快遞業(yè)泄露個人信息調(diào)查：“內(nèi)鬼”批量調(diào)取，網(wǎng)點直接拍運單

　　圓通快遞“內(nèi)鬼”涉泄露40萬條快遞客戶信息，在快遞業(yè)或許只是冰山一角。

　　澎湃新聞連日調(diào)查發(fā)現(xiàn)，快遞用戶遭信息泄露現(xiàn)象涉及的不止圓通一家，網(wǎng)上存在販賣快遞用戶信息的“黑產(chǎn)”鏈條，可能涉及申通、德邦、EMS(郵政速遞)、韻達(dá)等多家快遞公司。

　　在販賣快遞信息鏈條上，不僅有專門從事這一行的“號販子”，參與者還有做代購的商家、為商家發(fā)貨的快遞網(wǎng)點工作人員，甚至包括快遞員、自稱管理單號的工作人員等快遞公司“內(nèi)鬼”。大量包含快遞客戶姓名、住址、電話的信息被打包在網(wǎng)上出售，每條售價從0.8元至10元不等，有的可一次性出售上萬條，甚至可以提供特定地區(qū)的快遞用戶信息。

　　還有人自稱在郵政系統(tǒng)上班，管“調(diào)單號”，可大量調(diào)取當(dāng)天快遞中的信息，“每天幾千個沒有問題”。其販賣的信息中，有的是在快遞員在攬件后不到2小時即被盜取。

　　記者根據(jù)多份公開資料發(fā)現(xiàn)，這些遭販賣的快遞信息最終多流向從事詐騙活動的犯罪分子手中，為其從事詐騙活動提供信息支持。

　　北京市安理律師事務(wù)所高級合伙人、律師王新銳就此分析，個人信息被泄露的用戶有權(quán)要求收集其個人信息的快遞公司刪除其個人信息，若因個人信息泄露受到損害，可向法院提起訴訟請求損害賠償。

　　代購、網(wǎng)點、“內(nèi)鬼”，信息漏洞無處不在

　　因為疫情原因，QQ用戶“邵莊”的國際代購生意不好做。他轉(zhuǎn)而做起了出售用戶快遞信息的“生意”：在網(wǎng)上發(fā)布帖子，將原先的用戶快遞信息打包出售，八毛錢一條。

　　11月17日下午，試探一番后，“邵莊”以210元的價格向記者提供了261條快遞信息。這些信息被“邵莊”從工作郵箱“扒”出來整理在文檔中，姓名、聯(lián)系方式、地址對應(yīng)列了三列。“邵莊”見記者有意，隨后又詢問能否“吃下”上萬條的單子，他自稱手里最少有1.2萬條快遞信息可出售。

　　很快，他發(fā)來第二批1287條快遞信息，自稱是手中資源的十分之一。同樣，這些來自全國各地的快遞信息包含姓名、電話及可能精確到房間號的地址。“邵莊”稱，這些信息是此前客戶在他這下單后所留，真實可查。

　　為驗證真實性，記者隨機(jī)撥通了其中一位來自山東淄博的畢女士電話，發(fā)現(xiàn)表格中所列信息完全準(zhǔn)確。畢女士回憶，她此前的確找過人在國外買東西，沒想到信息會遭到泄露。另一位快遞信息遭泄露的顧女士在跟記者核對信息顯示無誤后，也感到很詫異。

　　從下單開始，商家、電商平臺、快遞公司、快遞員等物流各環(huán)節(jié)的人員掌握著用戶的快遞信息，信息泄露的源頭往往也是來自這些方面。

　　給商家代發(fā)快遞的網(wǎng)點工作人員也可以利用便利將快遞信息整理打包，出售獲利。

　　昵稱“主持淺言”的QQ用戶稱，自己專為在京東、淘寶、拼多多等平臺的“刷單”商家發(fā)“小禮品”快遞，涉及申通、圓通、韻達(dá)等。雖然干這一行不久，但也積攢了幾千條“刷單”用戶快遞信息。“沒有規(guī)定如何處理，都是發(fā)貨后放在后臺。”其稱。

　　記者支付85元購買了121條用戶快遞信息，這些用戶均曾在電商平臺“刷單”。其中一名用戶趙女士向記者表示，自己此前在拼多多“刷單”，列表上的信息顯示無誤。

　　各類“號販子”也活躍在互聯(lián)網(wǎng)的各個社群角落，尋覓著合適的客戶。

　　一名微信昵稱為“專業(yè)底單制作”的“號販子”告訴記者，他手頭掌握著大量快遞用戶單號，可通過快遞公司內(nèi)部人員查詢單號對應(yīng)的快遞信息，每一條用戶信息10元。“我得給快遞公司‘內(nèi)部人’錢。”見記者還價，他解釋，自己的單號真實可查，不是“刷單”的那些“空包，假物流”，那些只有單號，沒有其他信息。

　　為證明自己的“資源質(zhì)優(yōu)”，他稱，自己的快遞信息都配運單號且可以根據(jù)需要“定制”查，“要哪個城市，哪家快遞，我給你找”。

　　記者支付100元購買了上海市的10條快遞訂單。“專業(yè)底單制作”很快以圖片形式發(fā)來了10條收貨地址為上海的“德邦快遞”信息，包含快遞單號、收貨地址、收件人、聯(lián)系方式等要素。

　　記者撥通電話核對信息后，收件人蔡女士對個人信息已然泄露充滿擔(dān)憂。

　　該“號販子”稱，只要客戶想要資源，自己就能找到市面上常見的快遞公司訂單信息。“搞這個風(fēng)險也很大的，現(xiàn)在一些‘內(nèi)部人’不敢接活，但總有‘不怕死’的在。”其稱。

　　記者以關(guān)鍵詞“出售快遞單”檢索發(fā)現(xiàn)，在百度貼吧、QQ、豆瓣等平臺有多個“收售”快遞信息的網(wǎng)帖，幾乎每一條網(wǎng)帖下都有其他用戶留言稱想要“資源”，部分用戶選擇留下聯(lián)系方式，或直接私信。在百度貼吧，部分網(wǎng)帖直接發(fā)在“快遞員吧、圓通快遞吧、圓通吧、快遞吧、客服吧”等關(guān)聯(lián)性強(qiáng)的社區(qū)。

　　偷拍運單，批量調(diào)取，“內(nèi)鬼”稱每天千條信息唾手可得

　　在引起關(guān)注的“圓通速遞40萬條快遞用戶信息泄露”事件中，快遞公司的“內(nèi)鬼”充當(dāng)了信息竊取者的角色。

　　11月17日，圓通速遞稱“疑似有加盟網(wǎng)點個別員工與外部不法分子勾結(jié)，利用員工賬號和第三方非法工具竊取運單信息，導(dǎo)致信息外泄。”但圓通的回應(yīng)未明確指出“內(nèi)鬼”外泄快遞用戶信息的規(guī)模及販賣金額等情況。

　　其實，圓通泄露用戶信息并非首次。有媒體報道稱，2013年10月，近百萬條圓通快遞單個人信息網(wǎng)上可購，單號數(shù)據(jù)24小時滾動刷新；2018年7月至2019年5月間，有人利用爬蟲軟件從圓通公司網(wǎng)站非法竊取公司快遞信息并獲利100萬元。

　　今年11月4日，河北邯鄲市永年區(qū)警方曾發(fā)布一篇文章，披露了另一起快遞公司“內(nèi)鬼”案：今年8月，該局接到邯鄲一快遞公司報警，調(diào)查發(fā)現(xiàn)快遞公司內(nèi)部有人泄露了內(nèi)部系統(tǒng)查詢登錄賬號，將賬號信息以每天400至500元出租給邢臺沙河市一男子張某。張某伙同高某多次發(fā)布購買、租用快遞查詢系統(tǒng)賬號的信息，并以每天1000元的價格將得到的賬號信息販賣給河南籍男子馬某。

　　記者進(jìn)一步調(diào)查發(fā)現(xiàn)，除了圓通，市面上其他快遞公司也存在“內(nèi)鬼”參與販賣快遞用戶信息的現(xiàn)象。

　　在申通快遞江西宜春市袁州區(qū)的一個快遞網(wǎng)點，張?zhí)O(化名)負(fù)責(zé)派送轄區(qū)內(nèi)的包裹。根據(jù)他的說法，每天派送的包裹數(shù)量在300件左右，此外派送系統(tǒng)中還可以留存一個月的快件數(shù)據(jù)。

　　11月17日晚上10點，按照每條1.5元的價格，記者向其購買到11月17日的100條快遞信息。張?zhí)O通過拍照的形式將網(wǎng)點100個包裹運單發(fā)給記者，其中同時包含收件人和寄件人兩方信息，部分更是直接注明包裹內(nèi)的貨品是什么。

　　自稱在申通快遞工作，昵稱為“初冬天微冷”的QQ用戶稱，可根據(jù)需要指定搜尋特定地區(qū)的快遞用戶信息。18日下午，記者以每條3元的價格，向其購買了來自江蘇南通、浙江杭州、江蘇蘇州指定的三個地區(qū)90個申通快遞用戶信息。

　　其中來自蘇州的申通快遞用戶吳先生向記者表示，11月16日自己的確有一個申通快遞寄出，但收件方還沒收到。另一位來自杭州的申通快遞用戶方女士稱，自己前幾天有一個來自安徽的快遞包裹，不過在18日下午選擇拒收，她也不清楚短短幾天信息在哪個環(huán)節(jié)被泄露。

　　一名昵稱為“-”的QQ用戶向記者表示，自己在郵政系統(tǒng)上班，管“調(diào)單號”，可大量調(diào)取快遞用戶信息，“我這邊很安全，每天幾千個是沒有問題的”。他稱，前期每天可交易一百條，過幾天熟了可以買多點。不過，要買“貨”需要提前說，他也只能下午6點后傳來，“白天同事都在，人太多”。

　　11月18日下午6點25分，記者以每條1.5元的價格向其購買了100條郵政用戶信息，均顯示都從湖北孝感市孝南區(qū)發(fā)出。“-”稱，這些數(shù)據(jù)是他和同事在電腦前調(diào)出來，是當(dāng)天的快遞，可以查詢單號驗證。記者隨機(jī)輸入其中5個單號，顯示這些快遞均在18日下午4點56分左右被郵政的快遞員攬件。這意味著，快遞員在攬件后不到2小時，快遞收件用戶的信息就已經(jīng)被外泄。

　　11月19日下午，“-”再次將1600條快遞用戶信息發(fā)給記者。查詢郵政單號發(fā)現(xiàn)，這些快遞訂單也均在18日下午發(fā)出。

　　除了澎湃新聞記者調(diào)查的情況，快遞公司“內(nèi)鬼”外泄用戶信息的細(xì)節(jié)，此前也屢屢出現(xiàn)在警方公告、法院公開文書中。

　　2018年5月，湖北荊州中級人民法院曾宣判過一起涉及公民信息泄露案件。該案件以順豐員工為信息泄露主體，快遞代理商、文化公司，還有無業(yè)者、詐騙犯罪分子等多方參與，利用微信、QQ等軟件平臺，出售、提供、非法獲取包含順豐快遞單號、面單等的公民個人信息，進(jìn)行“販賣”。法院判決書中公布了對19人的判決結(jié)果，其中順豐員工有11人。

　　該案查獲疑被泄露的公民個人信息千萬余條，涉及交易金額達(dá)到200多萬元，同時查獲一個涉及全國20多個省市的非法買賣公民個人信息網(wǎng)絡(luò)群。

　　推銷假保健品、謊稱訂單出問題，泄露的信息成詐騙“魚料”

　　在調(diào)查中，記者還發(fā)現(xiàn)，除了有人“賣”快遞信息，也有人專門高價“收”信息。

　　QQ昵稱為“閔”的用戶聯(lián)系記者，稱需要大量收購如“桂龍藥膏、蟻黃通絡(luò)膠囊”這類保健品的快遞用戶信息，自稱用來做電話回訪，推銷他們的產(chǎn)品。當(dāng)問及是否會從事“詐騙”這類違法活動時，對方予以否認(rèn)。

　　記者梳理多份公開文書資料、警方公告、媒體報道發(fā)現(xiàn)，快遞用戶信息被外泄販賣后，會流入詐騙分子手中，為其從事詐騙活動提供信息支持。

　　在前述邯鄲市永年區(qū)警方披露的案件中，快遞企業(yè)的系統(tǒng)賬號被販賣至“詐騙分子”手中用于查詢公民個人信息。荊州中院宣判的順豐“內(nèi)鬼”販賣快遞用戶信息案中，據(jù)荊州市公安局查明，一條完整的快遞單號信息最高可賣到10元，在抓獲的犯罪嫌疑人中，已經(jīng)發(fā)現(xiàn)部分人員存在實施電信詐騙的行為，“他們通過推銷偽劣保健品、銷售假冒收藏品或者以回收藏品等方式進(jìn)行詐騙。”

　　裁判文書網(wǎng)公開的另一起案例顯示，2016年4月以來，張峰(化名)在QQ群內(nèi)打廣告購買公民個人信息，然后再使用QQ號和出售公民個人信息的人聯(lián)系，以每條2-3元的價錢購買公民個人信息2330條。之后，張峰將購買來的含有買家姓名、電話、商品名稱、收貨地址、快遞訂單等內(nèi)容的信息資料用其QQ號以每條加價1-2元出售給進(jìn)行網(wǎng)絡(luò)詐騙的“下家”客戶，從中賺取差價，獲利12000元。

　　另一份刑事裁定書則披露了犯罪分子利用非法獲取的快遞用戶信息實施詐騙活動的過程。

　　2017年2月15日起，賴文(化名)伙同他人通過QQ從“號商”處以每條9元的價格總共購買400條左右的“魚料”(淘寶訂單信息)，包含名字、電話號、地址、留言等。此后，賴文利用電腦、手機(jī)等工具向網(wǎng)購買家謊稱其訂單的物流出現(xiàn)問題，需要從支付寶“螞蟻借唄”“來分期”“微信貸款”等平臺操作退款，以此方式詐騙。

　　黑名單、高罰款、擬立法，如何堵住信息“漏洞”

　　國家郵政局最新的監(jiān)測數(shù)據(jù)顯示，我國快遞年業(yè)務(wù)量已突破700億件，國內(nèi)快遞行業(yè)從業(yè)人員已經(jīng)超過300萬人。

　　但隨著快遞業(yè)務(wù)量不斷增長，不時曝出的快遞用戶信息泄露事件像一個個“炸彈”，讓公眾對個人信息安全產(chǎn)生擔(dān)憂。如何在立法、監(jiān)管、技術(shù)等方面，合力扎緊“籬笆”，堵住信息外泄的“豁口”，成為近年來多方探討的話題。

　　自2016年至今，國內(nèi)70家大型快遞物流企業(yè)共同成立了快遞物流“黑名單”查詢系統(tǒng)，把盜竊快件、泄露客戶信息、倒賣客戶信息等12種違規(guī)違法行為列入黑名單。參與快遞物流企業(yè)“黑名單”系統(tǒng)的企業(yè)承諾，5年之內(nèi)不使用“黑名單”上的快遞人員。

　　據(jù)中國新聞網(wǎng)報道，中國交通運輸協(xié)會快運分會副會長徐勇透露，系統(tǒng)成立5年來，累計共有2.7萬名快遞從業(yè)者被列入黑名單，近兩年來，快遞物流企業(yè)違規(guī)違法行為下降幅度超95%。

　　在制度層面，2018年5月1日，我國第一部專門針對快遞業(yè)的行政法規(guī)《快遞暫行條例》開始施行。《條例》規(guī)定，經(jīng)營快遞業(yè)務(wù)的企業(yè)及其從業(yè)人員不得出售、泄露或者非法提供快遞服務(wù)過程中知悉的用戶信息，情節(jié)嚴(yán)重的最高處10萬元罰款。

　　全國人大法工委今年10月21日就《個人信息保護(hù)法(草案)》征求意見。草案的第六十二條提出，違反法規(guī)處理個人信息，或者處理個人信息未按照規(guī)定采取必要的安全保護(hù)措施的，由相關(guān)部門責(zé)令改正，沒收違法所得，給予警告；拒不改正的，并處一百萬元一下罰款，對直接負(fù)責(zé)的主管人員和其他責(zé)任人員處一萬元以上十萬元以下罰款。情節(jié)嚴(yán)重的，可吊銷相關(guān)業(yè)務(wù)許可或吊銷營業(yè)執(zhí)照，對主管人員和其他直接責(zé)任人處十萬元以上一百萬元以下罰款。

　　北京市安理律師事務(wù)所高級合伙人、律師王新銳分析認(rèn)為，出售快遞用戶個人信息的“網(wǎng)友”及購買個人信息的人員均違反《網(wǎng)絡(luò)安全法》中關(guān)于個人信息保護(hù)的規(guī)定，尚未構(gòu)成犯罪的情況下，由公安機(jī)關(guān)沒收違法所得，并處違法所得一倍以上十倍以下罰款，沒有違法所得的，處一百萬元以下罰款。

　　而個人信息被泄露的用戶有權(quán)要求收集其個人信息的快遞公司刪除其個人信息，若因個人信息泄露受到損害的，可向法院提起訴訟請求損害賠償。

　　他指出，非法出售、非法獲取個人信息情節(jié)嚴(yán)重的，構(gòu)成“侵犯公民個人信息罪”，將被處以三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴(yán)重的，處三年以上七年以下有期徒刑，并處罰金。