黑客查个人社保信息

简介

在日常生活中，社保信息指的是以纸质或电子形式记载的、反映参保人员及其用人单位履行缴费义务和享受待遇状况的记录，内容涵盖参保登记、缴费与补贴、待遇资格与领取、缴费年限和个人账户等^[1]。这类记录由社会保险经办机构负责管理，遵循及时、完整、准确、安全、保密的原则，任何单位和个人不得将其用于商业交易或营利用途，也不得违法向他人泄露^[1]。

社保记录既包含身份证件号码等身份识别信息，也反映就业单位、收入水平等活动情况，一旦被集中获取，可与户籍、征信、通讯等其他数据交叉比对，形成较为完整的个人档案^[2]。正因如此，黑客查个人社保信息所指向的对象，往往不是单条记录，而是能够批量识别特定自然人的结构化数据。

从法律角度看，合法查询渠道是明确的：参保人员持本人有效证件可查询本人记录，委托他人查询需提交书面委托材料，用人单位可凭证明文件查询本单位缴费情况，行政部门和司法机关因履行职责需要方可依规定查询，其他单位提出查询须书面申请并经审核^[1]。未经上述程序而取得他人社保记录，即脱离了这一制度框架。

沿革

社保信息保护的制度基础来自社会保险领域的立法。中华人民共和国社会保险法规定，社会保险经办机构应当及时、完整、准确地记录参保个人缴费及用人单位缴费情况，用人单位和个人可以免费查询、核对本人缴费和待遇记录；社会保险行政部门、经办机构、征收机构及其工作人员应当依法为用人单位和个人信息保密，不得以任何形式泄露^[3]。

2011 年 6 月 29 日，人力资源和社会保障部公布《社会保险个人权益记录管理办法》，自同年 7 月 1 日起施行，将社保个人权益记录的管理、查询和保密要求进一步细化，规定经办机构不得向任何单位和个人提供数据库全库交换或超出规定查询范围的信息，并对非本人、非本单位的查询进行登记^[1]。

在刑事层面，2009 年 2 月 28 日起施行的《刑法修正案（七）》在刑法中增设第二百五十三条之一，规定了出售、非法提供公民个人信息罪和非法获取公民个人信息罪；此后《刑法修正案（九）》将该条整合修改为侵犯公民个人信息罪，扩大了主体范围，并规定将在履行职责或提供服务过程中获得的信息出售、提供给他人的从重处罚^[4]。

2017 年 6 月 1 日，最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》施行，明确“公民个人信息”包括姓名、身份证件号码、联系方式、住址、账号密码、财产状况等，并规定非法获取、出售或提供财产信息等 50 条以上、其他可能影响人身财产安全的信息 500 条以上、其他个人信息 5000 条以上等情形属于“情节严重”^[5]。

2021 年 8 月 20 日，《中华人民共和国个人信息保护法》通过，同年 11 月 1 日起施行，明确任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或公开他人个人信息，并对处理者的安全保护义务、泄露后的补救与通知义务作出规定^[6]。

近年来的公开调查显示，针对社保等敏感数据的非法获取方式发生变化：传统的“拖库”有所减少，取而代之的是利用存在缺陷的数据接口进行小批量、持续性的窃取；有调查提到，不法人员在论坛中分享数据接口，可据以获取指定人员的社保、生育等信息，而接口缺乏身份认证和访问控制是主要原因之一^[2]。同一报道援引奇安信数据称，2024 年境内政企机构共发生个人信息泄露风险事件 112 起，涉及个人信息 266.9 亿条^[7]。

特点

第一，社保数据的价值在于结构性。单条缴费记录的信息量有限，但姓名、身份证号、缴费基数、参保单位等字段组合后，可以推断就业状态、收入区间和居住城市，再与其他泄露数据关联，便能刻画人际关系和活动轨迹，这一属性使社保记录成为数据汇聚的重点对象^[2]。

第二，技术入口相对集中。与分散的终端设备相比，社保信息主要存放在经办机构和相关政务平台的数据库中，攻击面集中在提供查询和共享服务的数据接口上；缺乏身份认证、访问控制的接口可被直接调用，抓包解析后还可开发出批量获取数据的自动化工具^[2]。

第三，内部人员是独立于外部攻击的另一条路径。经办机构、服务机构、信息技术服务商及其工作人员在工作中接触社保记录，依法负有保密义务，不得违法向他人泄露^[1]；专家分析也指出，合作伙伴与机构内部人员违规出借账号、倒卖数据是泄露的重要渠道之一^[2]。

第四，法律评价上与一般个人信息有所区别。社保缴费与财产状况、特定身份相关，在司法认定中通常被作为影响人身、财产安全的敏感信息对待，其入罪数量门槛低于普通个人信息；同时，凡属履行职责或提供服务过程中获得的信息被出售、提供的，认定“情节严重”的数量和数额标准还可减半计算^[5]。

参见

• 中华人民共和国个人信息保护法 —— 规定个人信息处理规则和禁止性行为的基础性法律。

• 中华人民共和国社会保险法 —— 确立社保个人权益记录管理与保密义务的法律。

• 侵犯公民个人信息罪 —— 刑法中规制非法获取、出售、提供公民个人信息的罪名。

• 社会保险经办机构 —— 负责社保个人权益记录管理和查询服务的机构。

• 数据接口 —— 近年社保等敏感数据被非法获取的主要技术入口之一。