险企网销平台存漏洞：1700万条客户信息遭泄露

导读：黑客可查看敏感信息甚至可删除保单信息，险企互联网漏洞主要包括寿险公司信息泄露漏洞、订单遍历漏洞、保险公司0.1元投保漏洞、任意删除订单漏洞等。网销保费快速增长的同时，风险也暴露出来，有些保险机构的网销平台泄露客户信息竟多达1700万条。

近期，笔者从某保险中介机构获悉，河北保监局针对各保险公司网销平台存在的风险隐患下发了“网络与信息安全提示”，提示保险机构警惕官网等互联网保险平台的漏洞。

事实上，笔者发现，今年6月份以来，互联网安全众测平台——“漏洞盒子”就在其网站公布了多家保险公司互联网平台出现的各类漏洞，其中不乏大型上市险企。

公布的主要漏洞包括寿险公司信息泄露、订单遍历漏洞、保险公司0.1元投保漏洞、任意删除订单漏洞等。

网销有风险

前不久，河北保监局下发给各保险公司、保险中介机构的文件中提到，“近期，互联网安全众测平台——‘漏洞盒子’发现三家保险公司在互联网网站系统、互联网在线服务和销售系统等方面不同程度的存在信息泄露漏洞。综合利用漏洞，攻击者可以查看用户保单等敏感信息，甚至可越权删除保单信息。”此外，漏洞盒子还发现，某保险销售服务公司系统存在网上保单购买可篡改保险订单金额漏洞，并能以非正常价格实现保险购买操作。中国保监会针对此情况进行了通报，并对各保险公司的信息安全进行风险提示。

河北保监局提示各保险机构对上述信息安全问题引以为戒，举一反三。高度重视保险业在应用互联网、移动互联网等新技术展业和服务过程中面临的新的信息安全环境与新的舆论媒体环境，进一步提高风险防范意识，切实做好网络与信息安全保障工作，保护好保险消费者商业秘密。

并要求保险公司在消费者信息数据保护方面，加强对互联网网站、在线服务、销售系统和移动APP、第三方合作等与广大消费者密切相关的信息系统和移动互联网应用的管理。定期进行隐患排查，及时堵塞安全漏洞，消除安全隐患，加强技术保障和运行监控确保信息数据和在线交易安全可靠。

多重风险暴露

笔者此前独家获得的监管机构相关报告显示，2014年，互联网保险业务规模继续大幅增长，当年保费收入858.9亿元，同比增长195%。与此同时，互联网渠道业务占总保费收入的比例达到4.2%，成为拉动保费增长的重要因素之一。

互联网保险经营主体也不断扩容。截止到2014年，全行业经营互联网保险业务的保险公司达到85家(中资公司58家，外资公司27家)，2014年全年新增26家。在经营互联网保险的85家公司中，69家公司通过自建在线商城(官网)开展经营，68家公司与第三方电子商务平台进行深度合作，其中52家公司采用官网和第三方合作“双管齐下”的商业模式。

事实上，《证券日报》获得信息显示，今年一季度车险网销保险也保持了超过100%的增速。不过，这一相对新兴的业务目前存在一些问题，传统风险在互联网环境下被放大、信息安全风险不容忽视等。

近期笔者查阅互联网安全众测平台漏洞盒子官网公布的数据发现，仅今年5、6两个月份，漏洞盒子就公布了超过10家险企的互联网漏洞情况，包括寿险公司信息泄露、订单遍历漏洞、保险公司0.1元投保漏洞、任意删除订单漏洞等，其中，较为普遍、影响最为广泛的要数客户信息泄露漏洞。

漏洞盒子公布的保险公司互联网平台漏洞中，以下几个比较“扎眼”：某上市险企旗下网站多处漏洞泄漏375万客户信息;某中小险企任意文件下载导致网站大量信息泄漏;某寿险公司手机客户端越权查询其他用户保单信息，泄漏1700万条信息。

中国保监会主席项俊波在2015年全国保险监管工作会议上指出，保险业要主动适应风险因素从相对简单向错综复杂的转变，其中包括新技术下的风险。“网络信息技术在发挥积极作用的同时，也会带来一些风险隐患和负面影响，保险业要将网络与信息安全风险防范摆到重要位置。”