起底信息黑產

聶歐

信息黑產嚴重阻礙了我國征信行業乃至整個社會信用體系的健康、可持續發展，對信息隱私、資金安全和民生穩定等帶來了諸多風險。

過去一年來，我國互聯網欺詐案件大幅增多，涉案金額屢創新高。近日更有公開數據顯示，僅去年下半年的互聯網欺詐案件數量就相比上半年激增17%，其中互聯網金融詐騙案件的增速明顯高于其他領域。

其背后的產業和技術支撐，很大程度上來自于日漸猖獗的黑色信息產業鏈。由于我國以大數據技術來識別和跟蹤“壞人”的機制、體制不健全，個人信息保護相關的法律、法規體系空白，滋養出一批涉嫌非法盜取、使用和販賣居民個人信息的“害群之馬”，嚴重阻礙了我國征信行業乃至整個社會信用體系的健康、可持續發展，對信息隱私、資金安全和民生穩定等帶來了諸多風險。

目前，我國共有約3000家從事征信業務或類征信業務的機構，主要以買賣居民個人信息尤其金融數據為主，缺乏正規征信產品設計。一部分數據公司直接從黑市購買個人數據，極端者則雇傭黑客在同業機構內部盜取數據。

其問題根源，是隨著互聯網技術高速發展，我國征信行業從以人民銀行征信系統為核心的傳統模式，快速轉變為以互聯網金融征信為生力軍的全新格局，居民個人信息泄露及濫用、金融信息盜竊引發互聯網欺詐風險、部委信息孤島式割裂、信息產業鏈黑市牟取暴利等諸多“劣幣驅逐良幣”的現象，正逐步集聚風險。

專家建議，應盡快建立健全征信行業法律體系，有針對性地提升相關部門監管手段和技術水平，實施“穿透式監管”，對持牌征信機構進一步規范和支持，建立行業和機構內部的自律機制，充分利用市場化手段，防止我國征信行業泡沫進一步發酵，全維度遏制風險，并切實保護人民群眾個人隱私安全。

信息黑產迅猛發展

《財經國家周刊》記者在北京、上海、杭州等地調研后發現，我國信息產業尤其互聯網征信領域，目前主要存在以下四方面問題：

首先，黑客、黑產、黑市盜取和買賣數據猖獗。

這些從事征信業務或類征信業務的機構，主要以買賣居民個人信息尤其金融數據為主，缺乏正規征信產品設計。一部分數據公司直接從黑市購買個人數據，極端者則雇傭黑客在同業機構內部盜取數據。例如，居民身份證、學歷學位、聯系住址、婚姻狀況等基礎信息在黑市上每人每條價位在1-7元不等，產業鏈上距離一手數據源越近，售賣價格也越低。

《財經國家周刊》記者調研發現，少數機構每年通過數據黑產倒賣信息，資金流水達數億元，調研中一家2015年成立的數據公司僅擁有高管團隊3人和業務員2人，目前已獲得境外C輪融資，估值高達30億美元。

第二，居民個人信息存在泄露和濫用風險。

目前，由于缺乏統一數據標準，信用數據采集和使用尚無明確法律規定，信息采集可能超出限制范圍。《征信業管理條例》規定“禁止征信機構采集個人的宗教信仰、基因、血型和病史等個人信息；在未明確告知不良后果并取得書面同意前，不得采集個人的收入、存款、有價證券、不動產等信息”。但互聯網平臺上存在大量隱私信息，且與大數據機構存在數據共享，很難避免對禁止或限制類信息的采集。另外，個人信息的商業價值不斷凸顯，不少機構通過網絡平臺從房產、金融、保險等渠道獲取信息，亦有機構本身從事客戶信息出售、轉售的行為，未經授權的數據買賣加重了信息泄露和濫用風險。

第三，“劣幣驅逐良幣”現象嚴重。

我國各類數據和征信機構，在監管層備案的僅三類：一是政府背景下的信用信息服務機構共20多家，包括人民銀行征信中心、上海資信等；二是社會征信機構約100家，包含企業征信和人民銀行擬發牌照的8家個人征信機構；第三類是評級公司70多家。其中，正規持牌和擬持牌機構僅約200家，即整個行業的非持牌或非法機構占比高達90%以上。

從美國經驗看，其征信體系也經歷了野蠻生長與整合階段：1960年代末美國征信公司曾一度多達2200家，如今已減少到約400家，其中艾可飛、益百利和全聯三大巨頭占據了90%的市場份額。

第四，缺乏全面、專業的法律體系。

一方面，發達國家征信法律體系通常由多部法律法規組成，例如美國就多達17部。目前，我國唯一的專業征信法規是由國務院頒發實施的《征信業管理條例》，一定程度上規范了行業發展但法律約束力低于全國人大批準通過的法律，難以全面有效地對征信機構和征信業務實施管理。

另一方面，我國尚未出臺專門的信息保護法，但征信與互聯網、金融、電子商務等日漸融合，對信息、數據的采集范圍更為廣泛，行業發展缺少高層次法律支撐。在信息主體權益保護方面，除《憲法》和《民法通則》提供了寬泛的基本原則外，征信機構在采集、使用、提供和披露信息時缺乏直接的法律依據，面臨較大行為風險。

緣何有機可乘

《財經國家周刊》記者在調研中發現，前述諸多現象的存在，還與主體和正規渠道覆蓋面不足及監管的落后有著極大的關系。

首要一點，便是人民銀行征信系統獲取非銀行數據不足。

截至 2016年9月，人民銀行征信系統收錄的自然人數量超過9 億，但擁有信貸記錄的僅4.1億人，不足全國總人口1/3；企業數量1828萬家，僅420萬戶有信貸記錄且主要是大型國有企業。大量用戶金融需求被排除在外。

該系統數據中除信貸數據外，還包括社保、公積金、民事裁決與執行、公共事業和行政獎勵、處罰等非銀行數據信息，但存在信息來源積極性不高、數據更新不及時、共享不順暢等問題，使得人民銀行無法及時、準確獲取被征信主體的非銀行信息。

其次，政務征信“信息孤島”，也給了非法機構可乘之機。

從人民銀行征信系統看，其征信報告中水、電、燃氣、電話費等信用信息并未完全納入，眾多信息割裂在法院、教育、電信運營商、信貸機構等手中，使得這一核心征信系統的效率受到影響。

從國家部委層面看，由于缺乏統一的數據歸集、協調機制，大量信用信息分散和封閉于各職能部門，條塊分割、孤立現象明顯。并且，我國缺乏統一的信息技術標準，各部門、行業和地方政府均按照各自標準建設征信系統且缺乏公開共享，阻礙信息的跨行業、跨區域共享。

從行業和市場層面看，商業征信機構尚未實現與相關部門和行業間的信息共享。各種數據的格式、質量參差不齊，加大了機構建立完整數據庫的難度。目前除人民銀行外，其他機構都礙于各種屏障，難以積累足夠的數據。

更進一步的是，技術進步對監管提出了全新的要求。

互聯網征信著力于對虛擬化信息數據的采集、整合，傳統現場監管檢查手段不再適用此類場景，而非現場監管手段又缺乏實效性和連續性，難以達到預期效果。因此，升級優化監管措施，以應對發展變革中的征信方式，并切實保護被征信主體隱私信息，是監管層面臨的兩大挑戰。

健全法律和監管體系

有關專家表示，打擊信息黑產，首要措施就是建立和完善法律體系，跟上行業發展步伐。

一是在法律層面，出臺“社會信用促進法”和“個人信息保護法”，從國家立法角度對社會信用進行規范。

二是在行政法規層面，研究制定“信息安全條例”和“政務信用信息管理條例”，加強信息安全管理，規范信用信息公開和應用。

三是在部門規章層面，制定關于征信服務行為規范、征信標準等規章，抓緊出臺相關政策，完善其范圍和權利義務。

四是地方性法規，各地方可借鑒發展較快的大城市經驗來因地制宜，據實際需要制定地方性法規。

五是根據互聯網金融背景下征信市場的發展和變化，加強對新型征信業務模式的規范管理。

除法律體系建設外，多位受訪人士還從監管體制等方面給出了建議。

以人民銀行征信系統為核心，進一步充實、完善金融征信系統的信用信息。建立包括證券、保險以及外匯等信息的金融業統一征信平臺，提高金融信用信息加工處理技術，為金融監管部門和金融市場交易者提供有價值的參考依據。

建設政務征信領域的信用信息共享交換平臺。推進職能部門間統一的信用信息目錄建設、標準建設以及歸集與共享的考核辦法。

監管職責上，要加強部門聯動協調。人民銀行及其派出機構嚴格依法履行對征信業的監管職責。加強與行業、地方主管部門的協調配合，完善征信監管機制，不允許有從事征信業務的機構游離于監管之外，打擊借“征信”名義非法采集信用信息的行為。

目前，我國征信業處于由傳統征信向互聯網征信的過渡期。監管部門須創新出適用于互聯網場景化的監管手段，同時加強部門間的協調，建立有效的聯合監管模式，對各類征信機構尤其是涉足互聯網征信的民營征信機構進行有效管理。嚴厲查處涉嫌提供虛假信息、侵犯個人隱私和商業秘密等行為的征信機構，切實維護各類信息主體的合法權益，為征信市場的規范、健康發展營造良好的外部環境。

機構自律上，要肅清外部環境，補足內部自律機制。

外部環境上，嚴把機構及其從業人員的市場準入關，禁止存在嚴重違約記錄的企業法人和股東申請成立新的征信企業；依法加強信息安全監管，嚴格落實國家信息安全等級保護要求，大力發展電子簽名、身份認證、訪問控制等安全服務，保障重要信息系統和信用信息安全；嚴厲查處涉嫌提供虛假信息、侵犯個人隱私和商業秘密等行為的征信機構，切實維護各類信息主體的合法權益。

內部自控上，適時建立征信機構自律機制。借鑒英美等國，加強行業自律對互聯網金融良性競爭、規范運營和保護消費者權益的促進作用，組建征信業行業協會并設立分會，規范征信機構經營行為，規避執業人員的技術風險、道德風險，確保征信機構之間的有序競爭，促進征信業規范有序發展。

標準統一上，要建立全國統一的信用信息采集和分類管理標準。

將相對成熟領域的征信標準上升為國家標準；建立空白領域的統一標準，并要求相關部門和行業以國家標準為準則開展工作，為依法實現跨部門、跨行業的信息交流與共享提供技術保障。同時，關注互聯網征信技術發展趨勢，對標準進行動態維護和擴展，加強信息采集的真實性、適用性以及與行業的協調性和有效性。