生物識別“不再唯一” 網絡個人信息泄露“暗箭難防”

在手機App中植入安全漏洞，再通過電腦端軟件操作，只需幾秒鐘，工作人員便可控制“千里之外”的手機攝像頭、揚聲器進行偷拍、竊聽，一場現實版“竊聽風雲”在2019年網絡安全宣傳週上的網絡安全博覽會互動體驗專區中上演。

在NFC銀行卡信息盜取演示項目中，工作人員當了一回“通天大盜”。當用户的銀行卡貼近白色讀取設備時，銀行卡的卡片類型、卡號、持卡人姓名、身份證號和近期交易記錄都會在屏幕中展現。

當個人信息網上“裸奔”，當生物識別“不再唯一”，我們的信息如何得到保護？

個人信息依舊在網上“裸奔”

互聯網時代，網絡上遺留的個人信息，如發表評論、網上求職、購物記錄、填寫測試問卷等，以及隨意丟棄的紙質單據，如火車票、售後服務單、快遞單、證件複印件等，都容易被不法分子蒐集利用。部分不法分子還假借“促銷”“中獎”“會員填表”等名義，誘使用户填寫個人信息。

不僅如此，聊天記錄、消費記錄、出行住宿、行車線路等個人信息被各種服務類App掌握，過度索權、隱私條款不合規、強制授權、超範圍收集個人信息等App違法違規收集使用個人信息問題依然突出。

為解決這一問題，今年1月25日，中央網信辦、工信部、公安部、市場監管總局四部門聯合發佈《關於開展App違法違規收集使用個人信息專項治理的公告》，成立了App違法違規收集使用個人信息專項治理工作組。

據統計，我國境內應用商店數量已超過200家，上架應用近500萬款，下載總量超過萬億次。中央網信辦網絡安全協調局相關負責人稱，至今，針對App專項治理的舉報平台已收到8000多條舉報信息，其中實名舉報佔到近三分之一；將400餘款下載量大、用户常用App納入了評估，向100多家App運營企業發送了整改建議函。

個人信息與隱私泄露事件頻發，與之相關的電信和網絡犯罪行為也成為社會的一大頑疾。據《2018年網民網絡安全感滿意度調查報告》顯示，過半網民認為在購物、社交聊天時，個人信息泄露風險更大；近四成網民認為手機App、搜索信息對個人信息保護不夠安全。

公安部第一研究所專家表示，採集、存儲和管理個人信息及隱私數據，並非相關企業開展互聯網業務的必要前提，卻成了個人信息犯罪難以遏止的“氾濫洪水”之源。

比如商家對收集來的用户信息進行大數據分析，畫出用户畫像，再進行精準網絡營銷，就可以給每個用户推薦特定新聞、購物和服務信息。還有一些公司，或者被動地被網絡黑客攻擊後泄露信息，或者主動地將用户信息加工後轉賣，成為推銷電話或短信、詐騙電話、垃圾郵件的“工作對象”。

其中，“呼死你”電話、“短信炸彈”等騷擾模式成為不少民眾的困擾。據瞭解，截至2019年8月底，中國移動累計為約173萬用户提供“呼死你”應急防護服務，共計攔截“呼死你”電話約19.7億次，並累計為110餘萬用户提供“短信炸彈”應急防護服務，攔截“短信炸彈”騷擾信息2億餘條。

生物識別信息泄露“暗箭難防”

隨着竊取個人信息手段的技術不斷發展，個人生物識別信息逐漸成為信息泄露的新內容。

個人生物識別信息是指直接採集於人體，體現人的生理特徵，與個人身份識別具有唯一對應性的個人信息，如指紋、虹膜、面部特徵等。目前， 該技術已被廣泛運用到如居民身份證、手機、安全門禁、零售店支付以及銀行等領域。

近日，網絡安全專家稱拍照比“剪刀手”可能泄露指紋，在網上引起熱議。該消息稱，基本上1.5米內拍攝的“剪刀手”照片能100%還原出被攝者的指紋，1.5米至3米內拍攝的照片能還原出50%的指紋，超過3米拍攝的照片才難以提取其中的指紋。

據瞭解，早在2015年，歐洲的黑客聯盟“Chaos計算機俱樂部”就表示，只要使用“相機拍攝的標準照片”，就可以獲得某人的指紋；2017年，日本一家研究所也表示，將強光集中在照片中人像的指紋，指紋數據就可以再現。

除指紋信息外，被拍攝者的虹膜信息也可能成為不法分子在照片中的提取對象。1985年，美國攝影家史蒂夫⋅麥凱瑞拍攝的一張“阿富汗少女”照登上《國家地理》雜誌封面，十多年後，為了尋找當年的那個神秘少女，通過提取比對當時照片中阿富汗少女的虹膜信息，麥凱瑞竟成功找到了當事人。

北京理工大學光電學院副教授何玉青説，那是30多年前的相機拍攝的照片，已經能夠清楚分離出虹膜信息了，以現在攝影器材的能力，想要獲取某個人的虹膜信息並非難事。

無獨有偶，近日，一則“小學生髮現刷臉取件漏洞”的消息引發網民熱議。有媒體報道，多位小學生通過打印取件人照片的方式，用照片“刷臉”就輕而易舉地打開快遞櫃取件。

有媒體也對智能快遞櫃“刷臉取件”做了實驗，結果發現：用照片，一秒鐘時間識別成功，連續試了5次，其中4次成功打開，1次失敗是因為照片沒有拿穩。而後，把正臉自拍照換成偷拍的照片進行測試，快遞櫃又被打開了。

奇安信行業安全研究中心主任裴智勇説，僅就技術本身而言，生物識別具有防偽性能好、私密性強、隨身“攜帶”等優點，是一種更安全的技術。但是所有的生物識別技術本質上與數字密碼一樣，具有可複製的特性，因此生物密碼不適合單獨使用。目前生物識別和身份認證商用產品方案不僅僅依賴於靜態的指紋信息、人臉圖像，還應附加活體檢測技術、多因子認證技術或基於風控的隱式認證技術，來保證“我就是我”。

個人生物識別信息泄露後，還有可能被偽造甚至破解高級安全防護。奇安信集團副總裁何新飛説，人臉、指紋、聲紋的偽造，比如，微信驗證可以用聲紋驗證，如若通過錄音來獲取用户聲音後，可以輕鬆打開微信。

為個人信息穿上“安全服”

個人信息泄露背後，是我國個人數據保護立法尚不完善。公安部第三研究所相關專家認為，2017年個人信息保護雖已寫入《網絡安全法》，個人數據保護力度大大提升，但仍存在立法分散、可操作性不強等問題。專家建議，需儘快推進專門的個人信息保護法規的制定和出台，為個人信息提供系統性、體系化的保護。

據《2019全國網民網絡安全感滿意度調查統計報告》顯示，37.4%網民認為網絡個人信息泄露非常多和比較多，58.75%的公眾網民表示曾遇到個人信息被侵犯。

報告稱，網民要求加強法治建設，個人信息保護和網絡平台責任為亟待加強立法的內容，其中82.61%的網民要求對個人信息保護立法，對網絡平台責任的立法要求是73.36%。

來自國家相關監管部門的專家説，要加強宣傳教育和個人信息保護，切實維護公民在網絡空間的合法權益。組織開展多種形式的宣傳、教育和培訓，提升全民網絡安全意識和防護技能。同時規範企業和機構採集利用個人信息的行為，依法嚴厲打擊利用個人信息進行違法犯罪活動，切實保障個人信息安全。

此外，媒體、學校或專業人士可以通過列舉大量實例進行講解，對日常生活中可能發生的信息泄露問題進行剖析，提醒大家做好個人信息保護。用户也有必要逐步提高自身安全意識。就提升App個人信息保護水平而言，專家建議，用户要選擇正規渠道下載App，並重視手機隱私權限管理，及時關閉不必要的App權限。

中央網信辦網絡安全協調局的專家也表示，將從加強行業自律、推進標準先行、強化生態協同、加大宣傳力度等幾個方面，繼續推進相關工作的展開。

在此基礎上，專家表示，應做到技術手段與行政監管並重。“畢竟好的技術手段需要依託行政監管落地，行政制度也需要技術手段來做支撐。”

專家表示，個人信息泄露問題需要立法者和執法者共同尋求符合互聯網發展規律的破解之道，同時也需要平台開發管理者規範行為、明示隱私條款，應用商店也要認真履行平台審核責任，用户個人提高安全意識，保護好個人信息。（記者 翟永冠 宋瑞 天津報道）