記者 | 趙孟
近年來，隨著人臉識別技術的廣泛運用，有關公民個人信息安全的問題日益引發關注。
界面新聞檢索裁判文書網發現，通過人臉識別方式侵犯公民個人信息的相關裁判文書有36起，最早的判例出現在2017年，當年有2起。近年來，相關判例呈遞增趨勢，2020年截至目前，這類判例已達18起。
這些判例披露的犯罪行為，主要集中在網貸平臺通過非法獲取公民人臉識別信息開通網貸賬號，或將人臉識別信息共享給催收公司，或將這些信息變賣獲利。此外，也有電信公司人員在未告知公民的情況下，違法采集公民個人信息開通手機卡。
值得注意的是，有兩份判例披露了不法分子制作3D人臉模型騙過支付寶人臉識別系統，進而實施詐騙的情況。這也暴露了日常應用程序在人臉識別技術方面存在的漏洞。
一位網絡安全專家告訴界面新聞，制作模擬3D人臉模型的黑色產業鏈已很成熟，而且許多軟件代碼已經開源，用身份證照片就可以從技術上模擬張嘴、眨眼等動作，仿真效果很高，可以騙過許多技術等級較低的人臉識別平臺。不過，近幾年隨著技術升級，要騙過大的應用平臺并不容易。
這位專家表示，人臉數據一旦被不法分子獲得，將給公民信息安全帶來極大風險，他建議應該對收集人臉數據的機構加強監管，最好設置資質等級，“什么樣的機構可以收集，應該有相應的安全等級要求。”
3D人臉模型騙過支付寶
2019年10月，成都市郫都區人民法院做出的一份判決披露，2018年8月，只有初中文化的重慶合川人唐杰通過他人介紹，先后兩次前往山東省菏澤市李瑞安處，學習制作用以破解支付寶人臉識別認證系統的3D人臉動態圖，并從被告人李瑞安處購買了相關設備，支付被告人李瑞安人民幣2萬余元。學成之后，唐杰在網絡上發布信息稱能夠提供破解支付寶人臉識別認證的服務。
2018年9月，唐杰從一個名叫“半邊天”的人士處獲得唐某的支付寶賬戶信息，受“半邊天”委托破解支付寶對該賬號的限制。唐杰采用制作唐某3D人臉動態圖的方式，突破了支付寶人臉識別認證系統，解除了支付寶對唐某賬號的限制登錄。
唐杰將唐某支付寶賬戶信息提供給被告人張羽，被告人張羽通過偽造唐某手持身份證和承諾函的照片，并撥打支付寶客服電話，解除了支付寶對唐某賬戶的資金凍結。隨后，張羽采用購買話費的形式，將唐某支付寶賬戶內的人民幣2.4萬余元轉移。
不久，張羽在四川省廣漢市被抓獲，警方當場在其房間內查獲華碩筆記本電腦1臺，從該電腦內提取到包含姓名、身份證號碼、銀行卡號等的公民個人信息2000余萬條。遂即，唐杰和李瑞安業相繼被抓獲。
2019年9月19日，郫都區人民法院做出一審判決，張羽犯非法獲取計算機信息系統數據罪和犯侵犯公民個人信息罪，數罪并罰決定合并執行有期徒刑六年六個月，并處罰金人民幣六萬元。唐杰犯非法獲取計算機信息系統數據罪，判處有期徒刑一年十個月，并處罰金人民幣一萬五千元。其余人員也獲相應刑罰。
這并非孤例。從2018年7月份開始，浙江紹興人張富雇傭姚麗萍，并教授余杭飛使用其購買的公民個人身份信息注冊支付寶賬號，再使用軟件將公民頭像照片制作成公民3D頭像，從而通過支付寶人臉識別認證。張富、姚麗萍等人通過這種方式來獲取支付寶提供的邀請注冊新支付寶用戶的相應紅包獎勵，每個新注冊支付寶至少可以獲取28元收益。
案發后，警方從張富處查扣近2000萬條公民個人信息，從余杭飛工作室查扣其從張富處非法獲取的公民個人信息287773條。從2018年7月份至案發，張富共使用他人個人身份信息注冊成功至少547個通過人臉識別認證的實名支付寶賬戶，從中非法獲利15316元。其中姚麗萍涉及注冊成功支付寶賬戶有239個，非法獲利6692元，個人非法所得2000元。
2019年11月18日，浙江省江山市人民法院作出一審判決，張富犯侵犯公民個人信息罪和詐騙罪，決定執行有期徒刑四年八個月，并處罰金人民幣15000元；其余涉案人員也被判處六個月到三年九個月不等的刑期和罰金；此外，法院還判令張富等人退還支付寶（中國）網絡技術有限公司違法所得。
老人被騙拍照收集人臉信息
由于對信息的鑒別能力弱，老年人是人臉識別技術被非法利用的一個特殊被害群體。不法分子往往以“發福利”“發贈品”的名義，誘惑老年人提供照片等個人信息。
2018年10月13日，吉林省農安縣長江村陳某接到村干部消息，說上長江村部舉行領福利活動，要求55周歲以上的人參加，需拿著本人身份證到場。陳某稱，他到場后，有人對他的身份證進行拍照，“又朝著我本人拍了照”。事后，這些人給他發了一瓶豆油。當天，該村還有數十位老人的身份證和個人頭像被拍下。
事實上，這些人拿著手機對老人們并非只是拍照，而是進行人臉識別。吉林省農安縣人民法院查明，2018年10月至2018年11月11日期間，被告人齊星同宋文珍、于洋、陳曲、徐雙鳳、邵桂華等人，在農安縣部分鄉鎮，以向老百姓發放福利（面或油）為由頭，向公眾非法獲取個人信息，在眾人不知情的情況下使用其個人信息辦理開通、實名認證移動通訊卡。實名認證通過后，齊星從移動代理商處領取傭金，共計從中獲利人民幣141980元。最后，齊星等人獲刑1年到3年不等。
2017年12月，安徽省懷遠縣人民法院作出的一份判決書顯示，2016年1月至8月間，韓飛伙同蔡金磊、張軍、張毛權先后在江蘇省宿遷市和徐州市、安徽省宿州市和懷遠縣等地的超市內，以顧客購物滿一定金額可獲贈禮品為名，要求顧客在領取禮品時提供姓名、身份證號碼，并采集顧客的肖像信息。
年過六旬的被害人孟某回憶，2016年7月的某天，他在泗洪縣半城鎮街道好又多超市購物，“當時超市做活動，購物滿38元就免費送洗衣液”。領洗衣液時，一男子要其提供身份證，還用手機給其拍攝。孟某表示疑惑，對方謊稱“是怕重復領取”。事后，孟某獲得了一瓶好太太洗衣液。
被告人韓飛承認，他們在顧客不知情的情況下，通過拍照的方式進行人臉識別，將非法獲取的公民個人信息通過手機上傳，注冊成為人人行科技股份有限公司開發運營的借貸寶APP用戶，共計注冊成功12000多個賬戶。最后，法院以韓飛犯侵犯公民個人信息罪，判處其有期徒刑二年十個月，其余犯罪人員均獲刑。
伴隨著“人臉識別第一案”在浙江宣判，以及近期市民為躲避人臉識別“戴頭盔”引發的熱議，有關人臉識別的信息安全問題也引起了立法部門的注意。
12月21日，全國人大常委會法工委發言人、立法規劃室主任岳仲明對此表示，個人信息保護法草案在民法典有關規定的基礎上，細化、充實個人信息保護制度規則，明確個人信息處理活動中個人的權利和處理者的義務，進一步增強法律規范的系統性、針對性和可操作性。
