你的生物識別信息被濫用了嗎

“被拍攝者比出‘剪刀手時，其指紋信息可通過照片100%被提取還原”“只需提供一點兒唾液，就知道遺傳性疾病概率有多大”……聽起來似乎很高科技，專家卻提出嚴重警告：基因檢測帶來的風險超出你的想象。

拍照時比個“剪刀手”，是賣萌的“萬能pose（姿勢）”。近日，卻有專業人士提醒，某些條件下，被拍照人的指紋等生物識別信息可能因此被泄露。

在2019年9月15日舉行的一次活動上，上海信息安全行業協會專委會副主任張威說，照片的拍攝者和被拍攝者距離在1.5米內，被拍攝者比出“剪刀手”時，其指紋信息可通過照片100%被提取還原。“不需要專業照相機，只要用當前流行的智能手機拍攝的照片質量，就能用以提取和還原指紋信息。當下一些智能手機不僅具備更高級的光學變焦能力，還兼具AI畫質增強技術，如果將拍攝焦點對準‘剪刀手，還能刻畫出指紋細節”。這一度成為輿論熱題，引發公眾對生物識別信息安全的擔憂。

生物識別信息包括哪些

生物識別信息，常被簡稱為生物信息，歐盟將其稱為“生物特征信息”，并給出定義，“通過對自然人的身體、生理或行為特征有關的特定技術處理產生的能夠識別該自然人的唯一特征的個人數據，例如面部圖像或指紋（指紋）數據”。

全國信息安全標準化技術委員會于2017年12月29日發布的《信息安全技術個人信息安全規范》（以下簡稱《規范》）中，生物信息被稱為“生物識別信息”，是個人信息的一個分支。

根據《規范》，個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息。個人信息包括姓名、出生日期、身份證件號碼、個人生物識別信息、住址、通信聯系方式、通信記錄和內容、賬號密碼、財產信息、行蹤軌跡等。個人生物識別信息，則包括個人基因、指紋、聲紋、掌紋、耳郭、虹膜、面部特征等。

因生物識別信息，具有唯一性、不可更改性和隱私性的特點。《規范》將“生物識別信息”明確歸為“個人敏感信息”，即“一旦泄露、非法提供或濫用可能危害人身和財產安全，極易導致個人名譽、身心健康受到損害或歧視性待遇等”。

當網絡賬戶密碼遭到泄露，馬上更換密碼是有效操作。但就目前的科技發展來講，人幾乎不可能修改自己的指紋、樣貌、聲紋乃至DNA，個人就是密碼本身。生物特征信息一旦泄露就是永久性、不可逆的，生物信息被視為個人信息安全的最后一道防線，不無道理。

生物識別信息采集隨意

目前，我國的生物識別技術應用已經處于全球先進水平，人臉信息、指紋、虹膜等生物識別信息被普遍應用于金融支付、安防準入等眾多商業消費場所。國內從事該行業的企業有千余家，市場約達千億規模。近幾年來，我國生物識別市場規模年均增速可以達到50%左右，商業化步伐還在加速中。

但目前，相關法律對生物識別信息的保護，顯然還沒跟得上這種新技術的應用速度。調查發現，人臉信息在網上甚至被公開兜售。5000多張人臉照片，打包價只要10元，賣家甚至還能提供同一人臉部各角度的多張照片。生物識別信息泄露，已成為個人信息泄露的“最新重災區”。

2018年11月28日，中國消費者協會發布的《100款APP（手機軟件）個人信息收集與隱私政策測評報告》顯示，通信社交、影音播放等10類100款APP中的91款APP列出的權限涉嫌“越界”，存在過度收集用戶個人信息的問題。其中，10款APP對可識別生物信息的收集未能向用戶明確告知，涉嫌過度收集個人生物識別信息。甚至還有的APP在沒有用戶協議許可的情況下，就隨意采集用戶人臉數據。

但很多用戶對于生物識別信息泄露缺乏警覺性和自我保護意識。比如，近日一款“面相測試”小程序在微信朋友圈中熱傳，該測試通過上傳個人照片進行面相測試，不少人在朋友圈曬出了自己的測試結果，玩得不亦樂乎，卻沒意識到隨意上傳照片的風險。

比人臉識別信息泄露，更令人擔憂的是基因信息泄露。2018年，基因檢測是個網紅詞匯。只需提供一點兒唾液，花費幾百元，你就能得到一份自己的基因檢測報告：祖先來自哪里，遺傳性疾病概率有多大……聽起來似乎很高科技，專家卻提出嚴重警告：基因檢測帶來的風險超出想象，它有可能泄露遺傳密碼，如此輕率地把決定生命軌跡的基因密碼交出去，是不是就意味著我們把下半生乃至后代人的命運也交到他人手中呢？

信息濫用催生非法產業

事實上，“過臉產業”的出現已經給社會敲響了警鐘。

何謂過臉產業？一些不法分子、數據黑灰產業從業者，幫那些無法完成賬號實名認證的人群完成實名認證，以獲取利益，就是過臉產業。過臉產業需要大量的“人臉信息”，于是催生出更多的臉部信息獲取生意。

除了人臉識別，指紋信息濫用的隱憂也不少。在一次展覽會上，為了宣傳電腦信息安全的公益主題，工作人員演示用現場提取的指紋信息，用了不到10分鐘的時間就解鎖一款手機。

類似的案例也早已出現。2017年7月5日，安徽省宿遷市宿城區法院審理了一起涉及21名被告人的詐騙案。某公司員工從2013年起，就利用定制的指紋膜打卡該公司上下班，制造假出勤，騙取公司的工資及繳納社保費用，共計37萬余元。網絡上，制作指紋膜的小廣告、教授指紋膜技術的教程和“過臉技術”一樣，隨處可見。

業內人士認為，灰色產業的形成，說明生物識別信息安全已經是嚴重的問題。與電話號碼等個人信息泄露相比，生物識別信息泄露造成的影響要更加嚴重。有人開玩笑地說，被壞人劫持后直接被刷臉、強按指紋解密或轉賬，已經不遠了。其實早在幾年前，已有國外網絡安全公司聲稱，他們靠制作的假面具成功破解了手機人臉識別系統。據報道，一家英國能源公司，被不法分子利用AI合成技術模仿公司CEO的聲音，騙走了24.3萬美元。

目前，我國對于包含生物識別信息在內的個人信息保護，尚無專門法律，對其進行規范的條文，散見于民法總則、網絡安全法、消費者權益保護法以及最高人民法院、最高人民檢察院、國務院部門頒布的解釋和規定中。目前，也有很多法學專家呼吁對于包括生物識別信息在內的個人信心保護進行專門立法。（《方圓》）