客服外包商员工批量倒卖客户信息牟利

一家总部位于上海的知名在线旅游平台，因为成本控制的考虑，将客服业务全部外包给了华南地区的一家客服外包公司。这家外包公司在当地租赁了写字楼，招聘了大约两百名客服人员，专门处理该平台的机票退改签、酒店预订咨询和投诉处理等业务。平台为了保证客服服务质量，向外包商开放了完整的客户信息查看权限，包括客户姓名、身份证号、手机号码、历史订单详情和绑定的支付账户信息。权限开通的申请流程非常简单，业务部门填写了一张表格就完成了，没有经过信息安全部门的评估。

二零二一年年中，几位客户接连向平台投诉说遭遇了精准诈骗。诈骗者打电话时准确说出了客户最近一次出行的航班号、座位号和具体的行程日期，甚至知道客户习惯使用哪张信用卡进行支付。客户怀疑是平台泄露了个人信息，要求平台给出明确的解释和交代。起初平台客服部门觉得这只是个别事件，可能是客户在其他地方也留下了信息。但随着投诉数量越来越多，管理层意识到事情没有那么简单。安全团队介入深入调查后发现，问题的根源出在外包客服那边。一名入职不到半年的客服人员，利用工作之便分批导出了大量客户信息，通过U盘拷贝到个人电脑，再通过加密聊天软件联系买家，卖给了多个数据中间商。短短三个月内，他累计倒卖了约八万条完整的客户记录，非法获利超过十二万元，而公司的安全系统自始至终没有任何反应。

这起事件的处理过程异常曲折和复杂。那家外包公司虽然签署了保密协议，但内部几乎没有实质性的数据安全管控措施。客服人员的工位上装着十几年前的旧电脑，USB接口没有禁用，系统连基本的操作审计日志都没有开启。客服人员可以随意查看系统中任何一位客户的完整信息，没有任何分级权限控制和敏感字段脱敏处理。批量导出大量数据的操作也没有触发任何形式的告警，因为系统根本没有配置异常行为检测和告警规则。更让人头疼的是，这家外包公司同时服务多个客户的客服业务，各个客户的业务团队在同一办公区同时运营，客服人员的工位仅用简易隔板简单分开，其他客户的客服人员完全可以使用同一台设备访问不相干的业务系统。这意味着即便没有那名涉事的员工，其他不相关的客服人员也有可能接触到该平台的客户数据，存在极大的交叉泄露风险。

监管部门最终依据个人信息保护法对平台处以了高额罚款，并要求平台在一个月内完成全部整改。平台随即终止了与该客服外包公司的合作关系，重新引入了具备信息安全等级保护资质的新服务商。但事后复盘时，平台的数据安全负责人坦言，当初在选择外包商时主要看的是报价和响应速度，对方的信息安全能力评估几乎是一片空白。那个看起来价格便宜了好几成的客服外包商，在数据安全管理上简直就是一张白纸。这个教训让平台付出了数倍于节省成本的代价。除了监管部门的罚款本身，品牌声誉的严重受损和客户信任的艰难重建，更是一个漫长而痛苦的过程。平台花了将近两年的时间才逐渐恢复用户对平台数据安全的信心。

这个案例告诉我们，企业把客户数据处理权委托给第三方时，不能认为签署了一份保密协议就万事大吉了。第三方的员工素质、管理水平和安全技术防护能力，直接决定了客户数据的安全水平。企业必须将第三方数据安全能力纳入供应商评估的核心指标，建立常态化的安全审计机制，定期对第三方的数据访问行为进行抽查和复核。从技术角度看，涉及客户信息的外包业务应当严格实施最小权限原则，客服人员只能看到完成当前业务所必需的信息，身份证号、完整手机号等敏感字段应当实施脱敏显示。批量导出功能应当严格限制，需要经过多人审批才能执行。所有涉及敏感数据的操作应当全程记录日志并定期进行审计分析。数据安全的外包管理，不能是甩手掌柜式的简单委托，而必须是全程可控的战略合作。北京企密安在帮助客户进行第三方风险管控时，通常会建立一套完整的供应商信息安全评估体系，从数据接触面、技术防护能力、人员管理规范到应急响应机制，逐项进行打分评估，从源头上控制数据外包过程中可能出现的各种风险。