百度金融被指存安全漏洞 风控亟待完善

　　近日，以金融科技公司自居的百度金融发生了用户的账号被盗用，并成功在百度有钱花借款的事例，通过《投资者报》记者调查，出现类似情况的人并不在少数。

　　《投资者报》记者 刘逸伦 高方方

　　在本月初的百度AI开发者大会上，百度高级副总裁、度小满CEO朱光对外宣布百度金融新品牌“度小满”正式启用，百度金融迎来新的发展阶段，但账号盗用借款事件暴露出的风控问题却引发用户担忧。对于上述情况，同盾科技相关人员称，若借贷者产生逾期行为，手机号码关联者也会存在征信污点，并在央行征信系统中有所体现。对于上述提到的现象。对此，百度金融在回复《投资者报》记者采访时仅表示，用户在申请贷款时，有多个环节对用户进行身份验证，以确保是本人操作。

　　漏洞之惑

　　王达（化名）在今年年初发现了一件蹊跷的事，从未使用过百度钱包的他，收到了“百度有钱花”的短信提醒。短信中写着“[百度]<百度有钱花>亲爱的用户：您已开通自动还款功能，每月15日是您的还款日，本期应还款金额1210.37元。为了避免影响您的信用记录，请于还款日早8点前确保绑定的银行卡余额充足，如已还款，请忽略。”

　　王达对这则短信内容感到震惊，随后立即下载了百度钱包进行查验，王达登录账户后发现，“用了七八年的百度账号和手机号，都被一个不认识的人实名认证了，并且绑定了她的银行卡，用于还英孚英语的课程贷款。”在百度钱包“实名认证”页面显示的姓名为“赵晓月”，身份证号码以3开头，以X结尾，并绑定了招商银行（28.090， -0.03， -0.11%）的储蓄卡，卡号后四位为“0463”。

　　从还款页面可以看到，这位名为“赵晓月”的人自2017年7月期开始使用“百度有钱花”自动还款业务已经成功还款6期，每期还款1210.37元。至王达收到还款短信时，“赵晓月”的待还金额还有14524.56元。

　　在这个百度账号下（百度钱包可以直接用百度账号登录），实名认证和绑定的银行卡信息都是赵晓月的，但该账号绑定的手机号码、邮箱却是王达的。

　　王达曾经致电“百度有钱花”客服，客服称，唯一的解决办法是王达弃用这个账号，因为百度是以实名信息为最高等级的（来认证）。“我很多次提醒百度的客服，跟他们说这是一个很大的安全隐患，他们都不以为意。”王达说。

　　据移动通信客服解释，同一号码绝不会有两个人同时使用。有一种情况是手机号码若长期处于不使用状态并账户内余额已扣除完毕的情况下，3个月后该号码会被回收。但被回收后，不会立即投入使用，经过半年到一年的冷冻期后，才会将该号码重新投入市场。

　　事实上，经过《投资者报》记者调查，百度账号被盗用，他人进行贷款的情况并不是个例。如有用户收到百度有钱花类似短信，但并未使用过“百度有钱花”软件，此外，还有用户收到百度有钱花开通账号的短信，但她称自己从未注册过“百度有钱花”借贷软件。

　　更蹊跷的是，有用户近期在百度有钱花贴吧反映，一年前，其在百度有钱花借款800元，借款逾期后，他故意一直没有接听百度有钱花的催收电话。近日，他再登录百度有钱花平台，原来使用的账号被注销，有钱花业务的界面也看不到了。

　　风控待加强

　　度小满金融，原为百度金融。2018年4月，百度宣布旗下金融服务事业群组完成拆分，并签署融资协议，拆分后，百度金融启用全新品牌“度小满金融”，实现独立运营。百度给予“度小满金融”的基本定位就是“利用AI技术在全金融领域布局”。百度金融业务依托百度大数据、技术资源，以“金融科技”进行联动宣传。

　　在度小满金融官网，度小满金融将自身的定位表述为“金融科技公司”，具体描述为“度小满将充分发挥百度的AI优势和技术实力，用科技为更多人提供值得信赖的金融服务。”

　　但技术只是一种保障手段，并非绝对安全。快手CEO和创始人宿华曾说：“技术不是万能的，人工干预是有必要的。”这位有着Google和百度从业经验的技术人物在历经实践后公开发出这样的感慨。技术不是万能的，甚至是有漏洞的。

　　如今中国互联网金融企业中，一般在用户贷前阶段做“三要素”合验，即姓名、手机号码、身份证号码三方对照，以确保借贷用户是本人操作。“三要素”查验的过程很简单，将姓名和身份证号码输入，从运营商数据库中调取绑定的手机号码，匹配一致即为本人操作。

　　“通常手机号码匹配信息的业务并不是由人工来完成，而是由人工智能（AI）技术进行收集和整理。但AI技术并不能够识别同一手机号码所绑定额信息是否为不同人的信息，它将读取的是这一号码整个历史全部信息。虽然移动、联通、电信三大运营商清除了在其平台的数据，但三大运营商并不能够擦除该手机号码在其他平台的绑定信息。这就造成了前后所有使用过该手机号码的用户信息都将被读取，并统一认作现持有人的个人信息。”业内人士称。

　　度小满金融的相关负责人对上述现象解释道，“用户在申请借款时，实名认证环节需要本人提交银行卡信息并输入密码；在贷款额度支付审核环节，申请人需要通过人脸识别的验证，确保贷款是本人发起的申请。在教育分期的展业环节，百度有钱花将贷款支付给培训机构时需要在此输入密码确认。贷款申请中用户还会多次收到短信提醒。”

　　记者采访了同盾科技的相关人员，该人士称，这种账号错配进行借贷的事件对于用户还是有一定影响的。若借贷用户发生了逾期，虽然在人行征信不会有所体现，但在一些互联网平台的征信是有一些体现的。

　　2018年1月4日晚，央行官网宣布，中国人民银行正式受理了百行征信有限公司（筹）的个人征信业务申请，并将相关情况予以公示。此举标志着开展征信业务的“信联”诞生，“信联”定位于建立国家基础性信用信息数据库，将于央行征信中心形成有效补充。“信联”的一大重要工作内容即是通过将互联网借贷逾期名单补充到现有央行征信系统内，这就意味着，若个人在互联网金融借贷平台上进行借贷发生逾期或故意不还的行为，则将会在央行征信系统中留下记录。