被骗大学生信息是如何流入诈骗产业链的？

这原本是一个鲤鱼跃龙门的故事，却因一通诈骗电话沦为一场人间悲剧。

山东准大学生徐玉玉遭电信诈骗离世事件，让公众痛心。复盘事件经过，被骗前一天，徐玉玉刚接到教育部门发放助学金的电话通知，第二天诈骗犯就以“领取助学金”引其信以为真。然而这并非是孤例，徐玉玉事件之后，又曝出多位大学生惨遭电话诈骗。同在临沂市的临沭县大二学生宋振宁在连续遭遇电信诈骗后，心脏骤停，不幸去世。 不少人认为，徐玉玉们的联系方式和领取助学金信息泄露，是其含恨离世的最大元凶。 

当地警方已成立专案组，表示将全力尽快侦破此案，网上则一片声讨之声。“抓捕凶手，告慰亡灵”很重要，但仅做这些还远远不够：因为现行信息采集和管理体制的纰漏，为电信、网络诈骗等提供了可乘之机，修补漏洞并严格监管责任更显关键。

那么，学生信息是如何流入黑色产业链的？

治理需从源头开始！我们不禁要追问，信息泄露的源头——网络数据库——的安全问题是否到了亟待解决的时刻？  

数据库安全专家表示，“数据信息流入黑色产业链的主要途径有以下几种：

一种是接触到数据的工作人员泄露数据，一种是黑客入侵目标获取数据。
【1】一位教育信息化资深人士表示：“学生数据存放在很多地方，学校、招生办、教育机构等等。目前中小学数据教育部会提供统一平台，但大学数据，则存储在各个大学自己手中。”数据存储渠道的多样，增加了接触数据人员的数量，也无限放大了内部人员泄密的风险。 【2】此外，多位来自信息安全领域的权威人士表示：“教育行业的信息安全能力普遍极低。一些黑客哪怕只是掌握了这一领域的皮毛，想去攻击一些地方政府机构、教育机构的网站就已经很容易了。” 有专家发现，近年来针对考生的个人信息安全事件层出不穷，每年都会发生类似的情况。“这从侧面说明，教育系统已经成为黑客攻击的目标之一。” 一方面政府系统、教育机构还有一些公司网站，安全系统非常薄弱，本身就存在很多漏洞，攻击难度低，这样的情况下黑客获取信息会比较容易。 另一方面，绝大多数这类网站，没有专人去负责信息安全，甚至在被黑客攻击后也察觉不到。“级别越低的单位，因为在信息安全上的投入也相对较低，其安全性就更差，更易被黑客攻击。” 在某补漏洞平台上，最近两年内提交的相关教育机构的漏洞超过1100条，“实际上远比这多，主要是教育机构漏洞太多。随便一个入门的黑客，都能搞定绝大多数学校系统，几乎不耗时间，甚至只需要敲几下回车就可以。”一位信息安全资深人士对某部委直属大学做了测试，仅用几分钟即发现了该大学的漏洞，目前该大学已经修复该漏洞。
除了以上两种，第三方IT系统服务公司在提供服务时获取数据并泄露，也是造成数据信息流入黑链的途径之一。

目前，数据信息泄露问题远远不止发生在教育产业，据中国互联网协会发布的《中国网民权益保护调查报告》显示，去年（2015年），网民因个人信息泄露、垃圾信息、诈骗信息等现象，导致总体损失约805亿元。

网络信息安全保障，还需各方通力合作

事实上，网络信息安全保障已经成了国家层面的课题。但若要提升网络信息安全，单凭一己之力还不足够，需要监管部门、产业链各方通力合作，才能逐步遏制信息泄露带来的负面影响。

 一方面，在现有法律的基础上，对法规进行完善，加强入刑、量刑方面的条例，以增加法律威慑力及实用性，如针对信息安全泄露取证难、责任确定难的问题，规定服务商需承担举证责任或对责任界定做进一步的细化。我们也看到，依法治理倒卖信息已经有了相关判例。2015年03月10日，北京一所培训学校和教育公司的6名员工因倒卖学生和家长信息200万条，获三个月至一年不等的徒刑。据报道，这6人被控非法获取和购买200余万条学生和家长信息，向家长群发广告并在一个网络平台出售这些信息。
另一方面，需加强监督监管，对于不诚信或漏洞频发的网站，行业层面应该给予监督警示，对于那些屡教不改、违规严重的网站，行业监管部门可以以黑名单的形式进行公示，并给予严惩，让用户可以避开这些网络安全地雷。去年年底成立的中国网络安全产业联盟，将促进机构和企业将加强网络安全技术攻关，维护网络安全。

而对用户来说，首先要注意防范个人信息泄露，提高账户密码安全等级，不适用简单密码，并定期更换密码，不要在不同的网站上使用相同的密码，更不要点击陌生人发送来的网络链接；其次，若真的碰到个人信息泄露等网络安全问题，应当不怕麻烦，积极申诉举报。

值得一提的是，近日，中央网信办、国家质检总局、国家标准委近日联合印发《关于加强国家网络安全标准化工作的若干意见》，对构建我国网络安全标准体系作出部署。《意见》中提出，要围绕国家战略需求，开展关键信息基础设施保护、网络安全审查、工业控制系统安全、大数据安全、个人信息保护、网络安全信息共享等领域标准研制工作。全国信息安全标准化技术委员会秘书长高林指出，网络信息安全领域相关标准的制定可以促进个人信息安全的保护。“现在很多互联网企业都在收集个人信息，哪些可以收集、哪些不可以收集，都需要通过统一的标准来明确。同时，企业技术设施建设、数据管理能力提高等都需要标准的指导和保障。”