5月9日，银保监会消费者权益保护局发布通报：2020年3月，中信银行在未经客户本人授权的情况下，向第三方提供个人银行账户交易明细，违背为存款人保密的原则，涉嫌违法违规，将按照相关法律法规，对中信银行启动立案调查程序，严格依法依规进行查处。

　　给钱就能“拉银行流水”吗？银行等金融机构中仍存哪些个人信息保护漏洞？应如何堵住？新华社记者对此展开调查。

　　网络贩卖信息有真有假

　　记者调查发现，当前一些网络平台个人“银行流水”信息的售价从600元至5000元不等，查询时段为1个月至12个月，时段越长价格越高，买家只需要提供查询对象身份证号码就能查询。

　　QQ名为“杨大”的卖家告诉记者，被贩卖的各种个人信息中，“银行流水”等金融信息最值钱。他表示，做这行的都得在银行等金融机构里“有人”。记者查询中国裁判文书网发现，银行“内鬼”参与倒卖个人金融信息的情况并不少见。

　　记者还发现，由于卖家大多要求“先付款后查询”，也有不少所谓“侦探公司”借此诈财。名为“百胜私家侦探公司”的卖家向记者开价600元表示可查某股份制银行客户的信息。记者支付部分定金后，卖家表示40分钟左右会将会发来相关流水信息。约25分钟后，记者发现自己被该卖家“拉黑”。

　　银行内部确实存有漏洞

　　记者调查发现，当前银行等金融机构中仍存一些隐患值得警惕。

　　——为“拉客户”“冲业绩”违规泄露用户信息成部分银行“潜规则”。浙江某农村信用社的一线柜员小张告诉记者，银行内部只有一线柜员有权限查询客户流水及其他信息，且查询时需其他员工共同授权，系统会自动留痕。

　　“但如果行长级别的领导以业务需要为名要求查询导出某客户流水，柜员往往难以拒绝。为‘笼络大客户’，而帮其私拉他人流水，这在一些银行也不是秘密。”小张说。

　　——银行内控漏洞致用户信息流进“黑市”。曾在广州某银行任职一线柜员的周女士透露，其所在银行的柜员可以随意查看客户半年内交易流水，无需授权。

　　——部分银行App涉嫌过度索权致泄露信息风险上升。记者随机测试了多款银行App，发现其中多家存在不同程度“诱导”用户授权获取手机信息权限，如不同意其隐私条款则不能继续使用。且该类授权属于“一次授权、长期有效”，后期再使用时，系统不再提示授权。

　　北京师范大学网络法治国际中心高级研究员臧雷表示，根据相关国家标准，金融借贷类App可以获取的最小权限范围为存储权限。机构应尽量遵循最小索权原则，尽量不因存储权限之外的权限影响用户使用App的关键功能。

　　某银行风控部门工作人员向记者透露，目前大多数银行App都涉及技术外包合作方，尽管在遴选时对合作企业背景、安全性有一定考量，但合作企业部分员工泄露信息的风险仍然不小。

　　提升“法律＋技术”防护力

　　中国人民银行某省级分行工作人员建议，对于问题较为严重的银行应追究其法律责任，不能仅“内部处理”了事。

　　2月，央行和全国金融标准化技术委员会发布了个人金融信息保护技术规范，对金融业机构的个人金融信息保护提出了规范性要求。《个人金融信息（数据）保护试行办法》也将在征求意见结束后正式对外发布。

　　北京师范大学法学院数字经济与法律研究中心主任汪庆华表示，目前的个人信息侵权民事救济机制仍然着眼于弥补实际损失，难以对故意侵权者在法律上形成有力约束。建议对非法披露他人信息、故意侵害他人信息权利的行为设定最低赔偿金额，加大惩罚力度。

　　上海段和段律师事务所律师刘春泉建议，应督促银行筛查自身和第三方合作公司在个人金融信息采集、传输、维护、留痕的全流程管理中，可能出现的泄露风险点，及时更新防火墙、身份认证系统、数字签名等安全监控技术，防止因不规范操作泄露或恶意窃取等内部人作案。（新华社）