央視近日報道，河北邯鄲警方破獲一起非法竊取個人信息案件。某快遞企業(yè)多名員工為賺取額外收入，將所在公司的個人賬號租給不法分子，不法分子通過非法登錄快遞企業(yè)內(nèi)部系統(tǒng)獲取客戶個人信息，又將這些信息轉(zhuǎn)賣給境外詐騙分子實施精準詐騙。
據(jù)報道，犯罪嫌疑人呂某以每天租金500元的高價先后租來五個快遞公司員工的登錄賬號，從快遞公司系統(tǒng)內(nèi)竊取公民個人信息，并把竊取來的公民信息打包賣給境外詐騙團伙。
這是一起很典型的“內(nèi)鬼”泄露個人信息行為，暴露出快遞行業(yè)一系列內(nèi)控風險。
近年來，快遞公司泄露信息事件
2020年一項統(tǒng)計顯示，全國共有近14萬家快遞企業(yè)，從業(yè)人數(shù)超過1000萬人，2020年全國快遞服務企業(yè)業(yè)務量累計完成833.6億件。
快遞業(yè)的繁榮，與在線的購物模式密切相關(guān)，電商、新零售、直播等一系列新業(yè)態(tài)讓消費者足不出戶便可輕松購買到理想的商品?？爝f企業(yè)作為鏈接商戶與消費者的重要渠道，也掌握了大量的用戶信息?？爝f信息包含個人姓名、電話、住址等個人信息，一旦泄露，很容易被不法分子用于電信網(wǎng)絡詐騙等違法犯罪行為。
這不是快遞行業(yè)第一次被曝出內(nèi)部人泄露信息。
2020年11月，某通速遞被曝有5名“內(nèi)鬼”有償租借員工賬號，導致超過40萬條公民個人信息被泄露。這些信息被倒賣團伙打包賣給從事電信網(wǎng)絡詐騙的下游犯罪團伙，每條信息單價約為1元。
2018年4月，湖北荊州中級人民法院曾宣判過一起涉及公民信息泄露案件。某快遞員非法獲取包含順豐快遞單號、面單(即包含順豐快遞單號、地址、電話號碼的圖片)中公民的個人信息，進行“販賣”，涉及交易金額達到200多萬元。
2018年1月，上海嘉定警方破獲一起侵犯公民信息案，一名某快遞的快遞員收集近萬張包含姓名、地址和手機號碼的快遞底單，以150元的價格賣給一家健身房的推銷人員。
2016年8月26日，一名在湖南某速遞公司工作的員工在深圳南山區(qū)人民法院受審，被指控侵犯公民個人信息罪，將公司系統(tǒng)的賬號密碼出售他人獲利3.8萬元，導致大量個人信息泄露。
2016年8月，南昌市公安局經(jīng)開分局公布了一起侵犯公民個人信息案，某知名快遞公司出現(xiàn)“內(nèi)鬼”，客戶信息2元一條被賤賣，14000余條個人信息被泄漏。這些個人信息包含收發(fā)貨人的聯(lián)系方式、地址、是否已掃描等詳細內(nèi)容。
快遞行業(yè)頻繁泄露用戶信息的原因
快遞業(yè)成為用戶個人信息泄露重災區(qū)，除了個別快遞員見利忘義，企業(yè)管理不善、缺乏有效內(nèi)控風險手段也是重要原因。
首先，有利可圖讓“內(nèi)鬼”鋌而走險。由于快遞行業(yè)競爭激烈，很多快遞員、加盟商通過“正行”快遞業(yè)務獲利有限，出售快遞單信息能讓個別快遞從業(yè)者收益瞬間翻倍。
其次，缺乏有效的內(nèi)控手段。雖然保護用戶信息的手段不斷增加，但是更多面向外部泄露，對于企業(yè)內(nèi)部人員的管控機制和措施比較缺乏，由此導致內(nèi)部人員很輕松就能夠復制、下載、盜取大量隱私信息。
最后，管理不善。如果說出一兩個“內(nèi)鬼”可以歸咎于個人見利忘義、職業(yè)道德缺失，那么一個行業(yè)頻出“內(nèi)鬼”，就顯然是企業(yè)的管理制度出了問題。因此，快遞企業(yè)需要制度上有效地防泄露、防竊取、防篡改、防非法使用，用切實可行的制度嚴防“內(nèi)鬼”。
管理與內(nèi)控，保障個人快遞信息安全
近年來，監(jiān)管部門和一些快遞企業(yè)陸續(xù)推出很多保護用戶信息的措施。2018年發(fā)布的《快遞暫行條例》規(guī)定，快遞企業(yè)應妥善保管用戶信息等電子數(shù)據(jù)，定期銷毀快遞運單?？爝f企業(yè)研發(fā)出隱去寄收件人全名、部分電話號碼等關(guān)鍵信息的“隱私面單”等。
然而堡壘最容易從內(nèi)部攻破，如果公司內(nèi)部系統(tǒng)可以隨意登錄查詢，一覽無余，這樣做無異于“關(guān)前門，開后門”，給“內(nèi)鬼”里外勾結(jié)可趁之機。為了實現(xiàn)對個人信息的保護，快遞企業(yè)還需要提升內(nèi)部管理水平，建立一套有效的內(nèi)部風險風控體系。
制定嚴格的管理制度，增加違法成本
首先，快遞企業(yè)需要加強內(nèi)部人員素質(zhì)準入考核，增強員工職業(yè)榮譽感，強調(diào)守土有責是一份鄭重的承諾，要勇于肩負主體責任。比如，建立嚴格的制度，如在勞動合同中與員工約定泄露個人信息的違約責任，對快遞企業(yè)保護個人信息做出具體要求，包括責任追究等。
其次，快遞企業(yè)的營業(yè)網(wǎng)點(無論是自營還是加盟)要實行日?？爝f信息的同步規(guī)范化管理，賞罰分明，一視同仁。
最后，快遞企業(yè)定期舉行隱私保護、法律法規(guī)、判罰案例的培訓教育，增強人員的法律意識和紅線意識，讓“內(nèi)鬼”在進行違法犯罪行為之前就能夠意識到其中的違法違規(guī)成本，從而震懾此類行為的發(fā)生。
根據(jù)《刑法》第253條規(guī)定，違反國家有關(guān)規(guī)定，向他人出售或者提供公民個人信息，情節(jié)嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金;情節(jié)特別嚴重的，處三年以上七年以下有期徒刑，并處罰金?！蹲罡呷嗣穹ㄔ?、最高人民檢察院關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》特別強調(diào)，“將在履行職責或者提供服務過程中獲得的公民個人信息出售或者提供給他人，數(shù)量或者數(shù)額”，只要達到規(guī)定標準一半以上，就可以認定為“情節(jié)嚴重”，“入罪門檻”明顯降低。
建立內(nèi)部風控體系，用技術(shù)防范信息泄密
首先，在內(nèi)部建設基于人員行為的內(nèi)部零信任安全風控體系。通過設備制指紋、智能端安全、Dinsight風控引擎等技術(shù)，實現(xiàn)查詢設備與賬號、業(yè)務、環(huán)境的唯一性準入和實時核驗，及時預警、發(fā)現(xiàn)并攔截異常、可疑、未授權(quán)的操作。并搭建信息的多級管理體系，聽過權(quán)限的劃定，實現(xiàn)對任何涉及到用戶信息的錄入、查詢、調(diào)用等行為均可實現(xiàn)記錄與追溯。
其次，建立嚴格內(nèi)部管理制度。推動數(shù)據(jù)防竊密、防篡改、防泄露等安全技術(shù)的部署，對企業(yè)內(nèi)部系統(tǒng)網(wǎng)絡的關(guān)鍵節(jié)點做好防護工作。除“隱私面單”等手段外，還可以增加一些其他保護手段。比如，快遞完成投遞后，寄收件人信息自動加密;除了用戶投訴等情況外，一般不得進行查詢等等。
最后，構(gòu)建專屬的風險模型?；陧斚箨P(guān)聯(lián)網(wǎng)絡平臺、Xintell智能模型平臺等人工智能技術(shù)，快遞企業(yè)可以建設內(nèi)控風險模型，模擬、預測并預警內(nèi)部可能發(fā)生的信息泄露風險或其他業(yè)務隱患，以提前應對或消除各類內(nèi)部風險，將信息泄露扼殺在萌芽狀態(tài)，進一步保障用戶信息安全。
信息安全不僅與每個用戶相關(guān)，更事關(guān)國家安全與經(jīng)濟社會發(fā)展，需要快遞公司、監(jiān)管機構(gòu)、科技企業(yè)一起努力，營造一個健康、安全、有保障的信息應用環(huán)境。
本文已標注來源和出處，版權(quán)歸原作者所有，如有侵權(quán)，請聯(lián)系我們刪除。
