起底信息黑產(chǎn)

聶歐

信息黑產(chǎn)嚴(yán)重阻礙了我國(guó)征信行業(yè)乃至整個(gè)社會(huì)信用體系的健康、可持續(xù)發(fā)展，對(duì)信息隱私、資金安全和民生穩(wěn)定等帶來(lái)了諸多風(fēng)險(xiǎn)。

過(guò)去一年來(lái)，我國(guó)互聯(lián)網(wǎng)欺詐案件大幅增多，涉案金額屢創(chuàng)新高。近日更有公開數(shù)據(jù)顯示，僅去年下半年的互聯(lián)網(wǎng)欺詐案件數(shù)量就相比上半年激增17%，其中互聯(lián)網(wǎng)金融詐騙案件的增速明顯高于其他領(lǐng)域。

其背后的產(chǎn)業(yè)和技術(shù)支撐，很大程度上來(lái)自于日漸猖獗的黑色信息產(chǎn)業(yè)鏈。由于我國(guó)以大數(shù)據(jù)技術(shù)來(lái)識(shí)別和跟蹤“壞人”的機(jī)制、體制不健全，個(gè)人信息保護(hù)相關(guān)的法律、法規(guī)體系空白，滋養(yǎng)出一批涉嫌非法盜取、使用和販賣居民個(gè)人信息的“害群之馬”，嚴(yán)重阻礙了我國(guó)征信行業(yè)乃至整個(gè)社會(huì)信用體系的健康、可持續(xù)發(fā)展，對(duì)信息隱私、資金安全和民生穩(wěn)定等帶來(lái)了諸多風(fēng)險(xiǎn)。

目前，我國(guó)共有約3000家從事征信業(yè)務(wù)或類征信業(yè)務(wù)的機(jī)構(gòu)，主要以買賣居民個(gè)人信息尤其金融數(shù)據(jù)為主，缺乏正規(guī)征信產(chǎn)品設(shè)計(jì)。一部分?jǐn)?shù)據(jù)公司直接從黑市購(gòu)買個(gè)人數(shù)據(jù)，極端者則雇傭黑客在同業(yè)機(jī)構(gòu)內(nèi)部盜取數(shù)據(jù)。

其問(wèn)題根源，是隨著互聯(lián)網(wǎng)技術(shù)高速發(fā)展，我國(guó)征信行業(yè)從以人民銀行征信系統(tǒng)為核心的傳統(tǒng)模式，快速轉(zhuǎn)變?yōu)橐曰ヂ?lián)網(wǎng)金融征信為生力軍的全新格局，居民個(gè)人信息泄露及濫用、金融信息盜竊引發(fā)互聯(lián)網(wǎng)欺詐風(fēng)險(xiǎn)、部委信息孤島式割裂、信息產(chǎn)業(yè)鏈黑市牟取暴利等諸多“劣幣驅(qū)逐良幣”的現(xiàn)象，正逐步集聚風(fēng)險(xiǎn)。

專家建議，應(yīng)盡快建立健全征信行業(yè)法律體系，有針對(duì)性地提升相關(guān)部門監(jiān)管手段和技術(shù)水平，實(shí)施“穿透式監(jiān)管”，對(duì)持牌征信機(jī)構(gòu)進(jìn)一步規(guī)范和支持，建立行業(yè)和機(jī)構(gòu)內(nèi)部的自律機(jī)制，充分利用市場(chǎng)化手段，防止我國(guó)征信行業(yè)泡沫進(jìn)一步發(fā)酵，全維度遏制風(fēng)險(xiǎn)，并切實(shí)保護(hù)人民群眾個(gè)人隱私安全。

信息黑產(chǎn)迅猛發(fā)展

《財(cái)經(jīng)國(guó)家周刊》記者在北京、上海、杭州等地調(diào)研后發(fā)現(xiàn)，我國(guó)信息產(chǎn)業(yè)尤其互聯(lián)網(wǎng)征信領(lǐng)域，目前主要存在以下四方面問(wèn)題：

首先，黑客、黑產(chǎn)、黑市盜取和買賣數(shù)據(jù)猖獗。

這些從事征信業(yè)務(wù)或類征信業(yè)務(wù)的機(jī)構(gòu)，主要以買賣居民個(gè)人信息尤其金融數(shù)據(jù)為主，缺乏正規(guī)征信產(chǎn)品設(shè)計(jì)。一部分?jǐn)?shù)據(jù)公司直接從黑市購(gòu)買個(gè)人數(shù)據(jù)，極端者則雇傭黑客在同業(yè)機(jī)構(gòu)內(nèi)部盜取數(shù)據(jù)。例如，居民身份證、學(xué)歷學(xué)位、聯(lián)系住址、婚姻狀況等基礎(chǔ)信息在黑市上每人每條價(jià)位在1-7元不等，產(chǎn)業(yè)鏈上距離一手?jǐn)?shù)據(jù)源越近，售賣價(jià)格也越低。

《財(cái)經(jīng)國(guó)家周刊》記者調(diào)研發(fā)現(xiàn)，少數(shù)機(jī)構(gòu)每年通過(guò)數(shù)據(jù)黑產(chǎn)倒賣信息，資金流水達(dá)數(shù)億元，調(diào)研中一家2015年成立的數(shù)據(jù)公司僅擁有高管團(tuán)隊(duì)3人和業(yè)務(wù)員2人，目前已獲得境外C輪融資，估值高達(dá)30億美元。

第二，居民個(gè)人信息存在泄露和濫用風(fēng)險(xiǎn)。

目前，由于缺乏統(tǒng)一數(shù)據(jù)標(biāo)準(zhǔn)，信用數(shù)據(jù)采集和使用尚無(wú)明確法律規(guī)定，信息采集可能超出限制范圍?！墩餍艠I(yè)管理?xiàng)l例》規(guī)定“禁止征信機(jī)構(gòu)采集個(gè)人的宗教信仰、基因、血型和病史等個(gè)人信息；在未明確告知不良后果并取得書面同意前，不得采集個(gè)人的收入、存款、有價(jià)證券、不動(dòng)產(chǎn)等信息”。但互聯(lián)網(wǎng)平臺(tái)上存在大量隱私信息，且與大數(shù)據(jù)機(jī)構(gòu)存在數(shù)據(jù)共享，很難避免對(duì)禁止或限制類信息的采集。另外，個(gè)人信息的商業(yè)價(jià)值不斷凸顯，不少機(jī)構(gòu)通過(guò)網(wǎng)絡(luò)平臺(tái)從房產(chǎn)、金融、保險(xiǎn)等渠道獲取信息，亦有機(jī)構(gòu)本身從事客戶信息出售、轉(zhuǎn)售的行為，未經(jīng)授權(quán)的數(shù)據(jù)買賣加重了信息泄露和濫用風(fēng)險(xiǎn)。

第三，“劣幣驅(qū)逐良幣”現(xiàn)象嚴(yán)重。

我國(guó)各類數(shù)據(jù)和征信機(jī)構(gòu)，在監(jiān)管層備案的僅三類：一是政府背景下的信用信息服務(wù)機(jī)構(gòu)共20多家，包括人民銀行征信中心、上海資信等；二是社會(huì)征信機(jī)構(gòu)約100家，包含企業(yè)征信和人民銀行擬發(fā)牌照的8家個(gè)人征信機(jī)構(gòu)；第三類是評(píng)級(jí)公司70多家。其中，正規(guī)持牌和擬持牌機(jī)構(gòu)僅約200家，即整個(gè)行業(yè)的非持牌或非法機(jī)構(gòu)占比高達(dá)90%以上。

從美國(guó)經(jīng)驗(yàn)看，其征信體系也經(jīng)歷了野蠻生長(zhǎng)與整合階段：1960年代末美國(guó)征信公司曾一度多達(dá)2200家，如今已減少到約400家，其中艾可飛、益百利和全聯(lián)三大巨頭占據(jù)了90%的市場(chǎng)份額。

第四，缺乏全面、專業(yè)的法律體系。

一方面，發(fā)達(dá)國(guó)家征信法律體系通常由多部法律法規(guī)組成，例如美國(guó)就多達(dá)17部。目前，我國(guó)唯一的專業(yè)征信法規(guī)是由國(guó)務(wù)院頒發(fā)實(shí)施的《征信業(yè)管理?xiàng)l例》，一定程度上規(guī)范了行業(yè)發(fā)展但法律約束力低于全國(guó)人大批準(zhǔn)通過(guò)的法律，難以全面有效地對(duì)征信機(jī)構(gòu)和征信業(yè)務(wù)實(shí)施管理。

另一方面，我國(guó)尚未出臺(tái)專門的信息保護(hù)法，但征信與互聯(lián)網(wǎng)、金融、電子商務(wù)等日漸融合，對(duì)信息、數(shù)據(jù)的采集范圍更為廣泛，行業(yè)發(fā)展缺少高層次法律支撐。在信息主體權(quán)益保護(hù)方面，除《憲法》和《民法通則》提供了寬泛的基本原則外，征信機(jī)構(gòu)在采集、使用、提供和披露信息時(shí)缺乏直接的法律依據(jù)，面臨較大行為風(fēng)險(xiǎn)。

緣何有機(jī)可乘

《財(cái)經(jīng)國(guó)家周刊》記者在調(diào)研中發(fā)現(xiàn)，前述諸多現(xiàn)象的存在，還與主體和正規(guī)渠道覆蓋面不足及監(jiān)管的落后有著極大的關(guān)系。

首要一點(diǎn)，便是人民銀行征信系統(tǒng)獲取非銀行數(shù)據(jù)不足。

截至 2016年9月，人民銀行征信系統(tǒng)收錄的自然人數(shù)量超過(guò)9 億，但擁有信貸記錄的僅4.1億人，不足全國(guó)總?cè)丝?/3；企業(yè)數(shù)量1828萬(wàn)家，僅420萬(wàn)戶有信貸記錄且主要是大型國(guó)有企業(yè)。大量用戶金融需求被排除在外。

該系統(tǒng)數(shù)據(jù)中除信貸數(shù)據(jù)外，還包括社保、公積金、民事裁決與執(zhí)行、公共事業(yè)和行政獎(jiǎng)勵(lì)、處罰等非銀行數(shù)據(jù)信息，但存在信息來(lái)源積極性不高、數(shù)據(jù)更新不及時(shí)、共享不順暢等問(wèn)題，使得人民銀行無(wú)法及時(shí)、準(zhǔn)確獲取被征信主體的非銀行信息。

其次，政務(wù)征信“信息孤島”，也給了非法機(jī)構(gòu)可乘之機(jī)。

從人民銀行征信系統(tǒng)看，其征信報(bào)告中水、電、燃?xì)狻㈦娫捹M(fèi)等信用信息并未完全納入，眾多信息割裂在法院、教育、電信運(yùn)營(yíng)商、信貸機(jī)構(gòu)等手中，使得這一核心征信系統(tǒng)的效率受到影響。

從國(guó)家部委層面看，由于缺乏統(tǒng)一的數(shù)據(jù)歸集、協(xié)調(diào)機(jī)制，大量信用信息分散和封閉于各職能部門，條塊分割、孤立現(xiàn)象明顯。并且，我國(guó)缺乏統(tǒng)一的信息技術(shù)標(biāo)準(zhǔn)，各部門、行業(yè)和地方政府均按照各自標(biāo)準(zhǔn)建設(shè)征信系統(tǒng)且缺乏公開共享，阻礙信息的跨行業(yè)、跨區(qū)域共享。

從行業(yè)和市場(chǎng)層面看，商業(yè)征信機(jī)構(gòu)尚未實(shí)現(xiàn)與相關(guān)部門和行業(yè)間的信息共享。各種數(shù)據(jù)的格式、質(zhì)量參差不齊，加大了機(jī)構(gòu)建立完整數(shù)據(jù)庫(kù)的難度。目前除人民銀行外，其他機(jī)構(gòu)都礙于各種屏障，難以積累足夠的數(shù)據(jù)。

更進(jìn)一步的是，技術(shù)進(jìn)步對(duì)監(jiān)管提出了全新的要求。

互聯(lián)網(wǎng)征信著力于對(duì)虛擬化信息數(shù)據(jù)的采集、整合，傳統(tǒng)現(xiàn)場(chǎng)監(jiān)管檢查手段不再適用此類場(chǎng)景，而非現(xiàn)場(chǎng)監(jiān)管手段又缺乏實(shí)效性和連續(xù)性，難以達(dá)到預(yù)期效果。因此，升級(jí)優(yōu)化監(jiān)管措施，以應(yīng)對(duì)發(fā)展變革中的征信方式，并切實(shí)保護(hù)被征信主體隱私信息，是監(jiān)管層面臨的兩大挑戰(zhàn)。

健全法律和監(jiān)管體系

有關(guān)專家表示，打擊信息黑產(chǎn)，首要措施就是建立和完善法律體系，跟上行業(yè)發(fā)展步伐。

一是在法律層面，出臺(tái)“社會(huì)信用促進(jìn)法”和“個(gè)人信息保護(hù)法”，從國(guó)家立法角度對(duì)社會(huì)信用進(jìn)行規(guī)范。

二是在行政法規(guī)層面，研究制定“信息安全條例”和“政務(wù)信用信息管理?xiàng)l例”，加強(qiáng)信息安全管理，規(guī)范信用信息公開和應(yīng)用。

三是在部門規(guī)章層面，制定關(guān)于征信服務(wù)行為規(guī)范、征信標(biāo)準(zhǔn)等規(guī)章，抓緊出臺(tái)相關(guān)政策，完善其范圍和權(quán)利義務(wù)。

四是地方性法規(guī)，各地方可借鑒發(fā)展較快的大城市經(jīng)驗(yàn)來(lái)因地制宜，據(jù)實(shí)際需要制定地方性法規(guī)。

五是根據(jù)互聯(lián)網(wǎng)金融背景下征信市場(chǎng)的發(fā)展和變化，加強(qiáng)對(duì)新型征信業(yè)務(wù)模式的規(guī)范管理。

除法律體系建設(shè)外，多位受訪人士還從監(jiān)管體制等方面給出了建議。

以人民銀行征信系統(tǒng)為核心，進(jìn)一步充實(shí)、完善金融征信系統(tǒng)的信用信息。建立包括證券、保險(xiǎn)以及外匯等信息的金融業(yè)統(tǒng)一征信平臺(tái)，提高金融信用信息加工處理技術(shù)，為金融監(jiān)管部門和金融市場(chǎng)交易者提供有價(jià)值的參考依據(jù)。

建設(shè)政務(wù)征信領(lǐng)域的信用信息共享交換平臺(tái)。推進(jìn)職能部門間統(tǒng)一的信用信息目錄建設(shè)、標(biāo)準(zhǔn)建設(shè)以及歸集與共享的考核辦法。

監(jiān)管職責(zé)上，要加強(qiáng)部門聯(lián)動(dòng)協(xié)調(diào)。人民銀行及其派出機(jī)構(gòu)嚴(yán)格依法履行對(duì)征信業(yè)的監(jiān)管職責(zé)。加強(qiáng)與行業(yè)、地方主管部門的協(xié)調(diào)配合，完善征信監(jiān)管機(jī)制，不允許有從事征信業(yè)務(wù)的機(jī)構(gòu)游離于監(jiān)管之外，打擊借“征信”名義非法采集信用信息的行為。

目前，我國(guó)征信業(yè)處于由傳統(tǒng)征信向互聯(lián)網(wǎng)征信的過(guò)渡期。監(jiān)管部門須創(chuàng)新出適用于互聯(lián)網(wǎng)場(chǎng)景化的監(jiān)管手段，同時(shí)加強(qiáng)部門間的協(xié)調(diào)，建立有效的聯(lián)合監(jiān)管模式，對(duì)各類征信機(jī)構(gòu)尤其是涉足互聯(lián)網(wǎng)征信的民營(yíng)征信機(jī)構(gòu)進(jìn)行有效管理。嚴(yán)厲查處涉嫌提供虛假信息、侵犯?jìng)€(gè)人隱私和商業(yè)秘密等行為的征信機(jī)構(gòu)，切實(shí)維護(hù)各類信息主體的合法權(quán)益，為征信市場(chǎng)的規(guī)范、健康發(fā)展?fàn)I造良好的外部環(huán)境。

機(jī)構(gòu)自律上，要肅清外部環(huán)境，補(bǔ)足內(nèi)部自律機(jī)制。

外部環(huán)境上，嚴(yán)把機(jī)構(gòu)及其從業(yè)人員的市場(chǎng)準(zhǔn)入關(guān)，禁止存在嚴(yán)重違約記錄的企業(yè)法人和股東申請(qǐng)成立新的征信企業(yè)；依法加強(qiáng)信息安全監(jiān)管，嚴(yán)格落實(shí)國(guó)家信息安全等級(jí)保護(hù)要求，大力發(fā)展電子簽名、身份認(rèn)證、訪問(wèn)控制等安全服務(wù)，保障重要信息系統(tǒng)和信用信息安全；嚴(yán)厲查處涉嫌提供虛假信息、侵犯?jìng)€(gè)人隱私和商業(yè)秘密等行為的征信機(jī)構(gòu)，切實(shí)維護(hù)各類信息主體的合法權(quán)益。

內(nèi)部自控上，適時(shí)建立征信機(jī)構(gòu)自律機(jī)制。借鑒英美等國(guó)，加強(qiáng)行業(yè)自律對(duì)互聯(lián)網(wǎng)金融良性競(jìng)爭(zhēng)、規(guī)范運(yùn)營(yíng)和保護(hù)消費(fèi)者權(quán)益的促進(jìn)作用，組建征信業(yè)行業(yè)協(xié)會(huì)并設(shè)立分會(huì)，規(guī)范征信機(jī)構(gòu)經(jīng)營(yíng)行為，規(guī)避執(zhí)業(yè)人員的技術(shù)風(fēng)險(xiǎn)、道德風(fēng)險(xiǎn)，確保征信機(jī)構(gòu)之間的有序競(jìng)爭(zhēng)，促進(jìn)征信業(yè)規(guī)范有序發(fā)展。

標(biāo)準(zhǔn)統(tǒng)一上，要建立全國(guó)統(tǒng)一的信用信息采集和分類管理標(biāo)準(zhǔn)。

將相對(duì)成熟領(lǐng)域的征信標(biāo)準(zhǔn)上升為國(guó)家標(biāo)準(zhǔn)；建立空白領(lǐng)域的統(tǒng)一標(biāo)準(zhǔn)，并要求相關(guān)部門和行業(yè)以國(guó)家標(biāo)準(zhǔn)為準(zhǔn)則開展工作，為依法實(shí)現(xiàn)跨部門、跨行業(yè)的信息交流與共享提供技術(shù)保障。同時(shí)，關(guān)注互聯(lián)網(wǎng)征信技術(shù)發(fā)展趨勢(shì)，對(duì)標(biāo)準(zhǔn)進(jìn)行動(dòng)態(tài)維護(hù)和擴(kuò)展，加強(qiáng)信息采集的真實(shí)性、適用性以及與行業(yè)的協(xié)調(diào)性和有效性。