5月9日，银保监会消费者权益保护局发布通知：2020年3月，中信银行未经客户授权向第三方提供个人银行账户交易明细，违反保密原则对于储户。如涉嫌违反法律法规广州的私家侦探公司，我们将根据有关法律法规对中信银行启动调查程序，并依法依规严格查处。

给钱可以“让银行流水”吗？银行等金融机构还存在哪些个人信息保护漏洞？应该如何屏蔽呢？新华社记者对此展开调查。

新华社记者 兰天明 胡杰飞

记者体验：“花钱换银行流量”是真是假

记者调查发现，目前部分网络平台上个人“银行对账单”信息的售价在600元至5000元不等，查询期限为1个月至12个月。期限越长，价格越高。买家只需提供查询主体的身份证号码即可查询。

一位名叫“杨达”的QQ卖家告诉记者，在被出售的各种个人信息中，“银行对账单”等财务信息最有价值。他说，做这件事的人必须有银行等金融机构的“人”。

记者查阅中国裁判文书网发现，银行“内部人士”参与倒卖个人金融信息的现象并不少见：中国银行无锡分行员工唐某某利用工作便利出售该单位在提供服务过程中获取的个人信息5万条以上。通过电子邮件非法向他人提供个人信息；中国建设银行余姚市城建支行原行长沉某某，将该行受理的贷款客户房产信息共127条提供给他人招揽业务。

记者还发现，由于大部分卖家要求“先付款广州的私家侦探公司，后查看”，不少所谓的“侦探公司”以此来骗钱。

一位名为“百胜私家侦探公司”的卖家向记者提出600元，让其查询一家股份制银行客户的信息。记者支付部分定金后，卖家表示40分钟左右就会发送相关交易信息。大约25分钟后，记者发现自己已被卖家“拉黑”。

银行个人金融信息保护仍存在漏洞

据了解，2016年以来，有关部门发现并举报了一大批涉及金融等重点行业的信息系统和安全监管漏洞，抓获各行业内涉嫌违规人员3000余人。但记者调查发现，银行等金融机构仍存在一些值得警惕的隐患。

——为了“吸引客户”、“提高业绩”，非法泄露用户信息已成为一些银行的“潜规则”。浙江一家农村信用社的一线柜员小张告诉记者，只有银行内部的一线柜员才有权查询客户交易等信息，其他员工必须共同授权查询，而且系统会自动留下痕迹。

“但如果总裁级领导以业务需要为名，要求查询并导出某个客户的交易记录，柜员往往很难拒绝。为了‘拉拢大客户’，在一些银行里已经不是什么秘密了。”银行帮助他们私下获取他人的交易。”小张说道。

——银行内控漏洞导致用户信息流入“黑市”。曾在广州某银行担任一线柜员的周女士透露，该行柜员可以在六个月内擅自查看客户的交易记录。

记者还了解到，目前部分银行对记录客户信息的纸质数据保护不够充分，未能及时销毁或导致其失控外流。一些被“乌云笼罩”的数据也因操作标准的执行和监管不严，信息泄露的风险显着增加。

上海浦东发展银行原电话营销中心业务经理在任职期间，非法获取并存储了大量客户个人信息，导致其全部流入电信诈骗团伙手中。

——部分银行APP涉嫌过度索赔，增加信息泄露风险。记者随机测试了多款银行APP，发现不少APP都不同程度地“诱导”用户授权访问手机信息。如果他们不同意其隐私条款，则无法继续使用它们。其中，中信银行、工商银行等建议用户同意读取电话通话和通话管理、照片、媒体内容和文件，并获取位置信息，否则相关功能将无法使用。并且这种授权是“一次性授权广州的私家侦探公司，长期有效”。以后再次使用时，系统将不再提示授权。

北京师范大学国际网络法中心高级研究员臧磊表示，根据国家相关标准，金融借贷类App能够获得的权限最小范围是存储权限。组织应尽量遵循最少请求原则，尽量不因存储权限以外的权限影响用户对APP关键功能的使用。

某银行风控部门工作人员向记者透露，目前大多数银行APP都涉及技术外包合作伙伴。虽然在选择时对合作公司的背景和安全性有一定的考虑，但合作公司部分员工泄露信息的风险仍然不小。 。

“目前，很多银行员工依靠自己的职业道德来保护用户信息安全。”周女士说。

强化防护广州靠谱小三调查，亟待提升“法律+技术”防护能力

如何堵住银行等金融机构个人信息安全漏洞？中国人民银行某省分行工作人员建议，对于问题严重的银行，应该追究法律责任，而不能只是内部处理。

专家表示，我国目前已有一些涉及个人金融信息刑事保护、内控制度保护和技术规范的法律法规和规范性文件，相关立法仍在进行中。

2月，央行、全国金融标准化技术委员会发布个人金融信息保护技术规范，对金融行业机构个人金融信息保护提出了规范要求。 《个人金融信息（数据）保护试行办法》也将在征求意见结束后正式发布。

2019年12月发布的《中国人民银行金融消费者权益保护实施办法（征求意见稿）》要求金融机构建立健全消费者金融信息保护机制。

2017年5月，两国最高政府就办理侵犯公民个人信息刑事案件发布了相关司法解释。非法获取、出售、提供财产信息50条以上的广州靠谱婚外情取证公司，即构成“侵犯公民个人信息罪”且“情节严重”，将处以三级处罚。处十年以下有期徒刑或者拘役，并处或者单处罚金。”

北京师范大学法学院数字经济与法律研究中心主任王庆华表示，目前个人信息侵权民事救济机制仍以赔偿实际损失为主，难以对故意侵权人形成强有力的法律约束。建议设定最低赔偿数额，加大对非法泄露他人信息、故意侵犯他人信息权的处罚力度。

上海段和段律师事务所律师刘春全建议，应督促银行在个人金融信息采集、传输、维护、使用等全流程管理中，排查自身及第三方合作公司可能存在的泄露风险点。痕迹，并及时更新其防火墙。 、身份认证系统、数字签名等安全监控技术，防止内部人员因违规操作而实施泄密或恶意盗窃等犯罪行为。