平安好车主用户数据流出 员工“刷单”行为被严惩

平安产险3.0核心战略平台——平安好车主被爆料出现用户数据外流，外流数据包括车牌号、车架号、发动机号、车主身份证、车主联系方式、保单详情、违章记录等核心、详细数据。

知情人士向记者爆料：“最近一年来，大量车主车牌号和身份证后6位从平安保险代理人手中流出，流入到一批淘宝店主手中，这些淘宝店提供‘平安好车主代绑定’服务，可以帮平安保险代理人完成APP的推广任务。”

“平安对代理人有好车主APP推广任务要求， 我们县的业务员每人每月有5个任务。”一位北方某县平安保险代理人如是告诉记者，该县汽车保有量约10万辆，2016年中开始推广平安好车主APP，“如果完不成任务，每个扣5元，直接从工资里扣。但完成没有奖励。”

一位沿海城市的平安保险员工告诉记者：“我们这里每天都有3个好车主APP任务。不过，即便这么大任务量，我们在全国排名还是倒数的。” 该城市汽车保有量超过300万辆，“我们这要求不严格，完不成任务没有罚款，但会影响绩效，我就从来没有完成过，很多人都要从淘宝买。”相比于每个5元的罚款，从淘宝购买，每个注册成本约3元。

按照平安好车主APP的绑定要求，需要手机号+车牌号+身份证后6位才能进行绑定。淘宝店主提供大量手机号供注册使用，而车牌号+身份证后6位则由平安员工提供，在业务说明中，淘宝店主要求“提供车牌号+身份证后6位”，有的还注明要求“平安客户”。

大量车主信息通过此类交易从平安员工手中汇集到淘宝店主手中，而这些信息在绑定好车主之后，则曝光了诸如身份证、联系方式、违章信息等更多高价值数据。

身份证、手机号明文展示

平安好车主百万级用户数据流出 员工“刷单”行为被严惩

2016年10月20日，平安官方发布新闻，宣布平安好车主注册用户数达到2400万，绑车用户突破1000万。在2016年Q2财报中，该APP公布用户数刚刚突破400万。而截稿时，平安产险回应记者称，好车主APP注册用户数突破3000万。

高速增长的用户数背后却有灰色交易的支撑。以“平安好车主”为关键词在淘宝搜索，出现64家提供注册、绑定类服务的店铺，且均推出了“好车主APP推广”、“好车主绑定车辆、完成任务”等宝贝。

在淘宝上，提供注册、绑定类服务的店主均储备海量的手机卡，以承接各类注册、关注、绑定业务，其中包括平安好车主的业务。多家店铺客服告诉记者，我帮你注册，但绑车的话你需要提供车牌号+身份证后6位，没有上牌的车提供车架号+发动机号+身份证后6位。”绑定完成后，淘宝店主将手机号、登录密码、绑定车牌号+身份证后6位信息整理反馈给买家。

经同事提供车辆信息，记者绑定平安好车主测试发现，虽然注册手机号与车主预留联系方式不同，但并不影响绑定。而绑定之后，记者可以直接在平安好车主APP中查询被绑定车辆的保单信息、保险金额、车辆信息、车主联系方式、违章记录等核心数据。

在好车主APP的保单信息界面中，车主姓名、身份证信息均为明文展示。此外，平安好车主的保单信息、用户联系方式两项页面中还展示了车主手机号，虽然车主手机号中有4位数字使用“*”加密脱敏，但是，在保单信息界面中，车主手机号的后4位进行脱敏，其余7位明文。而在用户联系方式界面中展示的车主手机号却是对中间4位进行脱敏，手机号头3位、后四位数字明文展示。两个信息核对，即可轻易得出车主的正确手机号。

需要指出，大多金融类APP执行严格的安全审核机制，比如，在切换登录终端时，系统会要求登录者进行重复验证，且需要匹配多种银行预留信息。但记者在多个终端登录平安好车主账号时，均无需验证。如果淘宝店主将注册信息出售，购买者可以轻松在其他终端登录、查询，获取用户的详细数据。

记者统计了64家店铺中销量靠前的35家，总计交易笔数62.5万，其中一家名为“好车主工作室”的店铺，完成了17万笔交易。需要指出，总销量远高于此，有部分销量超过10万的宝贝在记者调查期间被删除，未列入统计。

除了少部分交易不要求员工提供车辆信息之外，绝大多数交易都要求员工提供车辆、车主信息，每笔交易会绑定5-10辆车。这也就意味着，在此类交易中，大量车辆信息存在外流。

但是，需要指出，平安产险互联网事业部再回应记者时虽然承认虚假注册的存在，但否认数据泄露，并表示“经内部排查，被不法商家用来完成虚假注册的信息无法通过好车主APP获取更多隐私。”

车主数据流入黑产

此类信息，已经开始公开出售。

记者咨询了淘宝上3家提供好车主注册、绑定业务的店主，询问“是否可以出售部分平安车险的车辆信息”，其中一家店主拒绝了记者；一位店主在记者报价5元/条之后开始犹豫，并不断询问记者“做什么用”，但并没有出售；第三家店主在询问记者需求、用途之后，同意向记者出售数据。以5元/条价格，首批出售了百条平安车主数据供记者测试。经平安产险内部员工随机测试，“（测试车牌号）都是平安保险客户，有的还刚刚出险过。”

在了解到记者每月都有数万条需求量之后，该店主告诉记者：“等你确定需求后找我，我这都是你们平安给的数据，全国各省都有，全部都是真的。最好是大量交易，一次这么点太麻烦了。”

一位多年研究数据黑产的业内人士告诉记者：“淘宝店主经常会流出高价值数据，但是他们只会卖给熟人。向这种出售给陌生人的，只能说明数据早已流入黑市，你买到的已经是二手数据了。”

车主数据的外流，已经引起多个平台、监管机构的重视。

2015年下半年以来，不少车主遭遇车辆信息泄露，其中，部分车主信息被绑定到滴滴平台，成为滴滴快车、顺风车司机。记者调查发现，仅过去半年期间，此类情形引起的公开投诉已经超过上百起。

记者通过淘宝、QQ搜索“滴滴注册”，联系数位提供“滴滴注册”业务人士，对方告诉记者：“车牌号、驾驶证、身份证，我这都有。”不过，由于滴滴修改规则，目前无法利用他人驾驶证进行注册，“以前所有材料都可以用别人的去注册，都能过。但现在加了人脸识别，驾照必须用真的。”不过，依然可以使用他人的车牌号进行注册。

此外，2016年以来，全国各地陆续爆发大量“违章信息诈骗”案例，车主手机会收到真实的车辆违章资料短信，而这些短信中内置木马链接，全国各地均有受害人被诈骗。为此，多地公安机关曾发文提醒广大市民“警惕‘交通违章’诈骗短信”。

目前，并不确定此类诈骗涉及到的数据泄露是否来自平安好车主APP。

平安严惩刷单员工

平安好车主只是平安集团推出的40多款APP中的一种，而且，并不是用户量最大的。

目前，注册用户最多的是平安金管家APP。好车主、金管家分别属于平安产险、平安寿险。平安寿险相关人士告诉记者：“全国110万保险代理人推广金管家，目前已经实现9000多万注册量。”

不过，记者调查发现，金管家的部分注册量也来自淘宝店铺。记者以金管家为关键词在淘宝搜索，发现353家店铺。记者一周前统计其中排名靠前的28家店铺，涉及金管家注册的交易笔数为172万。不过，至截稿时，记者发现，其中部分店铺交易笔数在过去的一周内增长过万。

“黑市上，不少手机黑卡，都会去平安的产品里跑一遍，去接注册任务。一年千万张黑卡，每到月底的时候还供不应求。”前述爆料知情人告诉记者：“很多店主光靠平安的业务就轻松盈利百万。”

事实上，平安人寿、产险均已发现此类“刷单”行为，并且严格打击，两者均回应记者称，“严格禁止任何数据造假行为，并采取多项技术手段对注册信息进行监控排查，严惩违规行为。”

前述县城平安保险代理人告诉记者：“公司不让买注册，前段时间查出来几个人，连带经理一起被处罚，都扣了品质分，远比完不成的罚款更严重。”此外，在淘宝评论区，也有员工告诫同行：“不要买注册。我刚买就被公司发现，扣品质分、警告批评，都成了保险生涯的污点。”

但是，这类处罚并未能阻挡员工的“刷单”脚步，在记者统计金管家的淘宝交易时，有店铺在最近一周内销量激增，排名前五的店铺，交易笔数均增长过万。而且，为了应对平安保险的技术侦查，淘宝店主通过更改终端IMEI、MAC号码，做到一个注册对应唯一终端、唯一手机号，并且定期对此类虚假做“活跃”、“参加平安有约健康行”活动等等，以伪装成真实用户。不过，店主在提供金管家注册服务时仅要求员工提供“员工工号”，记者并未在金管家APP发现与好车主类似的客户信息泄露。

平安寿险、产线均告诉记者，针对电商平台可能出现的刷单行为，我司已经对出现的违规行为进行举报，要求平台方予以下架处理。”不过，至记者截稿时，淘宝并未对平安系APP的关键词进行屏蔽。

此前，国家电网曾因旗下掌上电力APP的刷单行为向淘宝投诉，淘宝删除了所有电力APP绑定服务的宝贝，但并没有对相关店铺做出处罚。

记者咨询此事件，淘宝回应：“今年12月13日，淘宝网应国家电网相关部门的要求，已对‘国家电网APP’相关商品进行了全部下架处理。”但对于记者“这些店铺收集用户信息行为是否违法、违规”的疑问，淘宝回应称：“对于涉事卖家，是否存在倒卖个人信息等行为。平台愿配合权利人和执法机构进行调查处理。”

◆来源：漏洞银行

◆本文版权归原作者所有，如有侵权请联系我们及时删除