北京青年报记者调查发现，搜索平台上手持身份证照片的来源五花八门，包括大众点评网、厦门两岸商品交易中心、某县移动互联网农副产品电子商务招商网站、学信网注册页面、示范如何注册成为淘宝店主的博客网页、百度贴吧、网贷城等。
山东女孩徐玉玉被电信诈骗致死事件引发全社会关注，“个人信息是如何泄露的”成为关注中的焦点。日前，有网友在百度中搜索关键词“手持身份证”，发现结果中竟然出现了自己的照片。这名网友的事件并非孤例，北青报记者在百度、谷歌、搜狗等多个搜索网站中搜索关键词“手持身份证”，在搜索结果中发现了上百人的“手持身份证”照片。专家称，这是一种有缺陷的实名认证方法，网友应当尽量少提供该类照片，也不要在手机中留存这类照片，以免被不法分子利用。
现象
多个搜索平台出现手持身份证照片
北青报记者在百度、谷歌、搜狗等多个搜索网站输入“手持身份证”，并选择“图片”类型，搜索结果均出现大量真人手持身份证照片，据统计至少有上百人;而这些照片可以轻易被下载、保存。
“手持身份证”照片的形式多为露脸的真人在后，手持身份证在前，身份证正面朝前，以证实身份证为本人。北青报记者点开照片发现，在这些照片中，多数结果是清晰、无水印的证件，他们的姓名、生日、身份证号码及相片都可以直接被看到;还有一小部分为网站的示例照，身份证上的关键信息被马赛克模糊处理，有的真人眼睛部分被打马赛克，还有的在照片中间写上了大大的“范例”二字。
追访
手持身份证照片来源五花八门
那么这些照片都是从何而来呢?根据搜索结果中的“图片来源”链接，北青报记者发现，手持身份证照片的来源五花八门，包括大众点评网、厦门两岸商品交易中心、某县移动互联网农副产品电子商务招商网站、学信网注册页面、示范如何注册成为淘宝店主的博客网页、百度贴吧、网贷城及一些新闻报道等。照片来源五花八门，不过从搜索结果中看，目前尚未发现有网站大规模公开泄露照片。
有网友表示“现在很多机构或APP注册都需要手持身份证照片，很难避免泄露”;有网友表示同意称，“不是我们要上传，而是一些网店之类的要开通必须这样弄，要不不让开，我们也是被逼的”;还有的说“考试报名、拿快递、住酒店，身份证信息还不是一下子就暴露了，谁知道他们有没有泄露”。
据了解，目前许多网站都要求上传“手持身份证”的照片以证明是本人，例如在许多P2P网贷平台上，在进行实名验证时都需要上传清晰的手持身份证照片;在学信网注册、网站ICP备案、网上办理进京证、微博注册、网络直播注册等环节也需要提供本人的手持身份证照片;在淘宝网开店也需要店主上传手持身份证照片。还有网友表示，去银行办理业务有时也被要求现场拍摄手持身份证照片。
关注
这些手持身份证照片能干吗?
据央视报道，合肥一市民胡女士就在网上看到了自己手持身份证的照片，且身份证信息很清晰。她回忆道，自己曾在网上注册一款借贷软件时，按照平台方要求拍摄“手持身份证照片”，并上传到平台。当时认为平台肯定会保护自己的隐私，但现在却被泄露，她担心自己的身份证信息泄露会被不法分子利用，便向平台求助。可平台客服答复“平台方不可能泄露客户的隐私信息，可能是客户在上传照片的过程中，发生的隐私泄露，也有可能是黑客侵入了胡女士的电脑、手机，获取了存储在里面的照片。”
胡女士的担心并非空穴来风，猎豹安全专家李铁军向北青报记者表示，“手持身份证照片泄露，就可能有人冒用身份去干不法的事情。比如伪造身份证，比如在某些支付平台注册账号冒名贷款、甚至洗钱。”
北青报记者发现，在这些照片的来源中有一类比较特别，他们是在贴吧或者知道等频道的“求助帖”。在这些帖子中，题主会以积分或其他奖励形式“求一张手持本人身份证照片(要求身份证和人物五官清晰可见)”。而在跟帖或回答中，就有网友提供该类照片。这些题主是谁，他们为何需要其他人的身份证照片呢?“最需要这类东西的，就是骗子，”李铁军表示。
看法
身份证照片泄露谁之过?
那么在这些搜索引擎上出现的照片是搜索引擎之过吗?一位工程师向北青报记者解释称，这种观点并不正确。他称，搜索引擎抓取网站信息是根据“网络爬虫排除标准”协议来抓取网络上公开内容的，网站通过该协议告诉搜索引擎哪些页面可以抓取，哪些不能。通常，可以被搜索引擎抓取到的都是未经加密的内容，而安全级别较高的网站，比如淘宝网的店主注册信息，一般都是不会被泄露的。可以说，如果是源网站未经加密直接被抓取内容，那主要责任是在源网站的。不过，有的信息会被搜索引擎留存，即使原网页删除，还是可以在搜索网站被找到。
但源网站泄露并非唯一的数据源，猎豹移动安全专家李铁军表示，除了某些网站因为保密措施不当之外，还有一些是用户使用相册不当而泄露的。例如有些用户的网盘数据设置为“可共享”，那么就很容易被侵入;或是当手机感染了病毒，手机相册里的照片也很容易被黑客调取。
提示
手持身份证照片不能随便拍
李铁军表示，其实“手持身份证”拍照，本身就是一种有缺陷的实名认证方法，比如PS的身份证也能通过。而大部分网站只是简单地验证了身份证号是不是合法的，一些有比对照片，但如果是精心修改的还是可以骗过去。
他提示网络用户，首先应该知道这样的照片不能随便拍，除非是某个网络服务非用不可，那拍完就该删除。尤其是一些P2P平台或其他不能准确识别来源的网站，很可能存在保管不善被泄露或者被转卖的可能。因此，如果有可能，尽量少使用该类网站服务，保护自己的隐私安全。
文/本报记者 温婧
热点关注
虚拟运营商纵容手持身份证照片开户
近年来，由于监管措施不到位，手机实名制登记落实不力，170、171已成为诈骗电话的热门号段。在公安部发布A级通缉令后，引发广泛关注的山东临沂考生徐玉玉被骗猝死案的6名犯罪嫌疑人全部落网，目前该案正在审理过程中。与以往不同的是，在这起典型的电信诈骗案中，涉案的手机号码是经过实名登记的。
大部分170、171号都已实名
虚拟运营商两年试点期已满，却迟迟不能转正。其中最主要的制约因素就是实名制执行不到位引发的电信诈骗问题。就在徐玉玉案案发前一个月，工信部网络安全管理局专门对虚拟运营商新入网电话用户实名登记工作进行了暗访，并对虚拟运营商在网用户实名登记信息合规率进行了数据抽测。
在工信部网站8月5日公布的对虚拟运营商实名制落实情况抽查暗访的结果中，远特通讯在网用户实名登记信息合规率为95.95%，符合工信部曾经提出的“确保在2016年12月31日前全部电话用户实名率达到95%以上”的要求。在同批抽查的8家虚拟运营商中，只有一家企业的实名登记合格率不达标，但这家企业的用户实名登记率也超过了90%。单从这个调查结果看，实名制貌似执行得还不错。然而，业内人士向记者透露，大部分参与电信诈骗的170、171手机号都能找到实名信息，但这些所谓的“实名登记”号码其实在出售前就已经实名绑定了一个身份证，只是登记的这个信息不一定就是实际使用人，这在行内俗称“养卡”。
经销商用他人身份证批量绑卡
原虚拟运营商从业人员唐先生告诉记者，虚拟运营商自营的这部分业务做的应该是比较合规的，但是在经销商这一块，就可能会存在监管不到位。唐先生说，每一个销售网点都会有一些用户的信息，这些信息会用来统一为用户进行开卡，然后把这些号码放到各个分销门店去。
“养卡”又叫“假激活”，那么这些提前给待售的电话卡进行身份认证的真实身份证信息又是从何而来的呢?唐先生告诉记者，按规定一个身份证最多能办5个手机号。而大多数用户都只会办理使用一个手机号，那么这个真实用户的身份证就可以被悄悄地用来“实名登记”4个170或171的手机号。但是如果这张卡长时间不打电话或者上网的话，也很容易被基础运营商或监管部门发现而被停机销号，因此还需要模拟一些消费行为来“养”。
另一位不愿公开身份的虚拟运营商从业者也向记者证实了这种操作手法。他告诉记者，移动电信联通对虚拟运营商有发展用户的指标考核和排名，如果发展不好将影响虚拟运营商从基础电信运营商那里拿到更多更好的号码资源，这就导致了虚拟运营商在竞争过程中会默许甚至放任经销商的违规“养卡”行为。
虚拟运营商业内人士张先生告诉记者，“用户的激活率如果达不到基础运营商规定的标准的话，那么虚拟运营商就拿不到更多的卡。他(虚拟运营商)为了拿到更多的号码资源，拿到更多的一些增加开通(城市)的这种指标的话，他就去以一种假激活的方式，然后去套取一些这种资源。”
虚商多要求用户手持身份证上传照片
急于扩大业务规模、实名登记管理落实不彻底，是170、171号段乱象频出的根本原因。对此，工信部表示，实名制落实情况将成为虚拟运营商申请牌照“一票否决项”。
工信部在给记者的书面采访回复中表示，将进一步加大对虚拟运营商的监督管理力度，并将把实名制落实情况作为虚拟运营商申请扩大经营范围、增加码号资源、发放正式经营许可证的一票否决项。对违反实名制规定的虚拟运营商，将严肃处理，绝不姑息。在其整改落实到位前，一律不予通过其业务准入、码号核配、扩大经营范围等相关审批;情节严重的要求相应基础电信企业暂停启用已核配的码号资源;对于整改不力、屡次违规的将依法坚决查处，直至取消其相关资质。对于主管部门的最后通牒，虚拟运营商纷纷表示坚决拥护。
虚拟运营商中麦通信副总裁宋宏生告诉记者，当前做线上业务的这些个虚商，普遍都采用了用户手持身份证上传照片的这种要求。“但是我们这种除了用户手持身份证照片以外，还增加了用户手持身份证加SIM卡的一个上传。有SIM卡对应的序列号，这样几个信息结合，就可以保证做到用户、证件和代开通号码完全一致，这个流程现在已经投入应用了。”
宋宏生说，目前虚拟运营商处于发展初期，到目前为止还没有一家实现全面盈利。大规模实施实名制要投入大量的技术设备和人力物力。仅各营业网点二代身份证识别系统的投入就高达几千万，这对一直赔本赚吆喝的虚拟运营商来说也是一笔不小的成本。
据了解，工信部通知要求各基础电信企业要确保在2016年12月31日前，本企业全部电话用户实名率达到95%以上，2017年6月30日前全部电话用户实现实名登记，而始终不进行补登的用户将被强制停机。
