数据被售卖”事件中所涉及的浦发银行、招商银行，则对界面新闻记者表示不回应。据21世纪经济报道，农业银行表示正在排查中。

界面新闻记者发现，用户名为togoodforthisshit的用户在贩卖信息中举例浦发银行的信息要素为含姓名、性别、手机号码、ID号码和地址。如周X男136XXXX3442 413026XXXXXXXX5179新动感地带20元短信套餐。单从表面看起来，并非银行用户信息完整要素，更像运营商数据。而涉及其他金融机构的信息要素举例主要包括电话、姓名、身份证号以及家庭地址，与有关浦发银行举例信息有很大差异。

近年来，个人信息泄露的案例屡有发生，针对金融机构的黑客产业链已经十分庞大，而暗网是买卖个人信息的一个牟利的渠道。

监管部门在个人信息保护方面也出台了一系列规范银行保险机构销售行为、服务标准、信息披露、个人信息保护等方面的制度安排，以强化银行业和保险业的信息风险管理，加大对客户信息泄露监管的处置力度。

2018年5月21日，银保监会发布《银行业金融机构数据治理指引》，提出银行业金融机构采集、应用数据涉及到个人信息的，应遵循国家个人信息保护法律法规要求，符合与个人信息安全相关的国家标准；要求银行业金融机构应当建立数据安全策略与标准，依法合规采集、应用数据，依法保护客户隐私，划分数据安全等级，明确访问和拷贝等权限，监控访问和拷贝等行为，完善数据安全技术，定期审计数据安全。