記者調查發(fā)現(xiàn)，存在網(wǎng)上商戶、外賣騎手出售外賣訂單客戶個人信息的；專家表示，防范信息泄露應“多管齊下”

4月14日，陳景紅提供了5000條外賣用戶的個人信息，包括酒店等公共場所。文件截圖

4月14日，陳景紅共發(fā)送姓名、電話、地址等信息表5000份。手機截圖

外賣騎手李德發(fā)送的用戶訂單。手機截圖

“騷擾電話太多了，讓人很不舒服?！?市民許昕反映，因在外賣平臺點外賣，酒店地址、房間號、聯(lián)系電話等隱私信息被泄露。而許昕的信息，這只是記者獲得的數(shù)千條外賣訂單信息之一。

用戶每次點外賣，就意味著上傳自己的信息。但是這些私人信息是否足夠安全？近日，新京報記者臥底多個“電話銷售”群京宏軟件下載，發(fā)現(xiàn)有專門售賣外賣顧客信息的賣家。包括電話名稱和訂購地址，每條信息的售價不到一毛錢。還有網(wǎng)絡運營公司利用軟件收集用戶的訂單信息，打包后轉售給電話營銷公司，甚至一些外賣騎手開始了倒賣客戶信息的“生意”。

記者在網(wǎng)上隨機調查發(fā)現(xiàn)，在部分QQ群中，有人在售賣餓了么、百度外賣、美團等外賣平臺的客戶信息。

在線訂餐平臺美團的一位客服人員表示，美團內(nèi)部的信息管理非常嚴格，但用戶點餐信息涉及商家、騎手等多個環(huán)節(jié)，不能排除其他因素可能導致信息泄露。 .

有專家表示，商業(yè)企業(yè)應完善信息管理機制，及時更新信息保護方式，建立深度保護機制。

10000條信息售價800元

“今天的數(shù)據(jù)更新了，各種數(shù)據(jù)賣了好久。” 4月14日下午4點，陳景紅在QQ上推送了一條消息。系統(tǒng)顯示，這個QQ有200多個好友。陳景紅說，大部分都是從他那里購買“數(shù)據(jù)”的客戶。

陳景紅所說的“數(shù)據(jù)”是公民的私人信息，包括電話號碼和地址。

新京報記者聯(lián)系到“電話銷售組”的陳景紅。聊天中，陳景洪透露，自己有來自北京、上海、廣州等一線城市和外賣平臺的客戶數(shù)據(jù)。1萬片的售價為800元，5000片的起步價“平均每片不到一毛錢”。

陳景紅隨后發(fā)了一張截圖，上面顯示了姓名、聯(lián)系方式和地址等大量信息。陳景紅表示，數(shù)據(jù)都是“最近三天”，但無法提取具體的訂單日期。

當記者要求看“資料”時，陳景紅發(fā)來了一個微信群的二維碼。掃碼后，是一個只有記者和他的微信群。陳景洪留言：“15分鐘內(nèi)整理好資料發(fā)給你。”

不到15分鐘京宏軟件下載，陳景洪就通過QQ給記者發(fā)來了一份包含5000條信息的Excel電子表格。和截圖一樣，表格包括姓名、電話、性別和地址，但沒有訂單日期。包括朝陽、密云等區(qū)，涉及北京16個區(qū)的數(shù)據(jù)。

記者從表中隨機抽取100個電話號碼進行核實。其中，有61個有效號碼，33位業(yè)主確認表格中的信息準確無誤，并確認過去一兩個月曾在外賣平臺訂餐?！笆堑模@是地址?！?地址顯示為CBD公寓的楊女士，在聽到記者報道的地址后表示，她前一天晚上在外賣平臺的一家燒烤店點了餐。

據(jù)記者粗略統(tǒng)計，這5000人中有一部分來自賓館、酒店、商場等公共場所。

地址顯示為房山區(qū)一家五星級酒店房間的周女士回憶，4月13日入住酒店時，她曾使用外賣平臺點餐，但記不起訂單內(nèi)容和具體業(yè)務。” 超額預訂。”

記者隨后再次聯(lián)系陳景紅，??詢問為什么會有無效號碼。陳景紅表示，“部分數(shù)據(jù)可能已經(jīng)被替換”。每次詢問數(shù)據(jù)來源，對方都會刻意回避。經(jīng)過反復追問，陳景紅最終表示，“數(shù)據(jù)由系統(tǒng)內(nèi)部人員提取，每天更新約4萬條記錄”。

陳景洪透露，這些數(shù)據(jù)每天中午更新一次，“到了晚上肯定會售罄”。

事實上，賣外賣顧客信息的不止陳景紅一人。記者臥底多個電話營銷組發(fā)現(xiàn)，至少有3名賣家都聲稱有外賣的客戶數(shù)據(jù)。該賣家在QQ上昵稱“彩虹”，聲稱擁有全國數(shù)據(jù)，每萬件售價600元，其中除了用戶姓名和電話地址外，還包括訂單信息。

新京報記者發(fā)現(xiàn)，部分賣家自稱有美團、餓了么、百度外賣的客戶信息，每萬件的價格從700元到2000元不等。

軟件自動“抓取”客戶信息

除了這些作為賣家直接銷售信息之外，一個更隱秘的獲取外賣客戶信息的渠道已經(jīng)浮出水面。新京報記者發(fā)現(xiàn)，一些經(jīng)營外賣店的網(wǎng)絡公司也在售賣信息。

秦華是一家網(wǎng)絡運營公司的工作人員，平時負責幫忙開（經(jīng)營）外賣店。他還表示，可以想辦法獲取成都某外賣平臺的客戶信息。

為什么只在成都？秦華表示，他在其他城市沒有代他經(jīng)營的外賣店，這些數(shù)據(jù)是從代經(jīng)營的店里用軟件爬取的。

“姓名、性別、電話號碼、地址、點單次數(shù)都有，但我得查具體數(shù)字才能知道。” 秦華說道。他給出的報價比之前的賣家貴好幾倍，每件5美分。秦華接著解釋說，準確率是可以保證的，也就這兩天而已。

4月20日，秦華發(fā)了一張電腦截圖，顯示總共有2605條消息，然后又發(fā)了一張截圖，消息數(shù)變成了2609條。“剛才還有四位顧客點餐，這個數(shù)字隨時會上升?！鼻厝A說?！白詈笠粋€號碼是禮物?！?/p>

大約半小時后，記者看到了這份2609條信息的清單，范圍更廣。關鍵詞搜索結果顯示，酒店地址83個，網(wǎng)吧47個，醫(yī)院29個，會所1個。

記者隨機抽取酒店打來的54個電話發(fā)現(xiàn)，除30個因關機或無人接聽而聯(lián)系不上、3個不匹配外，有21個業(yè)主確認近期使用該地址下單外賣平臺上的食物。

其中，記者在與酒店居民王先生確認信息時，故意給出不完整的地址，但隨即被對方更正補充。王先生給出的地址就是信息列表中的地址。

這份信息列表中還有16個網(wǎng)吧的地址，很多地址甚至精確到某個網(wǎng)吧的座位號。記者一一核實發(fā)現(xiàn)，除了4名無法連接的業(yè)主外，其余12名業(yè)主均表示確實使用該地址點餐。

“一般來說，門店運營都會購買這些信息，轉化率非常高?！?秦華說，他是通過把自己的軟件掛在一些外賣平臺的后臺，然后爬出來得到這個信息的?！翱赡苷也坏较到y(tǒng)”。

“如果是商業(yè)信息就更好了，在全國任何地方，我都能一夜之間為你搞到一個城市的所有商業(yè)信息，包括店主姓名、店名、地址、手機號碼?！?秦華說道。

記者詢問是否會被平臺系統(tǒng)監(jiān)控。秦華表示無法監(jiān)控?！斑@件事情不用讓企業(yè)知道，只要有電腦，在家就能操作?！?/p>

秦華隨后給記者發(fā)了一張軟件的監(jiān)控截圖。從截圖列表中可以看到用戶的姓名、電話號碼、注冊日期、近期消費、儲值余額等信息?！?800元可以用一年?！?秦華說著，卻拒絕透露軟件的名字。

外賣騎手“賣”單

新京報記者調查發(fā)現(xiàn)，還有“數(shù)據(jù)”賣家發(fā)了兩張武漢和北京外賣員信息的截圖，詢問是否需要。新京報記者在后續(xù)調查中發(fā)現(xiàn)，作為外賣用戶信息的終端接觸者，包括部分外賣騎手在內(nèi)的部分送餐司機也在利用用戶信息牟利。

4月18日，記者通過電話找到快遞員李德，詢問是否可以出售用戶的訂單信息。對方說可以，只是價格略高，一塊一塊。

“這個信息可以保證是同一天，訂單上的所有信息都可以給你，包括點了哪頓飯，點了哪頓飯?！?李德說。

談好價格后，立德立即向記者發(fā)送了4月18日35位客戶的訂單信息。該信息分為兩種，一種是騎手APP截圖，另一種是打印的紙質收據(jù)。

次日，李德主動詢問記者是否還需要訂單信息，又發(fā)了34份外賣訂單。其中一份訂單顯示，朝陽區(qū)某小區(qū)三期的張女士曾在沙拉店點餐，訂單包括三文魚卷等四種餐食。張女士向記者證實，該訂單確實是她下令的。

記者先后核實了20條訂單信息。除了3位車主無法確認外，其他車主均表示訂單信息屬實。

外賣信息泄露爭議不斷

“我通常會接到一些銷售電話和廣告短信，我認為我的信息已經(jīng)被泄露得夠厲害了，我對此無能為力，要換手機并不容易?！?市民許昕告訴記者，因為點了一次外賣，所以就住在自己住的地方。酒店地址、房間號碼和聯(lián)系電話等私人信息成為“公開的秘密”。

新京報記者梳理發(fā)現(xiàn)，不少外賣平臺用戶都有過信息泄露的經(jīng)歷，甚至引發(fā)爭議。

據(jù)媒體報道，去年12月，柴先生通過“餓了么”外賣平臺點了一份外賣，共計31.8元。大約10分鐘后，一位自稱是商人的人聯(lián)系柴先生，說他點的黑胡椒豬排賣完了，需要補差價兩塊錢換菜。“信息很準確，我的訂單信息和商家賣的什么飯菜一模一樣?！?柴先生說。然后對方讓柴先生報了支付寶號碼，以收取兩元的差額。柴先生報完號碼后，發(fā)現(xiàn)對方給自己轉賬了近2000元。商家說柴先生的飯沒有賣完，打電話給他的也不是店里的工作人員。柴先生懷疑自己的訂單信息被泄露。

此外，今年3月，哈爾濱的李先生在點外賣后，經(jīng)常接到陌生人打來的電話，詢問如何找到“小姐”?？鄲赖睦钕壬K于發(fā)現(xiàn)自己的電話號碼被外賣騎手泄露，并稱其為“上門小姐”。

一位網(wǎng)友在“時光行旅”網(wǎng)站上也發(fā)文稱，他為男友訂了美團外賣后，被陌生人加到微信中。對方知道他的名字和完整地址，但他不認識他。經(jīng)過數(shù)次追問，對方承認該信息是一位送外賣的朋友提供的，目的是幫助他擺脫訂單。

新京報記者就信息泄露事件撥打了美團客服電話。一位客服人員表示，美團內(nèi)部對信息的管理非常嚴格，不會泄露用戶的隱私。但是，用戶訂單信息涉及多個環(huán)節(jié)。商家和騎手都會有用戶信息，不包括送錯餐、訂單單據(jù)丟失等干擾因素。

個人信息仍處于“危險期”

網(wǎng)絡安全專家、白帽交易所創(chuàng)始人趙武表示，信息泄露事件不斷，但尚未出臺相應的技術安全規(guī)范和要求，公民個人信息仍處于“危險期”。

對于外賣平臺涉嫌泄露客戶隱私的問題，趙武分析稱外賣平臺程序可能存在漏洞。例如，API（應用程序接口）未經(jīng)認證，網(wǎng)絡入侵者可以根據(jù)訂單序列號抓取用戶信息。歷史上類似的案例很多，比如一些招聘網(wǎng)站的簡歷大規(guī)模泄露。

第二種可能是與商家合作的第三方泄露信息。例如，一些商家會進行積分、返利、優(yōu)惠券等活動，這些活動一般由第三方公司進行。他們會在活動中收集用戶信息，而且他們的數(shù)據(jù)保護沒有平臺那么嚴格，所以很容易被入侵。“之前12306網(wǎng)站的信息泄露就是這種情況?！?趙武說道。

趙武介紹，我國《網(wǎng)絡安全法》去年6月正式實施，總體指導要求已經(jīng)明確，但尚未出臺相應的具體技術安全規(guī)范，尤其是對商業(yè)企業(yè)的信息監(jiān)管沒有非常具體的要求。

如何防止信息泄露，趙武表示，一方面，國家應盡快出臺網(wǎng)絡安全保護的具體規(guī)定，并嚴格立法要求企業(yè)對安全事件負責，尤其是涉及隱私的數(shù)據(jù)泄露。 ，必須有懲罰和賠償機制，不允許企業(yè)增加類似于霸王免責聲明的“黑客攻擊造成的數(shù)據(jù)泄露不承擔責任”。同時，嚴格控制企業(yè)方對數(shù)據(jù)的使用，一旦發(fā)生事故，就會受到處罰。

另一方面，商業(yè)企業(yè)應及時更新信息保護方式，建立深度保護機制。在做數(shù)據(jù)分析和使用的時候，可以先把客戶的敏感信息隱藏起來，換成虛擬ID；然后通過加密的方式對他們的私人信息進行加密。做好二級保護。

此外，趙武表示，商業(yè)公司還應該完善信息管理機制，“比如技術加密的算法是什么，什么樣的人可以訪問用戶數(shù)據(jù)，建立詳細的技術標準和規(guī)范?！?/p>

廣東眾安律師事務所合伙人、深圳仲裁委員會仲裁員潘翔介紹，《刑法修正案》（七）制定了侵犯公民個人信息罪的立法，規(guī)定國家機關或者財政、電信、交通、教育、醫(yī)療等單位工作人員，違反國家規(guī)定，出售或者非法提供本單位在履行職責或者為他人提供服務過程中獲取的公民個人信息的，情節(jié)嚴重的，處三年以下有期徒刑或者拘役，可以并處并處罰金。竊取或者以其他方式非法獲取上述信息的，情節(jié)嚴重的，依照前款的規(guī)定處罰。

此外，《網(wǎng)絡安全法》還明確，網(wǎng)絡運營者應當采取技術措施等必要措施，保障其收集的個人信息的安全，防止信息泄露、毀損、丟失。個人信息發(fā)生或可能發(fā)生泄露、毀損、丟失時，應立即采取補救措施，并及時告知用戶，并按規(guī)定向有關主管部門報告。（新京報調查記者）

（許昕、陳景洪、秦華、李德為文中化名）