時(shí)隔一年多，隱藏著的京東大范圍信息泄露事件的真相，終于浮出水面。 2014年12月至2015年1月，包括柳東（化名）等數(shù)百名京東用戶遭遇信息泄露，更不幸的是，精準(zhǔn)的訂單信息騙局隨之而來(lái)，受騙用戶損失少則數(shù)百上千元，多則數(shù)萬(wàn)元。 近日，據(jù)媒體報(bào)道，發(fā)生在
時(shí)隔一年多，隱藏著的京東大范圍信息泄露事件的真相，終于浮出水面。
2014年12月至2015年1月，包括柳東（化名）等數(shù)百名京東用戶遭遇信息泄露，更不幸的是，**的訂單信息騙局隨之而來(lái)，受騙用戶損失少則數(shù)百上千元，多則數(shù)萬(wàn)元。
近日，據(jù)媒體報(bào)道，發(fā)生在京東該時(shí)段的大范圍用戶信息泄露事件，系京東3名內(nèi)部員工所為。目前，這3名員工被北京市大興區(qū)人民法院以非法獲取公民個(gè)人信息罪判處有期徒刑，并處罰金。
據(jù)法院審理查明，2014年12月至2015年1月間，上述3名員工通過(guò)登錄京東ERP辦公系統(tǒng)（服務(wù)器位于北京市大興區(qū)），非法獲取京東商城用戶個(gè)人信息9313條，并將上述信息售予他人，造成京東公司大量客戶信息泄露。
鑒于近年來(lái)包括電商在內(nèi)的互聯(lián)網(wǎng)企業(yè)，頻繁爆出用戶信息泄露事件，專家建議，互聯(lián)網(wǎng)企業(yè)要加強(qiáng)內(nèi)部管理，對(duì)用戶個(gè)人信息的收集、傳輸、存儲(chǔ)、使用和銷毀等環(huán)節(jié)和流程進(jìn)行梳理，對(duì)員工權(quán)限進(jìn)行合理的設(shè)定，防范個(gè)人信息泄露。
用戶被騙后“墊付”情況不一
記者在采訪中了解到，在京東出現(xiàn)大范圍信息泄露事件，導(dǎo)致很多用戶被騙后，京東曾陸續(xù)對(duì)一些用戶的損失進(jìn)行了“墊付”。
四川用戶劉林（化名）告訴記者，他2015年1月5日曾在京東上購(gòu)買了一件價(jià)值119元的保暖內(nèi)衣，結(jié)果當(dāng)天就接到冒充京東客服不法分子的電話，告知其系統(tǒng)出現(xiàn)問(wèn)題，需要進(jìn)行退款操作。
由于不法分子準(zhǔn)確地說(shuō)出了訂單詳情，他便放松了警惕，在對(duì)方發(fā)來(lái)的鏈接上進(jìn)行了相關(guān)操作，結(jié)果導(dǎo)致賬戶中18000元被對(duì)方轉(zhuǎn)走。
不過(guò)，京東此番“墊付”并不是針對(duì)同期所有遭遇類似騙局的用戶，柳東就沒(méi)有劉林那么幸運(yùn)。
2015年1月3日，柳東在京東上購(gòu)買了一件價(jià)值58元的內(nèi)衣后，當(dāng)天也遭遇了與劉林類似的騙局，致使賬戶內(nèi)107949元被轉(zhuǎn)走。事后柳東曾多次聯(lián)系京東客服，就賠償進(jìn)行交涉，不過(guò)一直未果。
那么京東當(dāng)時(shí)是以什么為依據(jù)，來(lái)決定是否對(duì)用戶進(jìn)行“墊付”的呢？法治周末記者向京東方面發(fā)去采訪函，不過(guò)對(duì)方未就該問(wèn)題進(jìn)行回復(fù)。
而據(jù)媒體報(bào)道，2014年底至2015年初，在接到眾多用戶的投訴后，京東商城啟動(dòng)了自查，*終確認(rèn)信息泄露系內(nèi)部3名員工所為，便向警方報(bào)案。2015年1月中旬，3人被刑事拘留。
5月2日，京東相關(guān)負(fù)責(zé)人回復(fù)法治周末記者，2014年12月，京東是在內(nèi)部審核中發(fā)現(xiàn)極個(gè)別員工有異常查詢訂單的行為，立即主動(dòng)向公安機(jī)關(guān)報(bào)案。
公士公益發(fā)起人律師張新年對(duì)法治周末記者表示，據(jù)他了解，京東泄密員工被抓直至被判，消費(fèi)者無(wú)一人獲得辦案機(jī)關(guān)的反饋，在此過(guò)程中，京東對(duì)外也沒(méi)有承認(rèn)出現(xiàn)“內(nèi)鬼”。
“這不是一家大企業(yè)應(yīng)有的化解危機(jī)的態(tài)度。也就是說(shuō)，消費(fèi)者一直被蒙在鼓里，不知真相。雖然是京東報(bào)的案，但是很多網(wǎng)購(gòu)受害消費(fèi)者也報(bào)了案，尤其要保障他們的知情權(quán)。”張新年說(shuō)。
刑事判決可作為有力證據(jù)
其實(shí)，在信息泄露事件發(fā)生后，就曾有一位受騙用戶對(duì)京東提起了訴訟，不過(guò)，法院當(dāng)時(shí)駁回了該用戶的訴訟請(qǐng)求，原因在于現(xiàn)有證據(jù)不足以證明訂單信息被泄露系京東的過(guò)失所致。
去年，也有近百名用戶集體委托張新年向京東維權(quán)，但在當(dāng)時(shí)沒(méi)有足夠證據(jù)指向信息泄露為京東“內(nèi)鬼”泄密的情況下，張新年與委托用戶達(dá)成一致意見(jiàn)：暫緩提起訴訟。
如今，“內(nèi)鬼”被揪出，非法獲取及出售用戶信息被坐實(shí)，那么用戶是否在維權(quán)時(shí)就可以“一路綠燈”呢？
張小峰、賈虹杰律師是京東員工非法獲取用戶信息案其中一名被告人的辯護(hù)律師，據(jù)他們?cè)谵k案中了解，涉案3人并沒(méi)有登錄涉案商城客戶信息系統(tǒng)權(quán)限，但該商城存在有系統(tǒng)登錄權(quán)限的員工的登錄ID、密碼，被無(wú)系統(tǒng)登錄權(quán)限的其他員工“共享使用”的情況。
兩位律師介紹，據(jù)被告人交代，當(dāng)時(shí)所使用的系統(tǒng)登錄賬號(hào)，是一位在昆山工作的主管的，他們用該主管的ID、密碼登錄公司客戶信息系統(tǒng)，并將客戶信息導(dǎo)出制成excel表格格式，“雖然是越權(quán)登錄并下載資料，但系統(tǒng)不會(huì)察覺(jué)到異常”。
張新年對(duì)記者表示，這起刑事案件的披露，將為用戶維權(quán)提供強(qiáng)有力的證據(jù)支撐，“這表明京東在內(nèi)部管理上存有漏洞，致使該缺陷被內(nèi)部實(shí)際不掌握查詢權(quán)限的員工所利用，在涉案員工承擔(dān)刑事責(zé)任的同時(shí)，京東應(yīng)依法對(duì)網(wǎng)購(gòu)受害消費(fèi)者承擔(dān)賠償責(zé)任”。
張新年告訴記者，律師團(tuán)隊(duì)已經(jīng)啟動(dòng)新一輪的維權(quán)工作，將分批推進(jìn)，代理網(wǎng)購(gòu)受害消費(fèi)者向京東提起民事訴訟。
柳東也希望自己的名單能夠出現(xiàn)在法院認(rèn)定的9313條范圍內(nèi)，這樣好有足夠的證據(jù)向京東提起索賠。不過(guò)，張新年也表示，即使有直接證據(jù)，指向受騙用戶的信息的確是由京東內(nèi)部員工泄密所致，但并不一定意味著用戶就能獲得全額賠償。
“用戶也需要承擔(dān)一定的注意義務(wù)，法院在審理中，會(huì)根據(jù)雙方當(dāng)事人的過(guò)錯(cuò)大小，來(lái)分配各自承擔(dān)責(zé)任的比例。”張新年說(shuō)。
律師建議有條件地適用舉證責(zé)任倒置規(guī)則
盡管3名被告人很快被繩之以法，不過(guò)，發(fā)生在京東上的用戶信息泄露現(xiàn)象并沒(méi)有得到終結(jié)，以訂單出現(xiàn)問(wèn)題為由的騙局依然不時(shí)發(fā)生。
就在上述3人被羈押的一周后，即2015年1月21日，山東用戶苑森杰，中午剛在京東商城購(gòu)買了價(jià)值459元的諾基亞手機(jī)和19.9元的優(yōu)盤(pán)，當(dāng)天晚上8點(diǎn)就接到了自稱是京東客服的詐騙電話，理由同樣是訂單由于系統(tǒng)維護(hù)出現(xiàn)問(wèn)題，結(jié)果導(dǎo)致銀行卡中55690元被劃轉(zhuǎn)。
近日，在看到3名京東員工因竊取出售用戶信息被追究刑責(zé)后，苑森杰告訴法治周末記者，他又同京東方面聯(lián)系交涉賠償事宜，不過(guò)“京東只是讓我去聯(lián)系警方，讓警方協(xié)調(diào)處理”。
北京用戶張玲（化名）情況與苑森杰類似，2015年5月10日在京東商城上購(gòu)買了一件價(jià)值79元的孕婦服，第二天也被一個(gè)自稱京東賣家打來(lái)電話，以辦理退款為由從卡里轉(zhuǎn)走了57839元。
張玲很早就在京東注冊(cè)，且購(gòu)物頻繁，截至被騙時(shí)，她已是京東的鉆石會(huì)員，“當(dāng)時(shí)我是在手機(jī)端下的訂單，并沒(méi)有看到京東的防范詐騙的提示頁(yè)面和短信”。
事后，張玲也是多次同京東進(jìn)行交涉，不過(guò)也一直未能獲償。張玲希望披露的這起刑事案件，能夠?yàn)橛蓄愃圃庥龅挠脩暨M(jìn)行后續(xù)維權(quán)帶來(lái)新的契機(jī)。
記者了解到，2015年1月中旬以后，仍遭遇訂單信息詐騙、且委托張新年維權(quán)的京東用戶已接近20人。
另?yè)?jù)京東維權(quán)群里一位用戶張亞?wèn)|（化名）介紹，自從2014年底到2015年初京東用戶信息大規(guī)模泄露以來(lái)，群內(nèi)用戶一度多達(dá)數(shù)百人，隨后有部分獲得“墊付”的消費(fèi)者退群，還有遭到類似詐騙的用戶陸續(xù)加入進(jìn)來(lái)，只是增加的頻率逐漸放緩。
賈虹杰對(duì)法治周末記者表示，通過(guò)他和當(dāng)事人的多次交談，對(duì)方反映，通過(guò)“共享使用”有系統(tǒng)登錄權(quán)限員工的登錄ID、密碼獲取用戶信息，甚至進(jìn)行出售，在公司物流內(nèi)部并不是個(gè)別現(xiàn)象。
“當(dāng)事人反映，登錄客戶信息系統(tǒng)、下載打包客戶信息、聯(lián)系賣家進(jìn)行出售并不是他的發(fā)明，而是當(dāng)時(shí)有一位內(nèi)部工作人員教唆示范的。”賈虹杰表示，由于3名被告人只有初中文化程度，當(dāng)時(shí)并不知道這種行為可能觸犯刑法、會(huì)被追究刑事責(zé)任。
互聯(lián)網(wǎng)法律專家趙占領(lǐng)對(duì)法治周末記者表示，此起刑事案件的披露，的確反映出當(dāng)時(shí)京東內(nèi)部管理上存有疏漏，這將有助于用戶維權(quán)。不過(guò)他認(rèn)為，不在法院審理查明的9313條信息范圍內(nèi)的用戶，如對(duì)京東起訴索賠，相對(duì)于在這之列的用戶而言，由于不是直接證據(jù)，還須再舉證信息泄露是京東的過(guò)錯(cuò)所導(dǎo)致。
即使同是“內(nèi)鬼”作案，趙占領(lǐng)分析，如果“內(nèi)鬼”不是利用公司管理上的漏洞非法獲取并出售用戶信息，而是通過(guò)與外部黑客一樣的手段入侵公司計(jì)算機(jī)系統(tǒng)竊取用戶信息，“在這種情況下，‘內(nèi)鬼’的行為并不是職務(wù)行為，其同外部黑客入侵并不存在差異，公司只要盡到了現(xiàn)有技術(shù)條件下的安全防護(hù)義務(wù)，那么也很難認(rèn)定公司存在過(guò)錯(cuò)”。
不過(guò)，賈虹杰表示，如果是個(gè)案，不排除是用戶個(gè)人不慎泄露了訂單信息或使用的個(gè)人電腦被黑客攻擊導(dǎo)致信息泄露，但如果是大范圍的、同類型的、高精度的訂單信息詐騙，那么電商作為客戶信息的保管者，就應(yīng)因?yàn)槭毘袚?dān)法律責(zé)任。
“目前司法實(shí)踐與法律法規(guī)規(guī)定，相關(guān)民事賠償舉證責(zé)任都在受害用戶一方，但是由于網(wǎng)絡(luò)領(lǐng)域技術(shù)的高端性與私密性，受害用戶往往不能完全收集到具體相關(guān)證據(jù)。”因此，賈虹杰建議，司法機(jī)關(guān)應(yīng)出臺(tái)相關(guān)法律規(guī)定，對(duì)于此類網(wǎng)絡(luò)信息民事侵權(quán)賠償案件有條件地適用舉證責(zé)任倒置規(guī)則：在受害用戶承擔(dān)一定的舉證責(zé)任后，由電商平臺(tái)承擔(dān)其在用戶信息泄露方面不存在過(guò)錯(cuò)的舉證責(zé)任。
企業(yè)應(yīng)建立有效內(nèi)控機(jī)制
其實(shí)，目前被公開(kāi)報(bào)道的，出現(xiàn)用戶信息泄露且滋生詐騙風(fēng)險(xiǎn)的電商平臺(tái)，并非京東商城一家。
2015年5月，蘇寧易購(gòu)也出現(xiàn)用戶訂單信息大范圍泄露事件，致使很多用戶被騙，近日趙占領(lǐng)也將代理部分用戶對(duì)蘇寧易購(gòu)提起民事賠償訴訟；
石家莊網(wǎng)絡(luò)優(yōu)化獲悉，今年3月，電商特賣平臺(tái)唯品會(huì)也被媒體爆出，其平臺(tái)用戶訂單信息在一些QQ群被肆意買賣。
梳理目前被公開(kāi)報(bào)道的用戶信息泄露事件，記者發(fā)現(xiàn)電商等互聯(lián)網(wǎng)企業(yè)用戶信息泄露主要源于出現(xiàn)“內(nèi)鬼”泄露、系統(tǒng)漏洞、黑客撞庫(kù)這幾種情形。
公開(kāi)資料顯示，泄露用戶個(gè)人信息的源頭大多是相關(guān)企事業(yè)或部門(mén)的“內(nèi)鬼”，但一些收集、保存大量用戶個(gè)人信息的電商等互聯(lián)網(wǎng)企業(yè)，卻沒(méi)有建立起完善的內(nèi)部制度和保護(hù)機(jī)制，這也給用戶信息泄露埋下了隱患。
以該案為例，賈虹杰對(duì)記者表示，據(jù)他了解，該涉案企業(yè)內(nèi)部也有相應(yīng)的用戶個(gè)人信息保障制度，比如物流部門(mén)由于掌握著包括客戶姓名、電話、地址、何時(shí)下單、所購(gòu)貨物等詳細(xì)個(gè)人信息，系統(tǒng)登錄權(quán)限只掌握在相關(guān)主管部門(mén)手中，但可能由于企業(yè)每天24小時(shí)需要接受用戶訂單，為了做好商品配送，物流部門(mén)的員工需要“三班倒”，為了開(kāi)展工作便利，登錄權(quán)限就會(huì)被其他工作人員使用。
“客戶信息系統(tǒng)的登錄ID和密碼一旦被‘共享’，就會(huì)存有漏洞。如果物流部門(mén)實(shí)行的是‘三班倒’輪班制度，那么應(yīng)該在每個(gè)班次都安排一個(gè)相應(yīng)職級(jí)的主管人員，負(fù)責(zé)用戶信息的查驗(yàn)調(diào)取，而且每次的操作行為，系統(tǒng)應(yīng)當(dāng)進(jìn)行記錄，以便于后續(xù)追溯。”賈虹杰說(shuō)。
那么，大范圍用戶信息泄露事件發(fā)生后，京東是否對(duì)其內(nèi)部工作制度進(jìn)行了調(diào)整和優(yōu)化？京東相關(guān)負(fù)責(zé)人對(duì)法治周末記者表示，案發(fā)后，公司已經(jīng)**時(shí)間采取了相應(yīng)的防范措施，同時(shí)加強(qiáng)了內(nèi)部管理，杜絕類似事件的再次發(fā)生。
“京東一貫高度重視用戶信息安全，有*嚴(yán)格的公司政策和規(guī)定，決不允許任何人以任何方式泄露用戶信息，一經(jīng)發(fā)現(xiàn)絕不姑息。”該負(fù)責(zé)人表示，根據(jù)京東的內(nèi)部調(diào)查，冒充客服進(jìn)行詐騙的案例中，絕大部分是犯罪分子通過(guò)撞庫(kù)攻擊等手段獲取用戶信息。
2012年底，**人大常委會(huì)頒布的《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》明確提出，網(wǎng)絡(luò)服務(wù)提供者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保信息安全，防止在業(yè)務(wù)活動(dòng)中收集的公民個(gè)人電子信息泄露、毀損、丟失。
趙占領(lǐng)對(duì)記者表示，企業(yè)應(yīng)依照**人大常委會(huì)的決定，對(duì)用戶個(gè)人信息的收集、傳輸、存儲(chǔ)、使用和銷毀等環(huán)節(jié)和流程進(jìn)行梳理，對(duì)員工權(quán)限進(jìn)行合理的設(shè)定，防范個(gè)人信息泄露。
記者注意到，自去年京東商城爆出信息泄露事件以來(lái)，京東逐步強(qiáng)化了對(duì)用戶的風(fēng)險(xiǎn)提示，當(dāng)用戶訂單提交成功后，網(wǎng)絡(luò)頁(yè)面、手機(jī)會(huì)收到謹(jǐn)防詐騙的提示信息。
張亞?wèn)|告訴記者，盡管后來(lái)京東維權(quán)群內(nèi)的人數(shù)還在增加，不過(guò)增速明顯放緩，這也從側(cè)面說(shuō)明平臺(tái)的提示起到了一定作用。
|