百度金融被指存安全漏洞 風(fēng)控亟待完善

劉逸倫 高方方

在本月初的百度AI開發(fā)者大會上，百度高級副總裁、度小滿CEO朱光對外宣布百度金融新品牌“度小滿”正式啟用，百度金融迎來新的發(fā)展階段，但賬號盜用借款事件暴露出的風(fēng)控問題卻引發(fā)用戶擔(dān)憂。對于上述情況，同盾科技相關(guān)人員稱，若借貸者產(chǎn)生逾期行為，手機(jī)號碼關(guān)聯(lián)者也會存在征信污點(diǎn)，并在央行征信系統(tǒng)中有所體現(xiàn)。對于上述提到的現(xiàn)象。對此，百度金融在回復(fù)《投資者報(bào)》記者采訪時僅表示，用戶在申請貸款時，有多個環(huán)節(jié)對用戶進(jìn)行身份驗(yàn)證，以確保是本人操作。

漏洞之惑

王達(dá)（化名）在今年年初發(fā)現(xiàn)了一件蹊蹺的事，從未使用過百度錢包的他，收到了“百度有錢花”的短信提醒。短信中寫著“【百度】<百度有錢花>親愛的用戶：您已開通自動還款功能，每月15日是您的還款日，本期應(yīng)還款金額1210.37元。為了避免影響您的信用記錄，請于還款日早8點(diǎn)前確保綁定的銀行卡余額充足，如已還款，請忽略?！?/p>

王達(dá)對這則短信內(nèi)容感到震驚，隨后立即下載了百度錢包進(jìn)行查驗(yàn)，王達(dá)登錄賬戶后發(fā)現(xiàn)，“用了七八年的百度賬號和手機(jī)號，都被一個不認(rèn)識的人實(shí)名認(rèn)證了，并且綁定了她的銀行卡，用于還英孚英語的課程貸款?！痹诎俣儒X包“實(shí)名認(rèn)證”頁面顯示的姓名為“趙曉月”，身份證號碼以3開頭，以X結(jié)尾，并綁定了招商銀行的儲蓄卡，卡號后四位為“0463”。

從還款頁面可以看到，這位名為“趙曉月”的人自2017年7月期開始使用“百度有錢花”自動還款業(yè)務(wù)已經(jīng)成功還款6期，每期還款1210.37元。至王達(dá)收到還款短信時，“趙曉月”的待還金額還有14524.56元。

在這個百度賬號下（百度錢包可以直接用百度賬號登錄），實(shí)名認(rèn)證和綁定的銀行卡信息都是趙曉月的，但該賬號綁定的手機(jī)號碼、郵箱卻是王達(dá)的。

王達(dá)曾經(jīng)致電“百度有錢花”客服，客服稱，唯一的解決辦法是王達(dá)棄用這個賬號，因?yàn)榘俣仁且詫?shí)名信息為最高等級的（來認(rèn)證）?！拔液芏啻翁嵝寻俣鹊目头?，跟他們說這是一個很大的安全隱患，他們都不以為意?！蓖踹_(dá)說。

據(jù)移動通信客服解釋，同一號碼絕不會有兩個人同時使用。有一種情況是手機(jī)號碼若長期處于不使用狀態(tài)并賬戶內(nèi)余額已扣除完畢的情況下，3個月后該號碼會被回收。但被回收后，不會立即投入使用，經(jīng)過半年到一年的冷凍期后，才會將該號碼重新投入市場。

事實(shí)上，經(jīng)過《投資者報(bào)》記者調(diào)查，百度賬號被盜用，他人進(jìn)行貸款的情況并不是個例。如有用戶收到百度有錢花類似短信，但并未使用過“百度有錢花”軟件，此外，還有用戶收到百度有錢花開通賬號的短信，但她稱自己從未注冊過“百度有錢花”借貸軟件。

更蹊蹺的是，有用戶近期在百度有錢花貼吧反映，一年前，其在百度有錢花借款800元，借款逾期后，他故意一直沒有接聽百度有錢花的催收電話。近日，他再登錄百度有錢花平臺，原來使用的賬號被注銷，有錢花業(yè)務(wù)的界面也看不到了。

風(fēng)控待加強(qiáng)

度小滿金融，原為百度金融。2018年4月，百度宣布旗下金融服務(wù)事業(yè)群組完成拆分，并簽署融資協(xié)議，拆分后，百度金融啟用全新品牌“度小滿金融”，實(shí)現(xiàn)獨(dú)立運(yùn)營。百度給予“度小滿金融”的基本定位就是“利用AI技術(shù)在全金融領(lǐng)域布局”。百度金融業(yè)務(wù)依托百度大數(shù)據(jù)、技術(shù)資源，以“金融科技”進(jìn)行聯(lián)動宣傳。

在度小滿金融官網(wǎng)，度小滿金融將自身的定位表述為“金融科技公司”，具體描述為“度小滿將充分發(fā)揮百度的AI優(yōu)勢和技術(shù)實(shí)力，用科技為更多人提供值得信賴的金融服務(wù)?！?/p>

但技術(shù)只是一種保障手段，并非絕對安全。快手CEO和創(chuàng)始人宿華曾說：“技術(shù)不是萬能的，人工干預(yù)是有必要的?！边@位有著Google和百度從業(yè)經(jīng)驗(yàn)的技術(shù)人物在歷經(jīng)實(shí)踐后公開發(fā)出這樣的感慨。技術(shù)不是萬能的，甚至是有漏洞的。

如今中國互聯(lián)網(wǎng)金融企業(yè)中，一般在用戶貸前階段做“三要素”合驗(yàn)，即姓名、手機(jī)號碼、身份證號碼三方對照，以確保借貸用戶是本人操作?！叭亍辈轵?yàn)的過程很簡單，將姓名和身份證號碼輸入，從運(yùn)營商數(shù)據(jù)庫中調(diào)取綁定的手機(jī)號碼，匹配一致即為本人操作。

“通常手機(jī)號碼匹配信息的業(yè)務(wù)并不是由人工來完成，而是由人工智能（AI）技術(shù)進(jìn)行收集和整理。但AI技術(shù)并不能夠識別同一手機(jī)號碼所綁定額信息是否為不同人的信息，它將讀取的是這一號碼整個歷史全部信息。雖然移動、聯(lián)通、電信三大運(yùn)營商清除了在其平臺的數(shù)據(jù)，但三大運(yùn)營商并不能夠擦除該手機(jī)號碼在其他平臺的綁定信息。這就造成了前后所有使用過該手機(jī)號碼的用戶信息都將被讀取，并統(tǒng)一認(rèn)作現(xiàn)持有人的個人信息。”業(yè)內(nèi)人士稱。

度小滿金融的相關(guān)負(fù)責(zé)人對上述現(xiàn)象解釋道，“用戶在申請借款時，實(shí)名認(rèn)證環(huán)節(jié)需要本人提交銀行卡信息并輸入密碼；在貸款額度支付審核環(huán)節(jié)，申請人需要通過人臉識別的驗(yàn)證，確保貸款是本人發(fā)起的申請。在教育分期的展業(yè)環(huán)節(jié)，百度有錢花將貸款支付給培訓(xùn)機(jī)構(gòu)時需要在此輸入密碼確認(rèn)。貸款申請中用戶還會多次收到短信提醒?！?/p>

記者采訪了同盾科技的相關(guān)人員，該人士稱，這種賬號錯配進(jìn)行借貸的事件對于用戶還是有一定影響的。若借貸用戶發(fā)生了逾期，雖然在人行征信不會有所體現(xiàn)，但在一些互聯(lián)網(wǎng)平臺的征信是有一些體現(xiàn)的。

2018年1月4日晚，央行官網(wǎng)宣布，中國人民銀行正式受理了百行征信有限公司（籌）的個人征信業(yè)務(wù)申請，并將相關(guān)情況予以公示。此舉標(biāo)志著開展征信業(yè)務(wù)的“信聯(lián)”誕生，“信聯(lián)”定位于建立國家基礎(chǔ)性信用信息數(shù)據(jù)庫，將于央行征信中心形成有效補(bǔ)充?！靶怕?lián)”的一大重要工作內(nèi)容即是通過將互聯(lián)網(wǎng)借貸逾期名單補(bǔ)充到現(xiàn)有央行征信系統(tǒng)內(nèi)，這就意味著，若個人在互聯(lián)網(wǎng)金融借貸平臺上進(jìn)行借貸發(fā)生逾期或故意不還的行為，則將會在央行征信系統(tǒng)中留下記錄。