大量明星健康宝素颜照片被泄露，后续来了

近日，明星健康宝照片泄露事件引发关注。有卖家号称，手里的照片至少涉及300余名明星。今天（29日）中午，南方都市报·隐私护卫队实测发现，相关功能已调整，无法仅根据姓名、身份证号查询他人健康宝信息。

该事件暴露的个人信息买卖问题更值得警惕。隐私护卫队曾调查发现，十余元就可买到明星的身份证号、手机号等信息。根据《刑法》，违反国家有关规定，向他人出售或者提供公民个人信息，情节特别严重的可处三年以上七年以下有期徒刑，并处罚金。

戳视频看此前报道↓↓

有卖家出售300余名明星的健康宝照片

近日，网上有人兜售明星在北京健康宝中的人脸照片。据不完全统计，隐私护卫队发现网络上流传着70多名明星的照片截图，包括杨幂、杨超越、蔡徐坤、王俊凯、王源、易烊千玺、刘昊然等。而在网络里的“售图”贴中，有人号称“绝对最全”，除去重复至少有300张。

隐私护卫队注意到，北京健康宝小程序的开发者为北京市经济和信息化局。除了人脸照片，被曝光的还有明星的姓氏、部分身份证号码，以及做核酸检测的机构及具体检测时间。

昨天（28日），隐私护卫队实测发现，在自己健康宝的“他人核酸检测结果代查”功能中，输入同事的姓名和身份证号并点击“确定”，即可显示同事登记的人脸照片。值得注意的是，尽管上述功能显示“需要人脸识别”，实际并未触发。

当天14时许，北京市经信局的一名工作人员告诉隐私护卫队，已将明星照片泄露和人脸识别功能未触发的问题向上反映，正在核实了解相关情况，后续将会公开相关调查结果。截止发稿前，尚无进一步回应。

今天中午，隐私护卫队发现上述功能已调整，查验他人核酸检测结果需先通过人脸识别。

展现核酸检测结果有必要显示照片吗？

隐私护卫队了解到，上线代查他人健康码、核酸检测结果等功能通常是为了照顾没有智能手机、不会使用智能手机的人群。然而，该功能却被不法分子利用。

29日，中国电子技术标准化研究院信安中心测评实验室副主任何延哲撰文指出，如果在健康宝中设置了人脸识别功能但实际并未触发，“属于业务逻辑出错的问题”。

退一步讨论，为了展示核酸检测结果，是否有必要显示照片？他认为，若某人员因无法自查健康码状态需要代查，那么仅需要核对身份证信息即可，如果需要核对照片，可直接拿身份证上的照片进行人工核对。

在何延哲看来，全国不同地区的“健康码”“防疫码”中，展示照片的情形非常少，不展示也不会影响使用。“如果没有展示照片这个业务逻辑，这次事件其实就可以避免。”

北京清律律师事务所首席合伙人熊定中对隐私护卫队说，即使增加或开通人脸识别功能在一定程度上能阻止健康宝信息泄露的发生，但会降低便捷性。因此，是否应增加除身份证号之外的验证功能，需要平衡安全与效率及技术成本，更严格的安全措施不一定更有利于整体社会福祉。

他还强调，理论上，查询他人健康宝中的信息需要经过本人授权。未经允许查询并兜售他人在健康宝中的人脸照片，涉嫌侵犯肖像权。

明星信息泄露后：

里程被盗刷，被恶意报名登记器官捐赠

何延哲还在文章中指出，在个人姓名、身份证号等可以从黑市等途径获得的前提下，便产生了安全隐患。隐私护卫队注意到，明星的身份证号被买卖的后果，不只有健康宝人脸照片泄露。

今年9月6日，有网友曝出演员吴磊被盗刷23万余航空里程。9月8日下午，歌手江映蓉在微博上晒出一张打码的身份信息截图及通话记录截图，称自己的航空里程被盗。

一天后，演员李晨发文称其里程卡从2018年6月开始就被盗刷大量积分，有十来位陌生人使用了他的里程积分并兑换免费机票。9月20日，演员张萌称有陌生人用她的身份信息办理了一张航空公司积分卡：“航空公司的网络审核这么不严格吗？”

11月份，两位嫌疑人因盗刷明星里程、涉嫌盗窃罪被检察院批捕。据报道，两人加入某位艺人的追星群后，通过添加好友赠送明星身份证号的方式，得到了艺人的身份证号。其后，两人又试出了该艺人在某航空公司App的登录密码，并将自己的身份信息登记为受益人。自去年9月至今年8月，两人陆续盗刷该艺人的30余万航空里程，兑换并使用了15张机票，价值3万余元。

此外，去年8月，明星张艺兴因身份证信息泄露，被人恶意报名登记器官捐赠。当时，张艺兴的妈妈在微博控诉：“捐赠器官是多么高尚的行为，却被拿来泄私愤，我为做这件事的人感到可耻！”

买卖他人个人信息触犯刑法

据《红星新闻》记者调查，买卖“健康宝照片”是近日明星代拍行业里出现的一项新型交易——开始是花1元可购买1位明星健康宝照片，后来陆续出现2元打包70多位艺人健康宝照片、1000多位艺人身份证号仅售1元等售卖信息。经查证，部分身份证号码属实。

事实上，明星个人信息买卖一直十分猖獗。隐私护卫队曾调查发现，在某社交平台上以明星名字、“Sfz”（身份证）等作为关键词进行搜索，售卖明星个人信息的内容随处可见。

有卖家称，一趟国内航班信息的售价是5元，节目录制地址加上明星入驻酒店信息的售价是10元。此外，明星的身份证、手机号等信息是统一价格，不同卖家的单个号码售价在15至35元不等。

对于信息来源，某明星的粉丝曾告诉隐私护卫队，有些是从机场、酒店、路演现场的一些别有用心的内部人员中泄露的，有些是不法分子利用技术手段盗取的。

实际上，未经他人同意，公开、交易他人个人信息的行为已经触犯了刑法。

《最高人民法院 最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第三条明确规定：向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为刑法第二百五十三条之一规定的“提供公民个人信息”。

根据《刑法》，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

南方都市报（nddaily）报道

南都个人信息保护研究中心研究员 尤一炜

* 南方都市报（nddaily）原创内容未经授权，不得转载。

 ▊ 南都君特选（戳下方标题）