在(zai)记(ji)者(zhe)采(cai)用(yong)同(tong)样(yang)的(de)方(fang)式(shi)测(ce)试(shi)第(di)三(san)个(ge)智(zhi)慧(hui)停(ting)车(che)场(chang)时(shi)并(bing)没(mei)有(you)直(zhi)接(jie)显(xian)示(shi)出(chu)车(che)辆(liang)的(de)敏(min)感(gan)信(xin)息(xi)但(dan)经(jing)过(guo)技(ji)术(shu)专(zhuan)家(jia)的(de)辨(bian)别(bie)发(fa)现(xian)该(gai)停(ting)车(che)场(chang)只(zhi)是(shi)没(mei)有(you)在(zai)前(qian)台(tai)显(xian)示(shi)信(xin)息(xi)后(hou)台(tai)实(shi)际(ji)上(shang)有(you)了(le)应(ying)答(da)返(fan)回(hui)的(de)数(shu)据(ju)包(bao)里(li)同(tong)样(yang)有(you)着(zhe)车(che)辆(liang)敏(min)感(gan)信(xin)息(xi)专(zhuan)家(jia)告(gao)诉(su)记(ji)者(zhe)这(zhe)样(yang)的(de)招(zhao)数(shu)只(zhi)能(neng)让(rang)消(xiao)费(fei)者(zhe)不(bu)能(neng)直(zhi)接(jie)看(kan)到(dao)但(dan)是(shi)不(bu)法(fa)分(fen)子(zi)依(yi)然(ran)能(neng)轻(qing)易(yi)获(huo)取(qu)这(zhe)些(xie)敏(min)感(gan)的(de)个(ge)人(ren)信(xin)息(xi)

2017年《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》中规定：

犯罪分子利用停车信息追踪社会车辆

违法安装跟踪器，对公民人身安全造成巨大隐患

犯罪分子的聊天群里每天在滚动发布着各种车辆的实时停车信息，包括了车牌号、停车场具体地址、进场时间等等。最后，几十名青壮年男子在村头集合，由族长石云峰带着来到旁边的雷击木前，对着老柳树认真祈祷。

被犯罪分子“盯上”的车辆一旦进入停车场，显示在群里，几十分钟之内，就会被装上GPS无线定位器，强磁吸附且超长待机。

2023年，安徽砀山网警破获了一起非法获取计算机信息系统数据，侵犯公民个人信息的案件。犯罪分子的突破口，就是全国数千个智慧停车服务系统中的数据接口漏洞。据安徽省砀山县公安局网安大队侦查中队中队长余天龙介绍，全国主流的这些停车场系统，它们都有一个问题是任何一个人都可以为任何一个车辆去缴费。通过批量地在这些停车场系统里面进行模拟缴费，获取返回值进行解析，就可以确定某一台车是不是在某一个停车场系统里面。

据警方介绍，不法分子通过互联网接单，帮助客户寻找指定车辆。在实施犯罪的过程中，正是利用了停车小程序数据接口上的漏洞。之后，短则几分钟，贴手就会找到指定车辆，贴上GPS追踪器。据警方资料显示，贴手每贴一辆车能获利800元到1000元。那些位于上游的入侵停车场数据系统的不法分子更是获利不菲。可仅一会儿工夫他就被分散了注意力，站起身来，摇摇摆摆，冲向不远处一只正在蹦蹦跳跳的五色雀，结果磕磕绊绊，连摔了几个屁墩儿，倒也不哭，气呼呼，哼哼唧唧爬起来再追。

这起案件中，安徽砀山网警成功打掉了这个非法获取售卖停车数据的犯罪团伙，抓获犯罪嫌疑人32名，查封远程服务器9台、关键脚本程序5套、车辆位置数据50余万条。

芦云律师向记者介绍，案件中犯罪分子的行为涉嫌非法侵入计算机信息系统，或者是非法获取计算机信息系统数据这样的罪名，那么同时也有可能涉嫌侵犯公民个人信息罪。

2024年10月，法院判决该案系列被告人犯侵犯公民个人信息罪，判决有期徒刑二年至四年不等。

点餐、办卡、订酒店，你的个人信息根本藏不住

就连医院验血的结果别人也能随意查看

眼(yan)下(xia)骚(sao)扰(rao)电(dian)话(hua)和(he)各(ge)类(lei)骚(sao)扰(rao)信(xin)息(xi)一(yi)直(zhi)是(shi)困(kun)扰(rao)广(guang)大(da)消(xiao)费(fei)者(zhe)的(de)一(yi)个(ge)问(wen)题(ti)最(zui)值(zhi)得(de)注(zhu)意(yi)的(de)是(shi)这(zhe)些(xie)推(tui)销(xiao)对(dui)消(xiao)费(fei)者(zhe)的(de)选(xuan)择(ze)也(ye)异(yi)常(chang)精(jing)准(zhun)中(zhong)国(guo)电(dian)子(zi)技(ji)术(shu)标(biao)准(zhun)化(hua)研(yan)究(jiu)院(yuan)网(wang)安(an)中(zhong)心(xin)的(de)何(he)延(yan)哲(zhe)表(biao)示(shi)问(wen)题(ti)就(jiu)出(chu)在(zai)A(A)P(P)I(I)上(shang)它(ta)也(ye)被(bei)称(cheng)为(wei)应(ying)用(yong)程(cheng)序(xu)接(jie)口(kou)其(qi)中(zhong)与(yu)开(kai)放(fang)传(chuan)输(shu)数(shu)据(ju)相(xiang)关(guan)的(de)则(ze)被(bei)称(cheng)为(wei)数(shu)据(ju)接(jie)口(kou)

购(gou)买(mai)机(ji)票(piao)时(shi)输(shu)入(ru)起(qi)点(dian)终(zhong)点(dian)的(de)输(shu)入(ru)框(kuang)就(jiu)是(shi)一(yi)个(ge)接(jie)口(kou)消(xiao)费(fei)者(zhe)进(jin)一(yi)步(bu)点(dian)击(ji)某(mou)个(ge)航(hang)班(ban)此(ci)时(shi)这(zhe)个(ge)网(wang)页(ye)链(lian)接(jie)也(ye)是(shi)一(yi)个(ge)数(shu)据(ju)接(jie)口(kou)消(xiao)费(fei)者(zhe)获(huo)得(de)服(fu)务(wu)的(de)过(guo)程(cheng)就(jiu)是(shi)一(yi)个(ge)个(ge)数(shu)据(ju)接(jie)口(kou)通(tong)过(guo)不(bu)断(duan)与(yu)后(hou)台(tai)进(jin)行(xing)数(shu)据(ju)交(jiao)互(hu)来(lai)实(shi)现(xian)的(de)专(zhuan)家(jia)告(gao)诉(su)记(ji)者(zhe)眼(yan)下(xia)消(xiao)费(fei)市(shi)场(chang)上(shang)的(de)网(wang)站(zhan)和(he)应(ying)用(yong)程(cheng)序(xu)上(shang)存(cun)在(zai)着(zhe)海(hai)量(liang)的(de)数(shu)据(ju)接(jie)口(kou)仅(jin)一(yi)个(ge)简(jian)单(dan)的(de)A(A)p(p)p(p)应(ying)用(yong)平(ping)均(jun)就(jiu)拥(yong)有(you)成(cheng)百(bai)上(shang)千(qian)个(ge)数(shu)据(ju)接(jie)口(kou)一(yi)个(ge)小(xiao)型(xing)平(ping)台(tai)就(jiu)可(ke)能(neng)拥(yong)有(you)上(shang)万(wan)个(ge)数(shu)据(ju)接(jie)口(kou)恰(qia)恰(qia)是(shi)这(zhe)些(xie)承(cheng)载(zai)着(zhe)海(hai)量(liang)数(shu)据(ju)流(liu)转(zhuan)和(he)交(jiao)互(hu)的(de)数(shu)据(ju)接(jie)口(kou)正(zheng)是(shi)不(bu)法(fa)分(fen)子(zi)眼(yan)中(zhong)的(de)薄(bo)弱(ruo)环(huan)节(jie)也(ye)逐(zhu)步(bu)成(cheng)为(wei)他(ta)们(men)主(zhu)要(yao)攻(gong)击(ji)的(de)目(mu)标(biao)

记者会同网络安全技术专家，针对不同消费场景中数据接口的使用情况进行了一系列实时测试和深入调查。技术测试分为三步：

——测试场景1：咖啡茶饮店的手机点餐

测试结果：专家仅仅使用最基础的解码程序，就轻而易举地从小程序的数据接口返回的数据包中，获取了记者下单消费的完整且没有加密的后台数据。这家咖啡店的网络小程序数据接口授权不严密，导致任意人员能轻易获取该企业数据库中用户的个人信息，比如手机号。

——测试场景2：运动健身购买月卡

测试结果：专家仅仅使用最基础的解码程序，就顺利通过了该小程序数据接口的用户身份校验，毫无阻拦地就拿到了完整且未加密的用户信息。这其中包括身高、体重、职业、生日等敏感信息。

——测试场景3：生活服务

测试结果：这家企业的小程序接口存在一个非常明显的漏洞：当消费者查询的订单号为空的时候，该接口就会返回数据库中所有订单的信息，这几乎让程序平台里的整个用户信息都存在极大的泄露风险。敏感信息包括手机号、姓名和居住地址。

——测试场景4：酒店订房

测试结果：这个小程序的接口虽然做了一定的加密措施，但是由于生成的订单号非常有规律，专业人员可以根据规律构造查询指令，也可以很轻易地查看到指定日期的所有订单信息。

——测试场景5：医疗信息

本期编辑 邢潭