imtoken冷钱包下载地址|用户信息泄露

作者： imtoken冷钱包下载地址

2024-03-08 04:49:26

你的个人信息是如何泄露的？_新闻频道_央视网(cctv.com)

新闻

新闻频道

生活新闻

你的个人信息是如何泄露的？

来源：深圳晚报 | 2021年10月09日 17:42:03

深圳晚报 | 2021年10月09日 17:42:03

原标题：你的个人信息是如何泄露的？

正在加载

　　今年以来，工业和信息化部相继公布了数批App涉嫌侵害用户权益，涉及问题包括了违规收集个人信息、欺骗误导强迫用户、强迫用户使用定向推送功能、索取权限等，部分App平台甚至因为整改未到位而面临被下架结果。App隐私侵权问题，受到广泛关注。　　App是如何侵犯个人数据隐私的？近期，深晚记者也从多方面进行体验，对目前市民使用较多的各领域App平台进行测评，看看哪些App涉嫌用户隐私侵权。法律界人士提醒，平台泄露信息将面临行政处罚，情节严重的还可能被追究刑事责任。　　平台利用大数据分析一次搜索即可精准推送　　在电商平台搜索产品，随后即会在多个使用的平台看到相关产品，这是很多用户网购时的体验。调查过程中，深晚记者也随机进行了测试。　　在“拼多多”小程序，深晚记者以“宠物自动喂食器”这类相对冷门的产品作为关键词进行约10分钟的搜索，并浏览了数个搜索显示的相关产品。体验过程中，搜索使用的手机此前未在相关平台搜索过相关产品或关键词。其后，深晚记者在同一手机使用的抖音App上数次浏览到“宠物自动喂食器”相关产品的广告推送。　　而在京东App客户端，深晚记者同样以该关键词进行搜索。在随后的数日内，该平台向深晚记者推送了多种宠物相关的产品，如喂食器、喂水器、宠物湿巾、宠物抓板、笼子等。　　深晚记者体验过程中发现的问题，是随机性还是平台有针对性地进行大数据分析推送呢？在此前的采访中，中国电子技术标准化研究院网安中心测评实验室副主任、App检测评估方面的专家何延哲介绍，用户看到的广告大多是基于大数据的精准推送，大数据是一个长年积累的过程，并且汇集了多个App的数据，这些数据不仅包括个人购物记录、浏览记录、搜索记录，甚至包括下载过的应用程序清单。　　对于很多用户担心的平台是基于窃听而了解到用户需求的问题，业内人士也提出了看法。腾讯产业安全运营部总经理吕一平认为，目前没有证据可以表明常用App存在窃听问题，消费者感觉自己被偷听应该是一种幸存者偏差心理：人们每天会讲无数句话、接触许多网络广告，碰巧对口的概率不低；在人们提出具有商业价值的词汇时，有可能已经在网上做过了解，点击、搜索都会生成用户画像，这也触发了系统推荐相关广告。　　用户不授权就无法使用App，涉及手机号、位置、行程等　　App使用授权问题也是用户操作时最常遇到的问题，未授权即不能使用或部分功能使用受限。但事实上，部分App的使用，并无需涉及相关权限的授权。　　在使用相关App应用时，深晚记者看到，大部分平台皆会显示平台涉及的条款及隐私政策，用户需同意才可继续使用。如“哈啰出行”App，深晚记者在首次下载使用时，平台首页跳出了相关提醒内容，提示平台涉及用户隐私包括手机号码、位置、行程等个人信息的收集，用户需点击同意选项才可进入功能页面的使用。而不同意权限的收集，则无法使用该平台。　　此外，部分平台还涉及收集手机设备、运营商网络等信息。深晚记者在首次下载使用“腾讯视频”App时，平台除了要求相关隐私授权外，还请求允许授权使用电话权限用于识别手机设备和运营商网络。测评过程中，深晚记者也挑选了部分关于社交、出行、影音、招聘、购物等功能类型的App进行测试，发现使用这些软件都需要读写手机存储的授权，否则将不能继续使用。　　在2018年8月，中消协发布了《App个人信息泄露情况调查报告》称，读取位置信息权限和访问联系人权限是安装和使用手机App时遇到情况最多的，分别占86.8%和62.3%。受访者被要求读取通话记录权限（47.5%）、读取短信记录权限（39.3%）、打开摄像头权限（39.3%）、话筒录音权限（24.6%）的比例也相对较高。　　而中国互联网协会《中国网民权益保护调查报告（2021）》也显示，63.4%的网民个人网上活动信息被泄露（如通话记录、网购记录、网站浏览痕迹、IP地址、软件使用痕迹及地理位置等），82.3%的网民亲身感受到了由于个人信息泄露对日常生活造成的影响，49.7%的网民认为个人信息泄露情况严重或非常严重。　　深晚记者测评时看到，部分平台展示的App隐私政策条款，还存在协议条文过长的问题。“洋洋洒洒”数百字的协议内容，文字过小、排版过密的展示形式，让不少用户忽略了其中涉及的重点信息。比如“WiFi万能钥匙”App，深晚记者在首次下载使用时就看到，平台首页展示了长达14000余字的隐私与政策，相关内容包括多个操作涉及的隐私问题、信息收集等。尽管相关内容较为详尽，但大量的信息内容容易导致用户“一刷而过”。　　律师说法　　平台相关行为严重可被追刑责　　针对深晚记者体验过程中涉及的相关App隐私问题，广东普罗米修（东莞）律师事务所律师刘嘉成介绍，麦克风监听、个人信息过度采集侵犯了用户的隐私权，大数据杀熟、个性化广告推荐则是侵犯了用户安全保障权、知悉真情权、自主选择权和公平交易权。刘嘉成强调，平台从事上述行为是违法违规，将面临行政处罚。造成他人损失的，应当依法承担赔偿责任、严重的还可能面临被追究刑事责任等后果。　　消费者应该如何保护个人隐私呢？刘嘉成建议，用户可通过正规平台下载App，谨慎授权App“打开摄像头和麦克风”“读取短信”“读取联系人”“读取位置信息”等，在注册、开通App功能时，应认真阅读服务协议后再慎重选择是否同意注册、开通，尽量取消App的自动登录、自动启用功能，登录密码不要过于简单。此外，还应慎重使用公共WiFi。　　刘嘉成提醒，市民如果遇到大数据杀熟和恶意收集个人信息的问题，首先要注意收集和固定App违法的证据，然后根据权益损害类型向网信部门、市场监管部门或消费者权益保护协会投诉举报。如果发现App使用非法收集的信息进行违法犯罪的，市民应及时报警。

编辑：陈平丽

责任编辑：王敬东

点击收起全文

返回央视网首页

返回新闻频道

扫一扫分享到微信

返回顶部

近几年网络隐私泄露的经典案例都有哪些？ - 知乎

近几年网络隐私泄露的经典案例都有哪些？ - 知乎首页知乎知学堂发现等你来答切换模式登录/注册隐私泄露近几年网络隐私泄露的经典案例都有哪些？匿名问~ 保护隐私~关注者75被浏览564,018关注问题写回答邀请回答好问题 12添加评论分享15 个回答默认排序网易易盾新一代数字内容风控领军者关注算是2018年隐私泄露事件的最全整理了2018年十大隐私泄露安全事件1.Facebook数据泄露事件回顾：虽然Facebook数据泄露量不如后面的那些公司高，但其次数和影响非常深远。一家第三方公司通过一个应用程序收集了5000万Facebook用户的个人信息，由于5000万的用户数据接近Facebook美国活跃用户总数的三分之一，美国选民人数的四分之一，波及的范围非常大。后来，5000万用户数量上升至8700万。今年9月，Facebook爆出，因安全系统漏洞而遭受黑客攻击，导致3000万用户信息泄露。其中，有1400万人用户的敏感信息被黑客获取。这些敏感信息包括：姓名、联系方式、搜索记录、登陆位置等。12月14日，又再次爆出，Facebook因软件漏洞可能导致6800万用户的私人照片泄露。具体来说，在9月13日至9月25日期间，其照片API中的漏洞使得约1500个App获得了用户私人照片得访问权限。一般来说获得用户授权的App只能访问共享照片，但这个漏洞导致用户没有公开的照片也照样能被被读取。结果：Facebook CEO数据泄露道歉，并多次出席听证会。一系列事件影响，Facebook股价已较年初跌了29.70％（12月25日）。而12月份的这次泄露，欧洲隐私管制机构爱尔兰数据保护委员会已着手调查，Facebook或因此被罚款超过16亿美元。2.涉嫌侵犯数百亿条公民个人信息上市公司数据堂被公安一锅端事件回顾：据新华社新媒体2018年7月8日报道，大数据行业知名企业数据堂（831428.OC）在8个月时间内，日均传输公民个人信息1.3亿余条，累计传输数据压缩后约为4000GB左右，公民个人信息达数百亿条，数据量特别巨大。结果：除了数据堂外，山东警方共抓获犯罪嫌疑人57名，打掉涉案公司11家。3.新三板挂牌公司涉窃取30亿条个人信息非法操控公众账号加粉或关注事件回顾：今年8月份，澎湃新闻从绍兴市越城区公安分局获悉，该局日前侦破一起特大流量劫持案，涉案的新三板挂牌公司北京瑞智华胜科技股份有限公司，涉嫌非法窃取用户个人信息30亿条，涉及百度、腾讯、阿里、京东等全国96家互联网公司产品，目前警方已从该公司及其关联公司抓获6名犯罪嫌疑人。案件仍在进一步侦办中。结果：目前警方已从该公司及其关联公司抓获6名犯罪嫌疑人。4.圆通10亿快递信息泄露事件回顾：六月份，暗网一位ID“f666666”的用户开始兜售圆通10亿条快递数据，该用户表示售卖的数据为2014年下旬的数据，数据信息包括寄（收）件人姓名，电话，地址等信息，10亿条数据已经经过去重处理，数据重复率低于20%，数据被该用户以1比特币打包出售。结果：有网友验证了其中一部分数据，发现所购“单号”中，姓名、电话、住址等信息均属实。5.万豪酒店5亿用户开房信息事件回顾：万豪国际集团11月30日发布公告称，旗下喜达屋酒店客房预订数据库遭黑客入侵，最多约5亿名客人的信息可能被泄露。万豪酒店在随后的调查中发现，有第三方对喜达屋的网络进行未经授权的访问。目前，未经授权的第三方已复制并加密了某些信息，且采取措施试图将该信息移出。万豪披露，已知的是，大约3.27亿客人的个人姓名、通信地址、电话号码、电子邮箱、护照号码、喜达屋SPG俱乐部账户信息、出生日期、性别等信息都已经可能全部泄漏。结果：消息公布后，万豪国际的股价在当天的盘前下跌5.6%，报115.02美元。事件曝光后，万豪采取了各种措施去补救。6.华住酒店5亿条用户数据疑泄露事件回顾：华住酒店集团旗下酒店用户信息在“暗网”售卖，售卖者称数据已在8月14日脱库。身份证号、手机号，一应俱全，共涉及5亿条公民信息。涉及酒店范围包括：汉庭、美爵、禧玥、诺富特、美居、CitiGO、桔子、全季、星程、宜必思尚品、宜必思、怡莱、海友。此次泄露的数据数量则总计达5亿条，全部信息的打包价为8比特币，或者520门罗币（约合人民币38万元）。卖家还称，以上数据信息的截止时间为2018年8月14日。结果：随后，华住集团酒店官方微博回应此事称，“已经报警了。真实性目前无法查证，我们信息安全部门在紧急处理中”。同时官方微博也呼吁，请相关网络用户、网络平台立即删除并停止传播上述信息，保留追究相关侵权人法律责任的权利。7.瑞士数据管理公司 Veeam 泄露 4.45 亿条用户数据事件回顾：2018年9月份，研究人员在一个配置错误的服务器上发现了存储有超过200GB数据的数据库。据悉，该服务器处于完全无防御的状态，且面向公众开放，任何人都能够公开查询和访问其数据。研究人员介绍称，该数据库中存储有来自Veeam公司的约4.45亿客户记录，其中包含客户的个人信息，如姓名、电子邮件地址以及居住地、国家等。此外，该服务器上提供的其他详细信息还包括部分营销数据，例如客户类型和组织规模、IP 地址、referrerURL 以及用户代理等。结果：信息在网上挂了4天后，就全部无法访问，想必公司已经采取了措施。对于该起事件有安全专家建议，所有数据库管理员考虑MongoDB在一年前发布其数据库产品的安全指南，同时添加新的内置安全功能，如加密，访问控制和详细审计等。8.Exactis大数据公司失误泄露2TB隐私信息：3.4亿条，涉及2.3亿人事件回顾：据Wired报道，六月初曝光的市场和数据汇总公司Exactis服务器信息暴露的事情经调查为实，涉及大约3.4亿条记录，容量接近2TB，据说涵盖2.3亿人。这些数据包含的隐私深度超乎想象，包括一个人是否吸烟、宗教信仰、养狗或养猫以及各种兴趣等。结果：Exactis事后对数据进行了加密防护，以避免信息的进一步泄露。9.美国功能性运动品牌Under Armour1.5亿用户信息泄露事件回顾：美国功能性运动品牌Under Armour（安德玛）旗下饮食和营养管理App及网站MyFitnessPal大规模的数据泄露，多达1.5亿用户的信息被盗。此次数据泄露事件影响到的用户数据包括用户名、邮箱地址、和加密的密码。安德玛表示，该数据泄露事件并没有涉及到用户的社会安全号码、驾驶证号、和银行卡号等隐私信息。结果：Under Armour通过电邮和App消息提醒用户立刻更改密码，当晚其股票市值下跌了4.6%。10.问答网站 Quora户数据遭泄露1个亿事件回顾：12月4日，据纽约时报报道，问答网站鼻祖Quora称，该公司的计算机系统遭到恶意第三方的未授权访问，大约有1亿用户的账户及私人信息可能已经泄露，包括姓名、邮箱地址和加密处理的密码。结果：Quora CEO发布博文致歉。官方称，第一时间雇佣网络安全专家进行调查，同时也联系了执法部门。2018年的数据泄露事件还有：1、国泰航空数据泄露，940万乘客受影响2、MongoDB 数据库被入侵， 1100 万份邮件记录遭泄露3、SHEIN 数据泄露影响 642 万用户4、http://HealthCare.gov注册系统被黑客入侵，75000人数据遭泄露5、GovPayNet凭证系统存在漏洞，1400万交易记录被曝光6、瑞士电信（Swisscom）证实80万数据被盗，涉全国1/10公民信息7、英国航空公司数据泄露事件：38万人受影响8、小米有品平台泄露个人隐私约2000万用户数据遭泄露9、美国23州连锁餐馆出现数据泄露，超过50万信用卡数据存在安全风险10、Atlas Quantum数字货币投资平台数据泄露，影响约26.1万名客户11、知名OCR软件ABBYY FineReader被曝泄露超过20万份客户文件12、Instagram平台被黑已超百万用户信息泄露13、乘客航班信息泄露链条曝光，近500万条信息被卖14、医疗软件公司MedEvolve因服务器漏洞致20多万患者信息泄露15、Robocall公司泄露了美国数十万选民个人信息16、Adidas数百万用户数据泄漏17、顺丰快递3亿用户信息外泄（顺丰官方否认，表示非顺丰数据）18、陌陌数据外泄3000万（陌陌官方后来回应：跟用户匹配度极低）19、AcFun受黑客攻击，近千万条用户数据外泄20、前程无忧http://51Job.com用户信息在暗网上被公开销售21、加拿大两大银行遭黑客攻击近9万名客户数据被窃22、私人情报机构 LocalBlox 泄露 4800 万份个人数据记录23、中东打车巨头Careem遭遇网络攻击 1400万乘客信息失窃24、央视曝光偷密码的“万能钥匙”，9亿人个人信息存风险25、旅游网站Orbitz 88万份信用卡信息遭泄露订阅“网易易盾”知乎号，获取更多安全资讯、干货文章。整理不易，感谢支持！往期精彩推荐编辑于 2022-11-22 17:25赞同 3014 条评论分享收藏喜欢收起宏景高端职业培训各类国际证书，欢迎私信咨询关注国内机构重大数据泄露案例一、内部威胁（一）某地方卫生系统出“内鬼”泄露50多万条新生婴儿和预产孕妇信息（二）某员工私自转让公司权限给朋友，致使30余万条医生数据泄露（三）合作公司员工泄露防伪数据700万条，某知名酒企损失超百万（四）某地方公务员利用职务之便，泄露82万条公民信息（五）某科技公司内鬼窃取500余万条个人信息，并在网上售卖二、外部威胁（一）某手机商称：4万消费者的信用卡数据泄露（二）北京某教育网站遭入侵，攻击者窃取7万余元（三）多家美容医院的客户信息被窃取（四）某知名酒店集团5亿条数据泄露（五） “XX驿站”一千万条快递数据被非法窃取（六）某知名酒店数据库遭入侵，5亿顾客信息或泄露国外各行业信息泄露案例一、 IT信息企业（一）因AWS存储桶配置不当引起的信息泄露：1.上万印度板球球员个人信息泄露2.本田汽车泄露敏感数据3.环球唱片被爆泄露敏感数据4.S3存储桶配置错误，暴露52.7万美国选民个人信息5.销售背锅！AWS官方人员导致GoDaddy数据泄漏6.美国软件公司AgentRun意外泄露众多保险公司客户个人敏感信息（二）澳大利亚16岁高中生数次入侵苹果服务器，下载90G文件（三）德国托管服务商DomainFactory大量客户数据遭外泄（四）芬兰某公共服务网站数据泄露，超过13万芬兰公民受影响（五）联想的一台笔记本失窃了：它拥有成千上万名员工的姓名、月薪、银行账号（六）数千台Etcd服务器可任意权限访问，暴露750MB密码和密钥（七）英国电商软件Fashion Nexus爆漏洞，多个品牌网站140万购物者隐私泄露（八）云泄露最前线：1.“不设防”的MongoDB暴露6600万条数据2.Adapt.io 123GB数据可公开访问3.FIESP近两亿条记录泄露二、政府机构（一）法国外交部称紧急联络人信息数据库遭黑客入侵（二）美国监狱电话监控供应商Securus被黑，大量数据遭窃取（三）美国政府网站http://HealthCare.gov被黑，7.5万人敏感信息泄露（四）印度国家生物特征库Aadhaar疑似数据泄漏（五）印度某政府网站意外泄露大量公民敏感信息，目前仍未修复（六）印度全民个人信息遭泄漏，售价不足6英镑！（一） T-Mobile又泄露超过200万客户数据（二） Voxox短信数据库遭泄，暴露短信认证安全问题（三）电信巨头加拿大贝尔公司数据又被泄，近10万用户受影响（四）泰国最大的4G移动运营商TrueMoveH遭遇数据泄露（五）俄罗斯电信公司意外暴露数千名富豪客户个人信息（六）黑进TalkTalk公司的两黑客分别被判1年、10个月（七）美国电信巨头Comcast爆漏洞，暴露2650万用户个人信息（八）瑞士电信证实80万数据被盗，涉全国1/10公民信息（九）西班牙电信Telefónica存漏洞，可暴露数百万用户的完整个人数据（十）印度国有运营商BSNL内网遭入侵，4.7万员工个人信息随意浏览四、互联网（十一） Facebook披露严重漏洞：黑客可控制5000万用户账号（十二） Facebook严重漏洞调查：2900万用户数据失窃，易受针对性钓鱼影响（十三） Facebook隐私泄露人数上升至8700万，用户主要集中在美国（十四） Facebook又泄露700万用户个人照片，可能面临16亿美元罚款（十五）谷歌关闭个人版Google+：因50万用户数据遭到曝露（十六） Google+再曝严重漏洞影响5250万用户，将被提前关闭（十七）供应商产品感染恶意软件，致使Ticketmaster英国网站客户信息泄露（十八）黑客售8万个Facebook用户信息：每个账号售价10美分（十九）美版“知乎”Quora遭黑客入侵：1亿用户数据裸奔（二十）全球最大同性社交软件Grindr存漏洞，可泄露用户信息及位置（二十一）社交新闻网站Reddit遭黑客攻击，2007年之前的备份数据泄漏（二十二）实时聊天供应商被黑，致使西尔斯、达美航空、百思买用户信用卡泄漏（二十三）亚马逊解雇擅自向第三方商家披露用户信息的员工（二十四）亚马逊因“技术错误”泄漏部分客户信息，包含姓名、邮件地址本文转载自:360威胁情报中心编辑于 2021-11-15 16:56赞同 27添加评论分享收藏喜欢

隐查查 | 2022年国内外个人信息泄露大事件盘点 - 知乎

隐查查 | 2022年国内外个人信息泄露大事件盘点 - 知乎切换模式写文章登录/注册隐查查 | 2022年国内外个人信息泄露大事件盘点隐查查专注个人隐私保护“个人信息泄露事件层出不穷，2022年都发生过哪些个人信息泄露大事件？”转眼又是一年，回望2022年国内外的个人信息泄露事件层出不穷，从造成的影响和损失来看，与去年相比有增无减。个人信息一旦泄露，很有可能被不法分子利用，如实施精准诈骗、擅自刷卡转账等，对个人财产安全等构成极大威胁。隐查查盘点了2022年国内外个人信息泄露大事件。01国外个人信息泄露大事件美国国税局泄露 12 万纳税人机密信息2022 年 9 月 3 日媒体报道，美国国税局泄露了一份涉及约 12 万纳税人的机密信息。美国国税局声称，泄露纳税人机密信息是无意之举，发现这一错误后已从网站上删除相关内容。机密信息涉及的数据来自企业纳税申报表-990-T 表，这是包括拥有个人退休账户群体在内的免税实体使用的营业税申报文件，用于报告和支付某些投资产生的收入或与其免税目的无关的收入所得税。泄露的信息包括纳税人姓名、联系方式和拥有个人退休账户群体相关收入的财务信息，但不包括社会安全号码、完整的个人收入信息、详细的财务账户数据或其它可能影响纳税人信用的敏感数据。美国佛罗里达州的税务网站泄露纳税人的信息据 2022 年 12 月 3 日报道，佛罗里达州的税务局网站存在一个安全漏洞，泄露了至少数百个纳税人的社会安全号码和银行账号。该漏洞为不安全的直接对象引用 (IDOR)，由于申请编号是连续的，任何人都可以通过将申请编号递增一位来列举纳税人的信息，系统中有超过 713000 份申请。登录该网站的任何人，都可以通过修改包含纳税人申请号码的网址部分，访问、修改和删除该税务机关存档的企业主的个人资料。微软或因云服务器配置错误暴露数万用户敏感信息微软安全响应中心在当地时间 2022 年 10 月 20 日发布公告称由于一台云服务器配置不当，导致某些客户的敏感信息遭暴露。在获悉该事件后，公司已经第一时间加固了相关服务器安全。微软表示，遭暴露的信息包括客户姓名、邮件地址、邮件内容、公司名称和电话号码等，而这些信息与受影响客户以及微软合作伙伴之间的业务存在关联性。这次数据暴露事故是因“维护人员对服务器的无意配置错误造成的，而非因安全漏洞引发，该端点设备也并未在微软生态中正式使用”。这起事件首先由安全公司 SOCRadar 发现并通过博客文章发布。SOCRadar 指出: 2022 年 9 月 24 日，该公司研发的内置云安全模块检测到，微软公司一个配置不当的 Azure Blob Storage 服务器中包含大约 2.4T 属于高级别云提供商的敏感数据。并称这些敏感信息可能与全球 111 个国家 (地区) 的超过 6.5 万个企业客户关联在一起，时间跨度从 2017 年起到 2022 年 8 月。一旦有黑客团伙访问了该服务器，就可利用相关信息，实施勒索、欺诈或在暗网出售等违法活动。澳电信公司 Optus 遭网络攻击，近千万用户信息或被泄露据 2022 年 9 月 23 日报道，澳大利亚第二大电信供应商 Optus 遭到大规模网络攻击，或致多达 980 万客户的个人信息泄露。Optus 表示，可能已经暴露的信息包括客户的姓名、出生日期、电话号码、电子邮件地址，以及部分客户的地址、身份证件号码等，但用户的付款信息和账户密码尚未泄露。Optus 表示它在发现攻击后立即采取了措施，但是没有透露关于攻击的详细内容。乌干达证券交易所（USE）泄露超过 32 GB 的用户信息据 2022 年 6月 13 日报道， Anurag 在扫描 Shodan 上配置错误的数据库，发现了一台暴露的服务器包含超过 32GB 的数据。经分析，该服务器属于乌干达证券交易所 (USE) 的 Easy Portal这是一个在线服务门户，用户可通过其查看股票、报表和监控账户余额此次泄露的信息包括姓名、用户名、地址、访问令牌、电话号码明文密码和银行详细信息等。金融科技企业 Revolut 泄露了 50000 名用户的数据Revolut 成立于 2015 年，是一家金融科技公司，目前为全球客户提供银行、资金管理和投资服务。媒体 2022 年 9 月 19 日称 Revolut 遭到恶意访问攻击，攻击者通过社会工程技术访问了 Revolut 的数据库，影响了该公司 0.16%的客户。50,150 名 Revolut 客户的姓名、地址、电子邮件、电话号码等数据可能受到了该事件的影响。Revolut 已通过邮件联系受影响客户。在发给 Reddit 的受影响客户的消息中，该公司表示卡的详细信息、PIN 或密码并未遭到泄露。日本 Kokikai Yasue 医院泄露十万多患者和员工的信息媒体 2022 年7月 4日称，日本 Kokikai Yasue 医院泄露了 111191 名患者和 715 名员工的信息。该医院于 5 月 27 日发现对其计算机系统未经授权的访问，当时无法访问患者信息数据库，且电子病历系统等部分系统停止运行。当天采取了限制部分业务的诊疗体制，并在 28 日恢复正常运营。此次事件泄露患者的姓名、地址、电话号码、医疗信息和疫苗接种史等信息;以及员工的姓名、地址和电话等。印度一医疗公司泄露 170 万人 Covid 抗原测试结果媒体 2022 年 9 月25 日称，印度某医疗软件提供商的 Elasticsearch 服务器泄露了 170 万人的 Covid 抗原测试结果，涉及印度、美国加拿大等多国公民。Anurag 在 Shodan 上扫描配置错误的数据库时，注意到一台服务器暴露了超过 23GB 的数据。具体数据包括: 姓名、国籍、地址、电话号码、身份证号码、检测结果、Aadhaar 号和护照号码等。研究人员表示，该数据库自 2022 年 7月2日开始暴露，且截至媒体报道日期，数据仍处于公开状态，无需任何安全身份验证或密码即可直接访问。西班牙 Iberdrola 遭到攻击泄露 130 万客户的数据媒体 2022 年4月2日称，西班牙能源公司 lberdrola 泄露了 130万客户的个人信息。该公司已证实，他们在 3 月 15 日遭到网络攻击，黑客非法访问了客户的身份证号码、地址、电话号码和邮件地址等信息。lberdrola 表示，该问题已在当天被修复，其成功阻止了进一步的攻击，但还是提醒客户注意利用这些信息的钓鱼活动。据称，在同一天中，马德里的通勤铁路网络 Cercanias、西班牙议会和几个地区的机构也遭到了攻击。通用汽车透露其遭到撞库攻击导致部分客户的信息泄露通用汽车表示他们在今年 4 月 11 日至 29 日期间检测到了恶意登录活动，经调查后发现黑客在某些情况下将客户奖励积分兑换为礼品卡，针对此次事件，通用汽车也及时给受影响的客户发邮件并告知客户。为了弥补客户所受损失，通用汽车表示，他们将为所有受此事件影响的客户恢复奖励积分。但根据调查，这些违规行为并不是通用汽车被黑客入侵的结果，而是由针对其平台上的客户的一波撞库攻击引起的。当黑客成功入侵用户的通用汽车账户后，他们可以访问存储在该网站上的某些信息。此信息包括以下个人详细信息: 名字和姓氏，个人电子邮件地址，个人地址，与账户绑定的注册家庭成员的用户名和电话号码，最后已知和保存的最喜欢的位置信息,当前订阅的 OnStar 套餐(如果适用)，家庭成员的头像和照片(如果已上传)，个人资料图片，搜索和目的地信息。黑客入侵通用汽车账户时可获得的其他信息包括汽车里程历史、服务历史、紧急联系人、Wi-Fi 热点设置(包括密码)等。但账户里不包含出生日期、社会安全号码、驾驶执照号码、信用卡信息或银行账户信息因此这些信息没有被泄露。丰田称其 T-Connect 服务中约 29 万客户的信息可能泄露据路透社 2022 年 10 月8 日报道，丰田汽车公司发现其 T-Connect 服务中约 29 万客户的信息可能已被泄露。Toyota T-Connect 是该公司的官方连接应用，车主可利用该应用将智能手机与车辆的信息娱乐系统连接起来。该汽车制造商表示，开发 T-Connect 网站的承包商不小心上传了带有公共设置的部分源代码，其中包含存储客户邮件地址和管理号码的数据服务器的访问密钥。这使得未经授权的第三方可以在 2017 年 12月至 2022 年9 月15 日访问 296019 名客户的详细信息。该公司已在 2022 年9 月 17 日更改了数据库的密钥。印度坎努尔大学的官方网站泄露 3 万多学生的信息2022 年 11 月21日报道称，印度科钦的一家安全机构发现，印度坎努尔大学 2018 年至 2022 年注册的 3 万多名学生的信息被发布在一个黑客论坛上。根据初步推测，此次泄露事件是由于大学官方网站的技术故障导致的。泄露数据涉及学生的姓名、Aadhaar 号码、照片和电话号码等。目前，坎努尔大学已就此事采取行动，并决定从其数据库中删除 2018年至 2022 年的所有数据。某配置错误的 ES 服务器泄露 15 万条 Mastodon 用户信息媒体 2022 年 11 月 18 日称，研究团队发现某配置错误的 Easticsearch 服务器泄露了超过 15 万条 Mastodon 用户的信息。研究人员于 2022 年 11 月 15 日检测到该服务器，但尚不清楚它记录用户信息的时间有多长。值得注意的是，该服务器属于第三方而不是 Mastodon 官方，旨在从 Mastodon 用户那里抓取信息。泄露信息包括账户名称、个人资料图片、粉丝数和关注数等，目前仍无法确定服务器的所有者。02国内个人信息泄露大事件学习通数据库疑遭泄露据媒体 2022 年 6 月20 日消息，黑客正在通过非法渠道出售超星学习通数据库，这份数据库包含1亿 7273万条数据，泄露数据涉及学校名称、学生姓名、注册手机号码、学号、工号、性别以及邮箱等。售价仅 1500 美元。超星学习通是目前众多高校使用的电子化课程学习软件。6 月 21 日下午，超星学习通 App 官方微博发布《关于“疑似学习通用户数据泄露”传闻的声明》。《声明》称，公司 20 日晚上收到“疑似学习通 App 用户数据泄露”的反馈信息，立即组织技术排查。隐查查往期文章链接：学习通陷数据泄露疑云：超1,7亿条学生隐私数据被售卖？中国香港海逸酒店数据库遭攻击超 100 万客户信息泄露中国香港个人资料私隐专员公署 (PCPD) 在声明中表示，二月初海逸酒店管理有限公司 (海逸酒店) 遭受网络攻击，120 多万名客户的个人料被访问。PCPD 随即展开调查，要求海逸酒店提供更多事故信息，包括事故详情及所涉个人资料的类型。8 家香格里拉酒店遭黑客入侵，中国香港超 29 万客户信息被泄露香格里拉酒店集团于 9月 30日在官方站点发布信息安全事件公告指旗下 8 间酒店的客人数据库在今年 5 月至 7 月被专业网络攻击者入侵。攻击者绕过集团的信息安全监察系统，非法进入客人数据库，部分档案数据外泄。在 8 间涉事酒店中，有 3 间位于香港，包括香港港岛香格里拉大酒店、香港嘉里酒店及香港九龙香格里拉酒店。隐私专员公署得悉，有 29 万香港客户受影响，已就事件展开循规审查。酒店方面表示，除客人姓名、电话号码、电邮地址、通讯地址、会籍号码、预订日期和公司名称存在泄露外，客人的护照号码、身份证号码、出生日期、信用卡号码等资料会进行加密保护，暂未遭公开或不当使用。医疗公众号系统遭黑客侵入，10万条公民数据被兜售哈尔滨市公安局南岗分局网安大队民警发现，2022年10月境外某黑客论坛在出售国内公民个人信息。卖家自称数据量约20GB，售价0.2比特币，还公布了29条数据样本供买家验证，样本中还包括了公民姓名、联系电话、家庭住址等个人信息。随即网警进行深入调查及侦破工作，将犯罪嫌疑人抓获。据查，麻某是IT行业从业人员，利用自身黑客技术，在2022年4月侵入国内某医疗机构微信公众号系统窃取数据，半年多时间非法获取该计算机系统数据10万余条，而后在境外黑客论坛兜售，非法获利1500美元。蔚来汽车用户数据遭大量泄露12月20日，一则蔚来汽车用户数据遭窃取被勒索 225 万美元等额比特币的消息引发热议。当天，蔚来首席信息安全科学家、信息安全委员会负责人卢龙在官方社区发布公告称，12月20日有不法人士在网上出售蔚来相关数据。12月11日，公司收到外部邮件，称拥有蔚来内部数据，并以泄露数据勒索 225 万美元等额比特币。公司当天即成立专项小组进行调查与应对，并第一时间向监管报告此事。蔚来公告称，经初步调查，被窃取数据为 2021 年 8 月之前的部分用户基本信息和车辆销售信息。“蔚来对于此次事件对用户造成的影响深表歉意，并承诺对因本次事件给用户造成的损失承担责任。”12月21日早，蔚来发布公开声明，承诺其对因数据泄露事件给用户造成的损失承担责任，并对此次事件深表歉意，还提供了解答用户就数据泄露事件疑问的专门热线及邮箱地址。03如何防范个人信息泄露？要避免将身份证和银行卡放在一起，避免在同一台设备中备份自己的账号信息、身份信息和密码。下载手机应用也应通过手机自带的应用市场进行下载，通过安全中心审查后进行安装注册使用。个人账号尽量不要和他人分享。提高安全防范意识，不随意填写个人信息，不随意进行实名认证，保障信息安全。关闭手机应用里的个性化兴趣推送也能适当减少采集信息进而被盗用的风险。互联网与大数据时代，个人信息的整理、收集和传输变得越来越容易，利用个人信息侵扰群众生活的现象也屡见不鲜。尤其个人信息泄露导致的电信网络诈骗等各种违法犯罪活动更是愈演愈烈，严重威胁到个人财产安全和社会稳定。隐查查提醒，提高个人信息安全防范意识，保护个人信息安全！赶快扫描下方二维码或至各大安卓应用市场下载隐查查最新版，全方位保护个人隐私！（部分内容来源网络，侵删）编辑于 2023-01-12 14:06・IP 属地江苏个人信息安全互联网隐私个人隐私赞同 11添加评论分享喜欢收藏申请

近12亿电商用户信息被泄露：平台该担何责？_腾讯新闻

近12亿电商用户信息被泄露：平台该担何责？

导读：如用户因信息泄露受损，平台需赔偿。

来源丨21世纪经济报道（ID：jjbd21）

记者丨张雅婷,实习生,郭美婷

编辑丨曹金良

日前，淘宝近12亿条用户信息被泄露一案引发关注。

河南省商丘市睢阳区人民法院公布的一起案件显示，犯罪分子通过自己开发软件爬取到了淘宝客户的数字ID、淘宝昵称、手机号码等信息近12亿条，用于从事淘宝客推广业务，共获利34万余元，最终被判处侵犯公民个人信息罪。

近年来，数据泄露案件频发。有专家指出，尽管企业在其中也是受害者之一，但是从个人信息保护的角度，只要用户因信息泄露遭受损失，平台需肩负一定责任。

随着国家及地方层面的立法纷纷落地，压在我国企业数据安全的担子日渐加重，不履行相关义务的将会面临罚款。另一方面，爬虫等网络技术的应用也亟需法律规制，这些技术的使用边界正待进一步的规范。

图 / 图虫

淘宝近12亿用户信息被泄露

裁判文书显示，2020年8月，淘宝（中国）软件有限公司报警称，7月6日至13日时，有黑产通过mtop订单评价接口绕过平台风控批量爬取加密数据。这期间爬取的字段量巨大，平均每天爬取数量为500万，爬取内容包括买家用户昵称、用户评价内容、昵称等敏感字段。

经淘宝排查发现，逯某有重大作案嫌疑，其在黎某开设的湖南省浏阳市泰创网络科技有限公司（以下简称“浏阳泰创”）任技术员一职。

浏阳泰创的主要业务是淘宝客，即在微信群里进行淘宝商品的推广，从而获得淘宝网佣金和商家服务费。

2019年11月起，逯某在家中开发爬虫软件“淘评评”，通过淘宝网页接口爬取客户信息，并将其中的手机号码提供给黎某。

爬取的信息用于何处？黎某将这些信息数据导入一个名为“微信加人”的软件中，用以添加微信好友。据公司员工描述，公司创立了多个微信群，最多可能达1100个，每个群的人数在90到200人之间不等。这些员工负责在群里发送广告链接，一旦淘宝用户在广告群里购买了商品，公司即可获得佣金。

截至2020年7月，该公司利用爬取的信息经营共获利340187.68元。经司法鉴定，逯某通过其开发的软件爬取淘宝客户的数字ID、淘宝昵称、手机号码等淘宝客户信息共计1180738048条，逯某将其爬取信息中的淘宝客户手机号码通过微信文件的形式发送给被告人黎某使用共计19712611条。

被爬取的信息是否还用于其他地方？逯某称，除了将手机号提供给黎某外，客户ID和淘宝昵称都存在了自己的电脑硬盘中，未有外泄。黎某方则辩称，起诉书指控395万余是公司全部的经营额，获利数额应是37万元，未将信息用非法目的。上述信息均被法院采纳。

法院最终认为，逯某和黎某违反了国家规定，非法获取公民个人信息，情节特别严重，均已构成了侵犯公民个人信息罪。综合其犯罪情节及社会危害性，法院判处黎某有期徒刑3年6个月，并处罚金35万；逯某有期徒刑3年3个月，并处罚金10万。

平台对数据泄露有何责任？

不过，逯某最初因涉嫌非法获取计算机信息系统数据、非法控制计算机信息系统罪被刑事立案，后检察院提起公诉，指控其嫌弃侵犯公民个人信息罪。

为何罪名前后有所更改？

“一个行为犯多条罪很正常。”北京清律律师事务所首席合伙人熊定中解释，因逯某通过网页接口爬取数据，没有侵入计算机系统的动作，被判个人信息犯罪最为合理。

上海申伦律师事务所律师夏海龙则表示，以购买、收受、交换等方式获取公民个人信息都可能构成侵犯公民个人信息罪。但构成非法获取计算机信息系统数据、非法控制计算机信息系统罪的前提是嫌疑人行为违反《刑法》语境下的“国家规定”，单就逯某擅自爬取淘宝网用户信息这一行为，尚达不到此严重程度。

“黑客被判为侵犯公民个人信息罪，而不是非法获取计算机信息系统数据罪，这样淘宝因计算机系统数据被窃被而被行政处罚的风险就小了很多。”上海大邦律师事务所高级合伙人游云庭说。

游云庭以一则平台因技术漏洞致数据泄露被追责的案件举例，2011年12月，北京警方接到CSDN网站报案，称其服务器被入侵，核心数据遭到泄露，CSDN网站后被整改。

据警方调查，嫌疑人利用CSDN网站漏洞，非法侵入服务器获取用户数据，以涉嫌非法获取计算机数据罪被刑事拘留。同时，CSDN网站未落实国家信息安全等级保护制度，安全管理制度和技术保护措施落实不到位是造成用户信息泄露的主要原因。

根据《计算机信息系统安全保护条例》第20条第1款规定，有违反计算机信息系统安全等级保护制度，危害计算机信息系统安全的行为，应由公安机关处以警告或者停机整顿。北京市公安局向CSDN网站提出了具体整改要求，并对运营公司北京创新乐知信息技术有限公司做出行政警告处罚。

“一般来说，在类似事件中平台往往也是受害者，只要平台采取了必要的技术防护措施、在数据泄露事件中没有过错，事发后能够及时向用户和监管部门通知相关情况，并采取补救措施、积极挽回损失，一般不会被行政处罚。”夏海龙分析，但是从个人信息保护的角度看，只要用户因信息泄露遭受损失，平台就需要首先向用户赔偿损失。

企业数据安全责任加重

近年来国际上频发的数据泄露事件，不仅让涉事平台承担着高昂的损失费用，还可能因危及大量用户的个人信息安全，面临着巨额罚款。

2020年11月，美国酒店集团万豪就因遭受网络攻击，致使数百万客户个人数据泄露，收到了英国监管机构（ICO）开具的1840万英镑巨额罚单。ICO调查发现，万豪没有按照通用数据保护条例（GDPR）要求，采取适当的技术或组织措施来保护其系统上的个人数据。

社交巨头脸书亦多次深陷数据泄露的泥潭。今年4月，脸书被指泄露5.33亿用户数据，尽管后来澄清系2年前的旧消息，并已修复相关漏洞。但不由让人联想起2018年英国“剑桥分析”公司非法获取8700万脸书用户数据一事，此案最终以脸书同意支付50亿美元罚款落幕。

随着国家及地方的立法纷纷落地，压在我国企业肩头的数据安全的担子也将逐渐变重。

6月10日通过的《数据安全法》规定，开展数据活动的组织、个人不履行数据安全保护义务的（包括采取必要措施保障数据安全、加强风险监测、开展风险评估等），由有关主管部门责令改正，给予警告，可以并处5万元以上50万元以下罚款。

正在二审的《个人信息保护法》草案也对个人信息处理者提出了相应要求，如制定内部管理制度和操作规程、对个人信息实行分类管理、采取相应的加密、采取相应的加密和去标识化等安全技术措施、制定并组织实施个人信息安全事件应急预案等。

深圳、上海、天津、安徽等地的数据立法同样高度重视数据安全问题。

如6月2日发布的《深圳经济特区数据条例（征求意见稿）》提到，数据处理者应当落实数据安全管理责任，防止数据泄露、毁损、丢失、篡改和非法使用，落实监测预警措施，制定数据安全应急预案，风险发生时及时告知相关权利人，并向网信部门和有关行业主管部门报告。

不当使用爬虫涉多重法律风险

图 / 图虫

对内，作为数据收集和处理者的企业应建立起完善的数据保护体系；对外，爬虫等网络技术的应用也亟需进一步规范。

网络爬虫是互联网时代一项运用非常普遍的网络信息搜索技术，最早应用于搜索引擎领域，通过搜集网页上的信息或数据，将其纳入数据库中。

不当使用网络爬虫技术可能带来多重法律风险。除了上述提到的非法获取计算机信息系统数据、非法控制计算机信息系统罪和侵犯公民个人信息罪，还可能触及侵犯著作权罪、诈骗罪，构成不正当竞争等。

如上海市徐汇区人民法院公布的一起案件中，段某于2013年开始视频网站，未经著作权人许可，利用爬虫技术对乐视、土豆等视频网站的影视作品设置加框链接，屏蔽片头广告，转而在自己的网页内发布广告，获利74余万。法院最终判定段某构成侵犯著作权罪。

另一则上海市宝山区人民法院公布的案件中，爬虫技术成为了实施诈骗的工具。叶某雇佣他人，通过购买爬虫软件获取淘宝网新开店店家信息，冒充淘宝客服人员向店家发送店铺未激活、交易关闭等虚假信息，以帮助店家解决问题为由诱骗被害人同意其进行远程协助并提供支付宝账户及密码，后其通过电脑远程操作的方式使用被害人支付宝为视频账户充值。法院认为，叶某的行为构成诈骗罪。

与爬虫相关的法律问题，更多的是涉及垄断及不正当竞争的争议。如2013年的“百度诉360案”、2017年的“酷米客诉车来了案”，以及2016年的“微博诉脉脉非法抓取用户信息案”，该案被称为“我国首例大数据不正当竞争纠纷案”。

6月14日，美国最高法院要求下级法院重审领英诉讼竞争对手hiQ Labs抓取用户公开资料一案。此前，因相关法案并不禁止公司抓取可在互联网上公开访问的数据，领英败诉。

这些案件的争议点多为数据权属问题，网络爬虫能轻易收集用户数据，而在数据即石油的将来，保有对用户数据的控制权是各互联网经营者的必争之地。

以“微博诉脉脉非法抓取用户信息案”为例，人脉社交应用脉脉上线之初曾与新浪微博合作，用户可通过微博账号和个人手机号注册登录脉脉。但新浪微博发现，脉脉还大量抓取、使用了新浪微博用户的头像、名称、职业、教育等信息。双方遂终止合作，新浪微博提起诉讼。

一审和二审法院均认为，脉脉的上述行为构成不正当竞争。法院二审判决指出，在数据资源已经成为互联网企业重要的竞争优势及商业资源的情况下，互联网行业中，企业竞争力不仅体现在技术配备，还体现在其拥有的数据规模。脉脉违反《开发者协议》，未经用户同意且未经新浪微博授权，获取其用户的相关信息并展示在脉脉应用的人脉详情中，侵害了新浪微博的商业资源，不正当的获取竞争优势，这种竞争行为已经超出了法律所保护的正当竞争行为。

目前，我国尚未有针对网络爬虫技术的配套法律法规。多重纠纷之下，网络爬虫的使用边界正在被规范。在网信办2019年5月发布的《数据安全管理办法（征求意见稿）》中，首次划定了网络爬虫的法律红线。

意见稿第2章第16条规定，网络运营者采取自动化手段访问收集网站数据，不得妨碍网站正常运行；此类行为严重影响网站运行，如自动化访问收集流量超过网站日均流量三分之一，网站要求停止自动化访问收集时，应当停止。

本期编辑林海铭实习生吴子杰

个人信息遭泄露，如何维权_中华人民共和国最高人民检察院

电脑版

网站无障碍

[ 中文版 ] [ English ]

内部邮箱

首页

机构设置

最高人民检察院简介

机构设置

最高检机构

检察新闻

最高检新闻

权威发布

新闻发布会

网上发布厅

直播访谈

视频

法治文化

工作信息

工作报告

专项报告

最高检公报

指导性案例

典型案例

通知公告

检察业务

普通犯罪检察

重大犯罪检察

职务犯罪检察

经济犯罪检察

刑事执行检察

民事检察

行政检察

公益诉讼检察

未成年人检察

控告申诉检察

法律政策研究

案件管理

检察院建设

思想政工

检察党建

队伍建设

理论研究

纪检监察

对外交流

检务保障

检察技术

司法改革

检察文化

12309中国检察网

中国检察听证网

当前位置：

首页 > 检察院建设 > 理论研究

个人信息遭泄露，如何维权

时间：2021-07-21　　作者：马穆青朱珊珊　　来源：检察日报

【字体：大　中　小】

如今，信息处理方便快捷，但同时也面临着个人信息泄露的风险。一些网络平台、手机App对个人信息进行非法收集、出售或盗用，导致个人信息泄露。遇到这种情况怎么办？

案例：吴某在某求职平台填写了一份简历，包括其姓名、手机号、家庭住址、学习经历等信息。此后两天，吴某收到某培训机构来电，询问其是否需要购买求职培训课程，通话中吴某得知培训机构已掌握其包括身份信息在内的求职信息。吴某认为是某求职平台泄露了该信息，遂向法院起诉请求该平台承担侵害其隐私权的赔偿责任。法院查明，该求职平台系该培训机构的股东之一，求职平台将其收集、整理的个人求职信息提供给了培训机构，导致吴某信息被培训机构非法获得，遂判决支持吴某请求。

民法典第一千零三十四条：自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

民法典第一千零三十五条：处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。

民法典第一千零三十八条：信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。

……

检察官解析：案例的争议焦点在于吴某的求职信息是否属于个人信息，求职平台的行为是否存在过错构成侵权。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息。个人求职简历包含个人身份信息、学历信息、联系方式等，属于个人信息。根据民法典规定，自然人的个人信息受法律保护。信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供其个人信息。本案中，吴某的身份信息、毕业院校、所学专业等信息属于个人信息，受法律保护，未经吴某同意，求职平台不得将该信息提供给第三人。求职平台将收集到的吴某信息非法提供给培训机构，存在明显过错，应当承担侵权责任。

检察官小贴士

随着信息技术发展，个人信息遭泄露的形式愈加多样化，民法典明确了保护个人信息的法律适用依据。个人信息遭遇不法侵害时，可以根据民法典的有关规定主张权利，维护自身的合法权益。

（作者单位分别为福建省人民检察院、福建省漳州市人民检察院）

[责任编辑：佟海晴]

2023年第一季度数据泄露事件近1000起，涉及1204家企业、38个行业_澎湃号·湃客_澎湃新闻-The Paper

年第一季度数据泄露事件近1000起，涉及1204家企业、38个行业_澎湃号·湃客_澎湃新闻-The Paper下载客户端登录无障碍+12023年第一季度数据泄露事件近1000起，涉及1204家企业、38个行业2023-04-18 11:12来源：澎湃新闻·澎湃号·湃客字号原创威胁猎人威胁猎人Threat Hunter前言威胁猎人正式发布《2023年Q1数据资产泄露分析报告》，报告显示：“Q1发生近1000起数据泄露事件，涉及1204家企业、38个行业，黑产的数据交易主要集中在更加隐蔽和便利的匿名社交平台。值得一提的是通过短信通道泄露的情况，虽然占比不高但影响极大，仅一起事件就涉及1000+家企业。”整体来看，Q1的数据泄露态势不容乐观。近年来，国家数据安全和个人信息保护相关法律法规相继出台和逐渐细化，2022年国家级攻防演练中更是新增了对于数据泄漏的攻防点，说明：数据安全保护，逐步从监管法规，落实到具体的攻防实战中来。今年三月《国务院政府工作报告》再次强调数据安全的重要性，对企业而言，发生数据泄露不仅会受到监管和法律的惩罚，还有可能遭受财产和名誉损失。Q1金融企业的用户遭遇钓鱼仿冒类电信诈骗案件上升，其中一个很重要的原因是诈骗分子基于泄漏的用户信息数据，通过钓鱼仿冒网站来实施精准诈骗，因此，及时监测数据泄露风险，做好数据安全建设，是企业发展路上的重要课题。威胁猎人发布《2023年Q1数据资产泄露分析报告》，希望借此报告为企业数据安全建设、防数据泄露提供启发和建议。2023年Q1数据泄露风险概况捕获近1000起数据泄露事件，涉及1204家企业2023年Q1，威胁猎人情报平台监测和验证到的有效数据泄露事件高达987起。疫情结束后黑产更加活跃，相较2022年Q1，本季度的数据泄露事件数上升了42%，涉及企业多达1204家。一月份是春节档期，绝大多数的黑产在休假，因此事件数相对较少，到了二三月，黑产逐渐“上岗”，风险事件数量也在逐月增加。威胁猎人对事件发布者进一步研究发现，其中有两个黑产在Q1发布了244个数据泄露事件，从过往发布信息来看，主要针对物流行业，推测应该与全国多家快递公司的快递员合作。匿名社交软件Telegram是主要数据交易平台，多为二手转卖数据从威胁猎人监控渠道上来看，2023年Q1的数据泄露渠道主要集中在Telegram、Github、暗网、网盘4个渠道。其中，匿名社交软件Telegram因信息传输的私密性和便利性，成为数据交易和传播非法信息的理想平台，占比高达82%。经威胁猎人溯源，拥有一手数据的人为保护自身安全，会找代理来推广和交易数据，因此传播数据大多为二手转卖数据。数据泄露遍布各行各业，涉及物流、金融、电商行业等从行业分布来看，2023年Q1的数据泄露事件遍布各行各业，涉及38个行业，包含物流、金融、电商、航空、招聘、教育、旅游等行业。人为拍摄与合作方泄露是主要泄露原因，涉及销售、快递等环节从泄露原因来看，本季度人为拍摄信息导致数据泄露的占比最多，高达42%，进一步研究发现：主要集中在物流行业，涉及销售、仓储、快递等环节的面单信息泄露；合作方泄露位居第二，占比34%，攻击者往往会攻击供应链上的中小企业，这类企业的安全成本投入低甚至没有，易被攻破，与之合作企业的数据安全很难得到保障。值得关注的是内部安全缺陷泄露和短信泄露，虽然占比不高，分别为10%和7%，但影响范围大，尤其是短信泄露。威胁猎人在2023年3月15号，捕获了一起短信泄露事件：涉及1000+家企业，其中一家企业被泄漏的短信数量高达1亿+条，被黑产在Telegram上售卖。安全建议1）采购正规短信通道；2）给不同通道的短信带上差异化标识，发生数据泄漏事件时，可快速定位问题短信通道。金融借贷行业数据泄露风险洞察威胁猎人2022年度《数据资产泄露报告》显示：借贷行业的数据泄露事件数占据金融行业总数据泄露事件数的38%，位居第一。到2023年Q1，这一数值已经飙升到了51%，威胁猎人情报平台共监测到相关事件91起，远多于其他金融细分行业。威胁猎人研究员进一步分析原因，发现金融借贷行业通过第三方软件服务（如SDK）和短信通道泄露的占比最多。通过这两个原因泄露的数据基本只有手机号，难以获取姓名等详细信息，但有心黑产可通过社工库、历史泄露信息等渠道，查询到姓名、地址、身份证等具体用户信息，加上被泄露数据的实时性较高，在黑产领域有巨大市场。针对金融借贷行业泄露的数据，黑产多用于诈骗：1）以低利息、下款快等诱惑，引导用户前往其他平台借贷，以“个人信息输入错误为由冻结贷款，需缴纳保证金才能解冻”的方式进行诈骗；2）伪装成平台客服，以“账户违规、注销等借口”要求用户缴纳费用进行诈骗。黑产获取的用户个人信息数据越多，让用户确信是客服的可能性越高，实施诈骗的成功率也越高。近期，威胁猎人情报平台在Telegram上捕获一起黑产出售某网贷平台用户信息的安全事件，每天1-2千条，涉及字段包含姓名、手机号、下款时间和额度等，极有可能被黑产用于诈骗。经该网贷平台内部排查，定位到数据泄漏原因是Spring Boot Actuator未授权漏洞，API泄漏了数据库的连接信息，数据库还支持公网连接，黑客直接连接数据库即可窃取数据。企业需要监控应用程序状态，Spring Boot内置监控功能Actuator，当Spring Boot Actuator配置不当时，攻击者可通过访问默认的内置API，轻易获得应用程序的敏感信息：在Actuator 1.5.x以下版本，所有API都默认无需授权直接访问，存在巨大的安全隐患；在1.5.x版本以上，默认只能访问到/health、/info这两个通常不会泄露敏感信息的API。但如果配置不当，将/env、/heapdump等API配置为无需授权即可访问，也可能带来安全隐患。安全建议1）尽量使用最新版本的应用和系统；2）数据库等敏感应用和系统，不暴露到公网，或者限制IP白名单。2023年Q1最值得关注的数据泄露案例2023年Q1发生了多起严重的数据泄露事件，给很多企业造成严重的负面影响，接下来，让我们看看本季度最值得关注的数据泄露案例：1、员工信息泄露案例大数据平台员工电脑遭Stealer log病毒木马攻击，造成数据泄露2023年3月1日，威胁猎人在暗网发现有黑产出售某大数据平台的数据，包含50W+条Json格式涉及姓名、手机号、部门等字段的数据。威胁猎人情报研究员根据过往黑产发布的信息分析发现，绝大部分数据都是从数据库获取，涉及国家、行业广阔，大概率是通过MongoDB、MySQL等数据库弱口令或未授权等方式获取。经威胁猎人情报专家分析和溯源，发现该数据泄露事件由Stealer log导致。Stealer log是指：记录病毒木马从计算机中窃取的敏感信息的日志文件。文件中包含各类软件/浏览器保存/企业后台系统/FTP/数据库等的账号密码、Cookie等隐私数据，会导致企业机密、客户资料泄露等安全事件。起因是员工个人电脑中过病毒木马，连接过公司的PostgreSQL数据库被Stealer log记录了下来，因该数据库可被公网访问，黑产直接连接数据库即可窃取。以下为黑产展示其窃取到的PostgreSQL数据库连接信息，同时黑产表示还破解了数据库中其他9个用户的哈希，仅修改泄漏的账号密码已无法解决该问题。该黑产从19年开始行动，员工个人电脑在21年已被病毒木马攻击，直到黑产在23年售卖相关数据被监测到才暴露问题，最终导致了此次数据泄漏事件发生。安全建议1）更换数据库连接地址，设置IP白名单，限制可访问IP，或将数据库放到内网中，不暴露到公网；2）用户哈希已被破解，尽快修改密码，防止被密码喷洒攻击；3）要求内部员工定期修改密码。招标平台API返回过多员工敏感信息，遭黑产攻击威胁猎人情报系统监测到，某招标平台的API接口正在遭受黑产攻击，原因是该接口返回过多的敏感信息。黑产可直接攻击API获取到该公司员工明文的姓名、身份证、手机号、住址、密码等信息，泄漏的密码虽然经过md5加密，但仍可以还原出明文密码。同时该公司的OA系统暴露在公网，黑产甚至可以通过接口泄露的账号密码，直接登录OA系统，窃取企业内部信息或是实施其他恶意行为。安全建议1）确认业务逻辑中是否会用到API接口所返回的字段，删除返回多余的字段；2）告知员工修改密码，排查内部系统是否已被入侵。用户信息泄露案例健身房存在API越权漏洞，会员手机号被爬取威胁猎人研究员观察到，某健身平台的API存在越权漏洞，上传user_id就会返回对应用户的手机号，user_id看起来是不可遍历、预测的，难以被利用。威胁猎人研究员观察到，该健身房的另一个API接口返回了100条user_id，如下图所示：通过分析发现，密文user_id前面都是B_BBKOs，明文userid前面都是155，可以说明user_id是根据规则来生成的，黑产可自行生成密文user_id，实现越权获取任意用户的手机号。安全建议1）API接口需要加上鉴权，会员才可以进入系统进行操作，减少暴露面；2）查询敏感数据时，若查询参数带有id类型的字段，使用不可遍历、预测的字符串；3）校验查询敏感数据的对象是否为当前用户，不属于则不予查询。保险代理供应商存在漏洞，合作甲方数据遭泄露近期，威胁猎人在分析蜜罐流量时发现，多家保险代理公司均存在API漏洞，极有可能泄露与其合作甲方的用户数据。以保险代理公司A为例：为给甲方推广保险业务，保险代理公司A推出“完善个人信息，领取保险”等活动。页面虽然展示的是脱敏后的个人用户信息，但威胁猎人分析发现，该保险代理公司只是在前端展示时做了脱敏，API接口返回的其实是明文数据。并且，该漏洞目前已经被黑产利用，预计泄漏的用户数据高达3000w+。该缺陷API通过传入encryptStr来获取个人敏感信息，而encryptStr是通过另一个缺陷API接口获取。黑产通过遍历url中的参数即可拿到不同用户的encryptStr，再去上述的接口请求，即可获取到不同用户的个人信息。安全建议1）与合作方传输涉敏数据时，需对数据进行加密，同时提高数据导出权限，避免传输过程中暴露，并做好内部审查；2）要求合作方依据个保法要求保护、加密、脱敏等，同时必须了解具体数据传输流程，避免数据流露到其他平台或平台防护较为薄弱；3）及时捕捉数据交易市场实时动态，根据相关线索分析涉及公司的泄露事件，判断泄露环节。快递运单信息泄露，黑产以0.9元一条出售威胁猎人监测到，Telegram上有黑产在出售某快递的运单信息数据，字段包含运单编号、产品类型、收件人地址、手机号、姓名，派送员姓名等，一天可提供的数据5万+条，价格为0.9元一条。在获得该快递平台授权后，威胁猎人展开调查，通过黑产透露的后台带水印的截图，定位到此次数据泄漏事件由于离职员工账号权限未及时收回导致。目前，该快递平台已收回离职员工权限并反馈警方，窃取数据的黑产已拘捕在狱。安全建议1）及时收回离职员工账号和权限；2）后台系统不开放到公网访问，需要VPN才能访问，或限制IP白名单；3）限制敏感数据能够访问的权限，只对少数确实有需要的账号开放。代码泄露案例某企业代码在Github发生泄露，因员工导致近期，Twitter在Github上发生代码泄露的事件引发全网热议，除此之外，威胁猎人情报情报也监测到一起Github泄露事件。经溯源发现，事因某员工往Github上传的日志文件中包含了插入用户表的SQL语句，因此泄露了管理员账号密码。黑产拿到该账号密码后直接登录管理后台，最终造成了数据泄露、甚至系统权限失限等严重后果。安全建议对于因员工失误将代码推送到GitHub上导致的信息泄漏，威胁猎人安全专家建议：1）立即移除代码：立即将代码从GitHub上移除，尽早停止信息泄漏的影响；2）分析泄漏程度：评估信息泄漏程度和影响范围，包括可能泄露的数据、已访问到数据的人数等。3）加强安全意识教育：加强员工的安全意识教育，提高他们对代码安全的重视和保护意识；4）定期审查：定期审查代码库，发现漏洞或问题时及时修复，防止类似问题再次发生。敏感文件泄露案例多家企业敏感文件被泄露，涉及机密文件、服务器等信息Telegram和暗网是敏感文件数据泄露的高发地段，除此之外，网盘、文库、在线文档等渠道也可能泄露企业敏感信息。近期，威胁猎人情报平台监测到，多家企业的敏感信息在网上被泄露，此处列举两个案例。案例一：某银行贷款业务机密文件被泄露在某文库，不仅影响银行声誉，而且可能导致银行违反法规承担法律责任。除此之外，黑灰产也可以利用被泄露的机密文件实施违法行为，比如复印该文件假装该银行工作人员行骗。案例二：某企业的内部在线文档遭泄露，泄露字段包含详细的服务器信息、APP信息、企业在支付宝等平台的信息等，甚至暴露了具体的登录账号和密码，如果这些信息被黑产发现，黑产可直接登录账号密码，实施窃取机密文件等恶意行为。安全建议1）告知员工保护数据的重要性，引导员工学习企业的数据安全政策和网安知识；2）使用安全的文件共享平台，例如：加密的云存储或私有文件服务器；3）实施访问控制措施，例如：员工使用VPN连接到公司网络，才能访问敏感文件；4）定期安全审计和漏洞扫描，以确保网络和系统的安全，如发现问题立即补救；5）建立安全响应计划，应对数据泄露和安全事件。数据保护建议面对越来越多的数据泄露风险，企业需由内而外地加强安全防御建设，保障企业和用户数据安全：「对外：数据泄露风险监测」企业数据资产多样化并且价值越来越高，涉及用户信息、员工信息、敏感文件、业务代码等，数字化带来数据的泄露面也更大，及早感知可能的数据泄漏风险越发重要。「对内：加强API安全建设」企业应当在“业务优先”的基础上，加强API安全建设，通过API安全管控平台，全面梳理对外开放的API、流动的敏感数据和访问账号，实现对敏感数据异常访问风险的及时监测。做到外部威胁情报监测与API资产安全结合，企业才能高效和有效地应对数据泄露风险，在数字化建设与创新发展的道路上，走得又快又稳。原标题：《2023年Q1数据泄露事件近1000起，涉及1204家企业、38个行业！》阅读原文特别声明本文为澎湃号作者或机构在澎湃新闻上传并发布，仅代表该作者或机构观点，不代表澎湃新闻的观点或立场，澎湃新闻仅提供信息发布平台。申请澎湃号请用电脑访问http://renzheng.thepaper.cn。+1收藏我要举报查看更多查看更多开始答题扫码下载澎湃新闻客户端Android版iPhone版iPad版关于澎湃加入澎湃联系我们广告合作法律声明隐私政策澎湃矩阵澎湃新闻微博澎湃新闻公众号澎湃新闻抖音号IP SHANGHAISIXTH TONE新闻报料报料热线: 021-962866报料邮箱: news@thepaper.cn沪ICP备14003370号沪公网安备31010602000299号互联网新闻信息服务许可证：31120170006增值电信业务经营许可证：沪B2-2017116© 2014-2024 上海东方报业有限公

2022年国内十大信息泄露事件

赤峰市人民政府

用户中心

部门网站导航

市发展和改革委员会

市教育局

市科学技术局

市工业和信息化局

市公安局

市民政局

市司法局

市财政局

市人力资源和社会保障局

市自然资源局

市生态环境局

市住房和城乡建设局

市交通运输局

市水利局

市农牧局

市商务局

市文化和旅游局

市卫生健康委员会

市退役军人事务局

市应急管理局

市审计局

市市场监督管理局

市统计局

市林业和草原局

市人民防空办公室

市乡村振兴局

市医保局

市信访局

市供销合作社

首页

局内要闻

全面依法治市

通知公告

三务公开

旗县动态

公共法律服务

党务工作

强制戒毒

举报投诉

联系我们

您当前的位置是:首页 > 专题专栏 > 网络安全宣传教育

2022年国内十大信息泄露事件

作者：

发布时间：2023-01-04 16:00

点击数：

近年来，数字化深入发展为社会、经济等带来更多便捷和机遇的同时，也带来了越来越严峻的网络安全风险。每当发生网络安全事件，尤其是大规模的数据泄露和违规事件，不仅会给相关单位机构造成巨大的财产损失和声誉下跌，更是危及到无数人的个人隐私和信息安全。个人信息尤其是隐私信息一旦泄露，很可能被不法分子所利用，如电信诈骗等，对个人财产安全构成极大威胁。以下，我们整理了2022年我国与数据相关的安全事件，供大家阅读参考，防患于未然。蔚来汽车用户信息遭窃，敲响新能源汽车行业数据安全警钟12月20日，蔚来汽车就用户数据遭窃取发表致歉声明，证实了此前其用户数据被泄露的传闻。声明显示，遭窃取数据为2021年8月之前的部分用户基本信息和车辆销售信息，在12月11日，蔚来曾收到外部邮件，以数据泄露勒索225万美元等额比特币。上海随申码数据泄露，4850万居民信息存在泄露风险8月消息，有人在某黑客论坛上发帖以 4000 美元拍卖上海随申码数据库，声称其中包含 4850 万用户的上海随申码数据，其中包含自随申码推行以来，居住或到访过上海的所有人的身份证、姓名及手机号。发帖者为证实数据真实性，公开了 47 组样本数据，可以看到其中包含了用户的手机号码、姓名、身份证号、随申码颜色、UUID 多项信息。学习通1.7亿条用户数据疑被泄露公安机关已介入调查6月21日，媒体报道大学生学习软件“超星学习通”的数据库信息被公开售卖，超1.7亿条信息疑遭泄露。当日下午，学习通回应经十余个小时排查，到目前为止还未发现明确的用户信息泄露证据。鉴于事情重大，已经向公安机关报案，公安机关已经介入调查。学习通表示不存储用户明文密码，采取单向加密存储，即使公司内部员工（包括程序员）也无法获得密码明文。平安人寿泄露4万条公民信息11月底，据公开的裁判文书显示，平安人寿六盘水中心支公司内部人员利用职务之便泄露客户信息被处罚，多名涉事人员判处有期徒刑。涉案的公民信息高达4万余条。香格里拉酒店遭黑客入侵 29万港人资料受影响香格里拉酒店集团于9月30日在官方站点发布信息安全事件公告，指旗下8间酒店的客人数据库在今年5月至7月被专业网络攻击者入侵。隐私专员公署得悉，有29万香港客户受影响，已就事件展开循规审查。“黑客”窃取10万条个人信息在境外论坛发帖出售10月，冰城警方成功破获一起非法窃取公民信息案，犯罪嫌疑人麻某供述，其为IT行业从业人员，利用某医疗机构微信公众号的系统漏洞，在今年4月至10月间，通过技术手段非法获取该计算机系统数据10万余条，而后在境外某黑客论坛发帖出售，截至落网前，已非法获利1500美元。西北工业大学遭美国安局攻击调查报告：窃取中国用户隐私数据9月5日，国家计算机病毒应急处理中心和360公司分别发布了关于西北工业大学遭受境外网络攻击的调查报告。调查报告显示，美国国家安全局持续对西北工业大学开展攻击窃密，窃取该校关键网络设备配置、网管数据、运维数据等核心技术数据。虚假冬奥知识竞赛平台致350余万学生信息遭泄露2月，江苏南通警方侦破一起假借冬奥知识传播活动为名实施诈骗的案件。李某辉伙同汤某峰等人在没有取得冬奥组委会授权的情况下，开发“冬奥知识竞赛平台”，非法获取全国大中专院校在校学生的个人信息350余万条，骗取部分参与者缴纳证书工本费总计1000万余元。国内40多家金融机构数据被窃，多家知名基金上榜据澎湃新闻8月报道，国内一“黑客”利用木马病毒非法控制逾2000台计算机，入侵40多家国内金融机构的内网交易数据库，非法获取交易指令和多条内幕信息，进行相关股票交易牟利，非法所得人民币183.57万元。某公司窃取2.1亿条简历数据，法院作出同类案件“最重”处罚2月份，北京某科技公司因爬虫窃密案被判处罚金人民币4000万元。该公司在未取得求职者和平台直接授权的情况下，秘密爬取国内主流招聘平台上的求职者简历数据，涉及2.1亿余条个人信息。专家建议数据安全专家认为：通过上述安全事件我们可以明显感知，数据安全所面临的形势愈加严峻，无论是有组织、成规模、体系化的专业攻击团体，或者是日益加剧的各类安全事件发生的频度和造成的危害程度，以及急剧增加的各级数据安全风险防护难度等。当前数据安全态势可知，各级组织数据化转型的战略规划与相对滞后的数据安全体系之间的不平衡，数据要素市场化、数据价值释放以及数据资产开放共享等多方面数据发展与数据安全要求之间的相对平衡，以及有组织犯罪团伙和国际政治对抗延申至网络空间的各类高科技水平的威胁攻击与现有数据安全防护体系的有限投入和建设现状之间的矛盾等，注定了数据安全事件高发的必然。未来将会在更加激烈的对抗攻击中寻求数据的发展，通过相对的数据安全支撑数据管理与应用体系。同时，从数据防护引发的法治事件尤其是个人信息保护相关事件可以看到，当数据被合理善意利用时能够造福社会、造福人民，但被恶意利用时却会对民众和社会公共利益造成威胁和损害。包括我国在内的全球各国政府、各行业监管当局、各级标准化组织都在加强完善关于数据安全和个人隐私信息保护的法律、政策、标准规范的建立制定和发布实施等工作，对从事数据运营的企业或组织在数据安全保护方面的责任和义务提出合规要求。数据安全与合规已成为基本红线。政府和监管当局一方而是为了责无旁贷地承担起保护公众个人隐私的责任和使命；另一方面也同时为了给本国经济和社会的数字化转型铺路，为数据相关产业的有序健康发展提供良好的法制基础和竞争环境。伴随国家层面对数据安全的重视，国家及行业涉及数据安全相关法律法规标准持续推出与完善，安全合规要求持续增加，监管力度不断加大，监管内容不断细化，面对众多的法律法规标准条文，需要围绕管理和技术要求进行解析，寻找合规途径，落实合规措施。数据安全要贯穿数据治理全过程深入分析各安全事件，可以发现相关机构与部门在数据治理层面，包括企业战略、企业文化、组织建设、业务流程、规章制度、技术工具等方面没有完全落实数据安全的目标和宗旨，没有采取合理和适当的措施，以最有效的方式保护信息资源。在中央全面深化改革委员会第二十六次会议上，审议通过了《关于构建数据基础制度更好发挥数据要素作用的意见》，明确了“要把安全贯穿数据治理全过程，守住安全底线，……” 因此构建数据安全保障体系应从认识论、方法论、综合技术能力、行业特点、最佳实践以及投入成本等多方面进行考量，平衡数字化业务发展与数据安全综合治理，坚持“安全贯穿发展”。使得数据保护贯穿数据全生命周期，在数据的获取、使用、传输到存储、归档、销毁各环节，都应设置相应的数据安全管理控制措施，各机构应在数据治理过程中，同步建立数据安全治理体系。

附件

【字体：小大】【收藏】

【打印】【关闭】

联系我们

主办：赤峰市司法局

联系电话：0476-8820388

蒙ICP备19002519号-1

蒙公网安备15040402000177号

网站标识码1504000049

地址：赤峰市松山区王府大街8号

泄露用户信息8种情形应认定为“造成严重后果”--IT--人民网

首页

党政

党网・时政

人事

反腐

理论

党史

党建

要闻

经济・科技

社会・法治

文旅・体育

健康・生活

国际

军事

港澳

台湾

教育

房产

科普

观点

人民网评

三评

人民财评

人民来论

人民访谈

互动

领导留言板

党建云

强国论坛

维权

可视化

视频

图片

图解

地方

京

津

冀

晋

蒙

辽

吉

黑

沪

苏

浙

皖

闽

赣

鲁

豫

鄂

湘

粤

桂

琼

渝

川

黔

滇

藏

陕

甘

青

宁

新

鹏

雄安

举报专区多语言

合作网站

毛主席纪念堂

周恩来纪念网

邓小平纪念网

人大新闻网

工会新闻网

中国侨联

学习强国

中共中央党史和文献研究院

中组部12380举报网

全国哲学社科工作办

中国统一战线新闻网

旗帜网

国家保密局

人事考试网

科普中国

知识产权

中国城市网

中国国家人文地理

退出

人民网+

中国共产党新闻网

领导留言板

强国论坛

人民视频

人民智云

人民日报报系

人民日报

人民日报海外版

中国汽车报

中国能源报

健康时报

证券时报

国际金融报网

讽刺与幽默

中国城市报

新闻战线

人民论坛

环球人物

中国经济周刊

民生周刊

国家人文历史

人民周刊

旗下网站

国家重点实验室

环球网

海外网

人民图片

人民视觉

人民网研究院

人民网>>IT

泄露用户信息8种情形应认定为“造成严重后果”

李万祥

2019年11月01日08:06 | 来源：经济日报

小字号

原标题：泄露用户信息8种情形应认定为“造成严重后果”

　　非法获取公民信息，会对公民的人身、财产安全以及生活安宁造成不同程度损害。公民应提高主动保护意识，一旦发现个人信息泄露要及时采取止损措施。

　　最近，“高中生窃取1亿条公民信息获利2万元”新闻刷屏，公民个人信息保护再获关注。

　　中国社会科学院大学互联网法治研究中心执行主任刘晓春指出，未经公民同意获取其个人信息属于违反法律，可以追究民法和行政法上的责任。法律责任中，最严格的是刑事责任，窃取或者以其他方法非法获取公民个人信息，向他人出售或者提供公民个人信息的，都构成侵犯公民个人信息罪。

　　北京市中闻律师事务所合伙人李亚律师说，窃取或者以其他非法方式获取、非法出售或者非法向他人提供个人信息，尚不构成犯罪的，由公安机关没收违法所得，并处违法所得1倍以上、10倍以下罚款，没有违法所得的，处100万元以下罚款。同时，非法获取公民个人信息行为达到一定情节，可能会构成侵犯公民个人信息罪。

　　我国司法解释明确，“公民个人信息”包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。李亚认为，在大数据交易中涉及公民个人信息的内容会涉及违法问题。打击网络黑市交易需要建立长效机制和协同机制，形成治理合力。

　　刘晓春分析，非法获取的公民信息，危害最大的是用于诈骗、身份盗用等“黑灰产”，也有用来营销的，如骚扰电话等，都会对公民的人身、财产安全以及生活安宁造成不同程度损害。网络黑市交易目前主要还是靠刑事制裁，除了传统手段外，还需要更多的大数据溯源和监控技术支持。

　　11月1日起施行的《最高人民法院、最高人民检察院关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》明确了相关标准认定。司法解释明确，拒不履行信息网络安全管理义务，致使用户信息泄露，具有“致使泄露行踪轨迹信息、通信内容、征信信息、财产信息五百条以上的”“致使泄露住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的用户信息五千条以上的”等8种情形，应当认定为刑法规定的“造成严重后果”。

　　专家提醒，公民保护个人信息，一方面是提高主动保护意识，一般不要轻信或轻易将个人信息和个人证件提供给无关人员，如有需要，要在身份证复印件主要信息位置上注明用途；慎用公共场所免费Wi-Fi，不要点击不明网址链接和安装来历不明的软件。另一方面，公民发现个人信息泄露时，应当及时采取止损措施，且定期修改账户密码等。如发生身份冒用，要注意保留相关证据，证明非本人行为。

(责编：赵超、孙红丽)

分享让更多人看到

两成网民遭遇个人信息泄露，如何整治数据安全“重灾区”？-新华网

新华网 > > 正文

2022 03/ 29 09:46:27

来源：央视新闻客户端

两成网民遭遇个人信息泄露，如何整治数据安全“重灾区”？

字体：

小

中

大

分享到：

两成网民遭遇个人信息泄露，如何整治数据安全“重灾区”？

2022-03-29 09:46:27

来源：

央视新闻客户端

　　中国信息通信研究院日前发布的《中国信息消费发展态势报告》显示，在消费群体方面，我国网民规模持续扩大突破十亿。《报告》同时也提示警惕数据安全、个人信息泄露等风险。个人信息保护法实施以来，甘肃、江苏等地公安机关就已破获多起侵犯公民个人信息犯罪的案件。

　　甘肃省灵台县公安局不久前刚刚打掉一个全链条网上购销公民个人信息的犯罪团伙。犯罪嫌疑人闫某某和胡某某利用经营店铺，骗取用户身份信息和手机号，非法注册各类网络账号，这些网络账号最终都落入“网上号商”的犯罪团伙手中。

　　警方发现这两名嫌疑人背后还隐藏着一个犯罪团伙。今年2月到3月，专案组转战重庆、四川、云南，抓获7名侵犯公民个人信息犯罪团伙成员。该团伙从2019年起组建微信群非法买卖公民个人信息，他们利用通信业务代理商身份，以赠送礼品、话费等方式为诱饵，骗取用户个人信息后注册各类网络账号，以每个账号3元至20元价格出售，非法获利近十万元。

　　江苏警方近日也破获一个贩卖公民个人信息的犯罪团伙。该团伙主要贩卖股民和学生的信息，他们把个人信息称作“料子”。“股民料子”包括炒股者姓名、手机号、交易所等信息；“学生料子”则包含家长姓名、电话、孩子就读学校等。“料子”还分手拨料子和AI料子。手拨料子通过人工拨打，确认过真实性和可靠性。AI料子则是嫌疑人通过软件随机生成的电话号码，没有其他身份信息。

　　经审查，从2018年至今，该团伙贩卖公民个人信息20余万条，获利20余万元。

　　中国互联网络信息中心《第49次中国互联网络发展状况统计报告》显示，截至2021年12月，有22.1%的网民遭遇个人信息泄露。公安机关提醒广大群众不要点击、使用来源不明的链接、网站、手机App，更不能将短信验证码提供给他人，严防信息泄露。

　　部分手机App后台监视用户

　　随着个人信息保护法的实施，加强个人信息保护，拒绝个人隐私在互联网上“裸奔”已经有法可依。但仍有不少用户觉得自己处在手机App的监视下。很多网友都有过这种经历，在网上看了某个物品或输入一个关键词，很快就会收到手机App推送的相关广告或信息。这是怎么回事呢？

　　在一家网络安全机构，技术人员用检测工具对两款手机浏览器收集用户信息行为进行了测试。技术人员复制了一个模拟的银行账号密码，尽管此时并没有使用浏览器，但检测工具却在浏览器调用的一段程序中发现了那个银行账号密码。

　　网络安全工程师吕石奎：这款App读取了我们复制的银行卡号和密码。它拿走的这个过程，实际是明文拿走，并没有做相关的加密处理。

　　技术人员接着又在手机上选择了测试用的电话号码和短信，并把浏览器转入后台运行，这两次操作的内容同样被浏览器读取，包括在电商平台上浏览的商品信息也被两款被测试浏览器完整记录。其中一款浏览器在进程被关闭的状态下，仍然能够记录用户行为。

　　建立“双清单” 保护公民个人信息

　　为了让用户清晰掌握手机App调用和索取个人信息的活动，工信部此前就提出要建立个人信息保护的“双清单” 。

　　专家指出，手机App在正常使用过程中会出现调用个人信息和索取权限的活动，不同手机App之间有时也需要共享位置、通讯录等敏感信息，这增加了个人信息保护的监管难度。为了让用户清晰掌握个人信息在手机App及第三方间共享的情况，工信部提出建立个人信息保护“双清单”，要求相关企业建立已收集个人信息清单和与第三方共享个人信息清单。

　　中国信息通信研究院泰尔终端实验室信息安全部主任宁华：要求企业在“二级菜单”中简洁、清晰列出“第三方共享个人信息清单”，包括与第三方共享的个人信息种类、使用目的、使用场景和共享方式等。

　　多措施整治违规收集使用个人信息等行为

　　为了治理App违规收集使用个人信息和欺骗诱导用户提供个人信息等问题，工信部委托中国信息通信研究院联合互联网、手机终端、电信运营商等产业链各环节成立App用户权益保护标准工作组，按照“知情同意”和“最小必要”原则组织制定了《App收集使用个人信息最小必要评估规范》《App用户权益保护测评规范》等标准，明确了检测要求和方法，为监管提供了更加明确的监管依据。

　　记者从工信部了解到，首批主要互联网企业已经在去年年底基本完成个人信息保护“双清单”的设置。在某款手机App上，用户点开菜单就可以查看这个App已经收集的用户个人信息种类、使用目的、使用场景以及与第三方共享的个人信息和共享方式等。手机终端企业也按照工信部要求开发了App权限最小化推荐等功能，主动对手机上的App过度索取权限行为做出规范和限制。

　　电信运营商则通过区块链技术的防窜改特性来追踪防范个人信息泄露风险。

　　电信运营商信息安全中心负责人温暖：我们会将操作日志的数据特征上区块链，确保它不能被窜改，同时再定期进行校验。如果日志一旦被窜改就说明存在问题。我们就会以风险的方式核查具体的事件。

　　据了解，工信部通过制定标准、技术检验、专项整治、行业自律等措施，大力整治违规收集使用个人信息等侵害用户权益行为。去年累计检测208万款App，通报1549款违规App，对514款拒不整改的App进行下架处理。（总台记者孙蓟潍唐志坚）

【纠错】

【责任编辑:张樵苏

】

阅读下一篇：

深度观察

雪域高原沧桑巨变高质量发展前程似锦

新华全媒头条

金融精准支持实体货币政策“主动应对”工具充足经济参考报 “锰三角”新观察：绿水青山与矿业转型该如何兼得新华每日电讯卖俗扮丑的“流量乞丐”为何屡禁不绝？新华视点减肥“神器”暴汗服：又让你交“智商税”？生活观察

融媒集萃

冲突持续制裁加码警惕“前所未有的粮食危机”

为什么把“坚持党的全面领导”放在首位？

美欧“老友记”？国社“0.07”戳真相

010020020110000000000000011105701128512108

网络个人信息泄露“暗箭难防”--IT--人民网

首页

党政

党网・时政

人事

反腐

理论

党史

党建

要闻

经济・科技

社会・法治

文旅・体育

健康・生活

国际

军事

港澳

台湾

教育

房产

科普

观点

人民网评

三评

人民财评

人民来论

人民访谈

互动

领导留言板

党建云

强国论坛

维权

可视化

视频

图片

图解

地方

京

津

冀

晋

蒙

辽

吉

黑

沪

苏

浙

皖

闽

赣

鲁

豫

鄂

湘

粤

桂

琼

渝

川

黔

滇

藏

陕

甘

青

宁

新

鹏

雄安

举报专区多语言

合作网站

毛主席纪念堂

周恩来纪念网

邓小平纪念网

人大新闻网

工会新闻网

中国侨联

学习强国

中共中央党史和文献研究院

中组部12380举报网

全国哲学社科工作办

中国统一战线新闻网

旗帜网

国家保密局

人事考试网

科普中国

知识产权

中国城市网

中国国家人文地理

退出

人民网+

中国共产党新闻网

领导留言板

强国论坛

人民视频

人民智云

人民日报报系

人民日报

人民日报海外版

中国汽车报

中国能源报

健康时报

证券时报

国际金融报网

讽刺与幽默

中国城市报

新闻战线

人民论坛

环球人物

中国经济周刊

民生周刊

国家人文历史

人民周刊

旗下网站

国家重点实验室

环球网

海外网

人民图片

人民视觉

人民网研究院

人民网>>IT

网络个人信息泄露“暗箭难防”

翟永冠宋瑞

2019年12月12日08:26 | 来源：经济参考报

小字号

原标题：网络个人信息泄露“暗箭难防”

　　在手机App中植入安全漏洞，再通过电脑端软件操作，只需几秒钟，工作人员便可控制“千里之外”的手机摄像头、扬声器进行偷拍、窃听，一场现实版“窃听风云”在2019年网络安全宣传周上的网络安全博览会互动体验专区中上演。

　　在NFC银行卡信息盗取演示项目中，工作人员当了一回“通天大盗”。当用户的银行卡贴近白色读取设备时，银行卡的卡片类型、卡号、持卡人姓名、身份证号和近期交易记录都会在屏幕中展现。

　　当个人信息网上“裸奔”，当生物识别“不再唯一”，我们的信息如何得到保护？

　　个人信息依旧在网上“裸奔”

　　互联网时代，网络上遗留的个人信息，如发表评论、网上求职、购物记录、填写测试问卷等，以及随意丢弃的纸质单据，如火车票、售后服务单、快递单、证件复印件等，都容易被不法分子搜集利用。部分不法分子还假借“促销”“中奖”“会员填表”等名义，诱使用户填写个人信息。

　　不仅如此，聊天记录、消费记录、出行住宿、行车线路等个人信息被各种服务类App掌握，过度索权、隐私条款不合规、强制授权、超范围收集个人信息等App违法违规收集使用个人信息问题依然突出。

　　为解决这一问题，今年1月25日，中央网信办、工信部、公安部、市场监管总局四部门联合发布《关于开展App违法违规收集使用个人信息专项治理的公告》，成立了App违法违规收集使用个人信息专项治理工作组。

　　据统计，我国境内应用商店数量已超过200家，上架应用近500万款，下载总量超过万亿次。中央网信办网络安全协调局相关负责人称，至今，针对App专项治理的举报平台已收到8000多条举报信息，其中实名举报占到近三分之一；将400余款下载量大、用户常用App纳入了评估，向100多家App运营企业发送了整改建议函。

　　个人信息与隐私泄露事件频发，与之相关的电信和网络犯罪行为也成为社会的一大顽疾。据《2018年网民网络安全感满意度调查报告》显示，过半网民认为在购物、社交聊天时，个人信息泄露风险更大；近四成网民认为手机App、搜索信息对个人信息保护不够安全。

　　公安部第一研究所专家表示，采集、存储和管理个人信息及隐私数据，并非相关企业开展互联网业务的必要前提，却成了个人信息犯罪难以遏止的“泛滥洪水”之源。

　　比如商家对收集来的用户信息进行大数据分析，画出用户画像，再进行精准网络营销，就可以给每个用户推荐特定新闻、购物和服务信息。还有一些公司，或者被动地被网络黑客攻击后泄露信息，或者主动地将用户信息加工后转卖，成为推销电话或短信、诈骗电话、垃圾邮件的“工作对象”。

　　其中，“呼死你”电话、“短信炸弹”等骚扰模式成为不少民众的困扰。据了解，截至2019年8月底，中国移动累计为约173万用户提供“呼死你”应急防护服务，共计拦截“呼死你”电话约19.7亿次，并累计为110余万用户提供“短信炸弹”应急防护服务，拦截“短信炸弹”骚扰信息2亿余条。

　　生物识别信息泄露“暗箭难防”

　　随着窃取个人信息手段的技术不断发展，个人生物识别信息逐渐成为信息泄露的新内容。

　　个人生物识别信息是指直接采集于人体，体现人的生理特征，与个人身份识别具有唯一对应性的个人信息，如指纹、虹膜、面部特征等。目前，该技术已被广泛运用到如居民身份证、手机、安全门禁、零售店支付以及银行等领域。

　　近日，网络安全专家称拍照比“剪刀手”可能泄露指纹，在网上引起热议。该消息称，基本上1.5米内拍摄的“剪刀手”照片能100%还原出被摄者的指纹，1.5米至3米内拍摄的照片能还原出50%的指纹，超过3米拍摄的照片才难以提取其中的指纹。

　　据了解，早在2015年，欧洲的黑客联盟“Chaos计算机俱乐部”就表示，只要使用“相机拍摄的标准照片”，就可以获得某人的指纹；2017年，日本一家研究所也表示，将强光集中在照片中人像的指纹，指纹数据就可以再现。

　　除指纹信息外，被拍摄者的虹膜信息也可能成为不法分子在照片中的提取对象。1985年，美国摄影家史蒂夫・麦凯瑞拍摄的一张“阿富汗少女”照登上《国家地理》杂志封面，十多年后，为了寻找当年的那个神秘少女，通过提取比对当时照片中阿富汗少女的虹膜信息，麦凯瑞竟成功找到了当事人。

　　北京理工大学光电学院副教授何玉青说，那是30多年前的相机拍摄的照片，已经能够清楚分离出虹膜信息了，以现在摄影器材的能力，想要获取某个人的虹膜信息并非难事。

　　无独有偶，近日，一则“小学生发现刷脸取件漏洞”的消息引发网民热议。有媒体报道，多位小学生通过打印取件人照片的方式，用照片“刷脸”就轻而易举地打开快递柜取件。

　　有媒体也对智能快递柜“刷脸取件”做了实验，结果发现：用照片，一秒钟时间识别成功，连续试了5次，其中4次成功打开，1次失败是因为照片没有拿稳。而后，把正脸自拍照换成偷拍的照片进行测试，快递柜又被打开了。

　　奇安信行业安全研究中心主任裴智勇说，仅就技术本身而言，生物识别具有防伪性能好、私密性强、随身“携带”等优点，是一种更安全的技术。但是所有的生物识别技术本质上与数字密码一样，具有可复制的特性，因此生物密码不适合单独使用。目前生物识别和身份认证商用产品方案不仅仅依赖于静态的指纹信息、人脸图像，还应附加活体检测技术、多因子认证技术或基于风控的隐式认证技术，来保证“我就是我”。

　　个人生物识别信息泄露后，还有可能被伪造甚至破解高级安全防护。奇安信集团副总裁何新飞说，人脸、指纹、声纹的伪造，比如，微信验证可以用声纹验证，如若通过录音来获取用户声音后，可以轻松打开微信。

　　为个人信息穿上“安全服”

　　个人信息泄露背后，是我国个人数据保护立法尚不完善。公安部第三研究所相关专家认为，2017年个人信息保护虽已写入《网络安全法》，个人数据保护力度大大提升，但仍存在立法分散、可操作性不强等问题。专家建议，需尽快推进专门的个人信息保护法规的制定和出台，为个人信息提供系统性、体系化的保护。

　　据《2019全国网民网络安全感满意度调查统计报告》显示，37.4%网民认为网络个人信息泄露非常多和比较多，58.75%的公众网民表示曾遇到个人信息被侵犯。

　　报告称，网民要求加强法治建设，个人信息保护和网络平台责任为亟待加强立法的内容，其中82.61%的网民要求对个人信息保护立法，对网络平台责任的立法要求是73.36%。

　　来自国家相关监管部门的专家说，要加强宣传教育和个人信息保护，切实维护公民在网络空间的合法权益。组织开展多种形式的宣传、教育和培训，提升全民网络安全意识和防护技能。同时规范企业和机构采集利用个人信息的行为，依法严厉打击利用个人信息进行违法犯罪活动，切实保障个人信息安全。

　　此外，媒体、学校或专业人士可以通过列举大量实例进行讲解，对日常生活中可能发生的信息泄露问题进行剖析，提醒大家做好个人信息保护。用户也有必要逐步提高自身安全意识。就提升App个人信息保护水平而言，专家建议，用户要选择正规渠道下载App，并重视手机隐私权限管理，及时关闭不必要的App权限。

　　中央网信办网络安全协调局的专家也表示，将从加强行业自律、推进标准先行、强化生态协同、加大宣传力度等几个方面，继续推进相关工作的展开。

　　在此基础上，专家表示，应做到技术手段与行政监管并重。“毕竟好的技术手段需要依托行政监管落地，行政制度也需要技术手段来做支撑。”

　　专家表示，个人信息泄露问题需要立法者和执法者共同寻求符合互联网发展规律的破解之道，同时也需要平台开发管理者规范行为、明示隐私条款，应用商店也要认真履行平台审核责任，用户个人提高安全意识，保护好个人信息。

(责编：易潇、夏晓伦)

分享让更多人看到

Follow

imtoken冷钱包下载地址|用户信息泄露

imtoken冷钱包下载地址|用户信息泄露

你的个人信息是如何泄露的？_新闻频道_央视网(cctv.com)

近几年网络隐私泄露的经典案例都有哪些？ - 知乎

隐查查 | 2022年国内外个人信息泄露大事件盘点 - 知乎

近12亿电商用户信息被泄露：平台该担何责？_腾讯新闻

个人信息遭泄露，如何维权_中华人民共和国最高人民检察院

2023年第一季度数据泄露事件近1000起，涉及1204家企业、38个行业_澎湃号·湃客_澎湃新闻-The Paper

2022年国内十大信息泄露事件

泄露用户信息8种情形应认定为“造成严重后果”--IT--人民网

两成网民遭遇个人信息泄露，如何整治数据安全“重灾区”？-新华网

网络个人信息泄露“暗箭难防”--IT--人民网

最近的新闻

您可能喜欢的文章

bitpie下载地址|硬盘挖矿

imtoken钱包下载ios版|原味吧

如何将TP钱包提现到欧易？

TP钱包显示获取代币列表失败：原因与解决方法

TP钱包代币提交后多久会显示？

比特币钱包取消同步：简单易懂的解决方案

数字货币短线牛人，成为数字货币交易中的佼佼