银行卡泄密，我拿什么来防范？

         在今年“3·15”央视晚会上，银行卡资料泄露案例让很多消费者感到胆寒，毕竟作为消费者管理财富的主要载体，银行卡至关重要，一旦陷入了“不安全”的漩涡，影响巨大。记者了解到，虽然央视曝光的案件已经侦破，但对于消费者而言，非常深切地感受到私隐保护方面的安全威胁。在这个问题上，我们到底该如何防范呢？

　　案例：银行员工泄密客户信息

　　今年央视“3·15”晚会上曝光了招商银行、工商银行等银行网上银行失窃案。其作案根源是来自银行内部员工泄露出售客户信息。过程主要是，招商银行、工商银行、农业银行等银行内部工作人员将客户办理信用卡的信息出卖给不法分子，不法分子通过分析受害人身份证、家庭电话、手机电话等信息，破译受害人的银行卡密码，通过登录网上银行盗用受害人的银行卡中的储蓄。从整个案件的过程来看，银行员工的资料泄露和不法分子的密码破译则成为了关键。

　　资料搜集方：要将用户资料视为生命

　　无论是这次央视曝光的银行卡资料泄密，还是早前在网上闹得沸沸扬扬的用户资料泄漏事件，其“出问题”的环节都是在用户资料搜集方，而资料搜集方的安全隐患也越发成为了如今安全领域中的“重灾区”，其根源则来自资料搜集方对用户资料的“不负责任”。

　　360首席隐私官谭晓生在接受南方日报记者采访时表示，互联网时代隐私信息保护的原则包括多个方面：“不必要的数据不收集，不必存的数据不保存；数据安全传输，敏感数据加密存储，敏感数据分级访问控制；网站服务商还应防止内部员工窃取用户隐私，不滥用用户信息谋利，并完善做好网络安全防范措施，预防网站信息被拖库的现象发生。”谭晓生说，360公司最新公布的《用户隐私保护白皮书V2.0版》，对于互联网健康的软件行为重新定义了“四不三必须”的七个规范。其中，“四不”是指：不该看的不看；不该传的不传；不该存的不存；不该用的不用。所谓“三必须”是指：一切行为必须明示；必须经过用户许可；必须对收集的用户隐私信息负责。但是据记者了解发现，目前真正能够做到对用户资料如此“负责任”的资料搜集方极为少数。

　　事实上，业内人士指出，企业在搜集用户资料后，并没有足够的防范意识。一方面是政府法规没有起到监管的作用，另外一方面也是缺乏相应的工具和指引。新版《白皮书》特别指出，对于如何保护互联网上隐私信息安全，网站、政府、安全公司必须“三位一体”，一个都不能少。其中在政府方面，应该作为相应的立法和监管者，一方面惩治病毒、木马制作者的犯罪行为，一方面能够惩罚互联网服务商玩忽职守者，同样将是隐私保护的一道重要防线。

　　除了政府机关的重视，安全企业也已经在着手提供相应的反防范工具，瑞星(微博)安全专家王占涛在接受南方日报记者采访时透露，瑞星公司已经推出了首个网站密码保护方案——“瑞星网站密码安全检测系统”。据王占涛介绍，此系统可对网站密码库的安全性进行深度检测，扫描包括SQL注入、弱口令、XSS跨站攻击等弱点，并给出专业的分析报告和修复建议，帮助网站保护用户密码库。

　　安全专家：密码常变化 资料要重视

　　有IT专业人士说，对密码的担心是多余的，网站会加密存储你的密码(密文)，根据加密算法，密文是不可逆的。也就是说，就算密文被盗，别人也不知道密码的明文是什么。真是这样吗？不少互联网厂商也这样告知用户，因为企业想让用户觉得自己很安全，而且事实往往是令人意外的。正如央视“3·15”晚会曝光的银行卡被盗的案件那样，虽然不法分子开始并不知道受害人的密码，但是通过一些相关的数字的破译，依然可以最终达到盗取金钱的目的。

　　据资料显示，美国密码管理应用提供商SplashData总结出2011年度最差25个密码。经过腾讯网友投票，认为123456、111111这两个密码最差的分别占到63%和17%，而在网友的评论中，不少网友也“自曝”自己正在或者曾经用过此类的密码。

　　金山毒霸安全专家李铁军在和南方日报记者谈及用户密码的问题时指出，密码是访问网络服务的钥匙，面对肆虐的黑客攻击，密码应该个性化，且避免使用生日、身份证号、电话号码、手机号、门牌号等容易被猜到的字串。“密码可以是某个记忆深刻的事件缩写。总之，除自己之外，别人无法猜到。”

　　但是对于很多网友而言，日常需要用到密码的地方太多了，登录QQ、登录邮箱、网上购物，都离不开密码。“每个服务用不同的密码，再把密码记牢也很有难度。”

　　李铁军认为虽然设置多个密码是比较安全的，但是对普通网友来说并不现实。“不妨把这些服务分成特别重要或不重要两类，前者包括常用的邮箱、与支付、银行业务有关的服务、云存储服务、QQ号等这些非常重要的服务，一定要确保密码与众不同。不重要的服务与邮箱关联，丢失问题不大，忘了还可以用绑定的邮箱找回。”

　　除了在密码方面下“功夫”外，尽量采用更多的验证方式也是个人消费者安全防范的有效举措，“将重要的账号与手机绑定，是目前比较有效的方法。”王占涛建议普通用户将重要的账户和手机绑定，这样可以有效降低密码泄漏的风险。

　　相关：当当账户疑似遭盗刷

　　就在央视“3·15'晚会曝光个人资料被盗用的案件后，类似事件还在继续发生。近日，多名当当网(微博)用户通过微博曝光称，自己的账户疑似遭人暗中盗刷，不但莫名其妙扣除余额下单给陌生人，连注册邮箱也被修改，导致无法追回自己的账号。而当当网客服对此表示无能为力，建议用户自行报警。

　　对于本次用户账号被盗的事件，当当网在声明中将责任归结于早前的“CSDN(微博)泄密”事件。当当网声明称，很多互联网用户习惯在不同网站上使用统一的账户和密码，由于去年CSDN互联网泄密事件导致大量账户密码数据丢失，造成当当网极个别账户被盗，少数消费者的账户余额被不法分子盗用。当当网决定3月19日至3月 21日，紧急冻结所有当当网账户余额及礼品卡，方便当当网用户及时修改密码。声明同时强调，对于冻结之前发生的损失，经审核确认后，当当网将分批给予用户全额补偿。对已经被盗的账户，当当网已报案，也请被盗的顾客积极报案。

　　但用户对当当网的声明并不满意，部分涉及事件的用户认为，用户手中能证明被盗刷订单非自己亲自下单的证据有限，当当网如否认用户账号曾被盗而拒绝赔付，用户很被动。

　　南方日报记者 叶丹