2023年11月，银行某国有大行北方一支行爆出内部员工倒卖客户征信报告的个人事。一个客户经理，信息泄露两年时间，案例查了三千多份个人征信，银行每份卖给中介两百块。个人事情败露不是信息泄露因为银行自查，是案例其中一位客户去申请房贷，发现自己征信被查询的银行次数多出十几条，时间集中在自己根本没办过业务的个人月份。他打了客服电话，信息泄露客服说“系统记录正常”。案例他不信，银行报了警。个人

这事有意思的信息泄露地方在于：银行内部系统对“频繁查询”其实有预警机制，但那个客户经理用的是自己工号，理由填“贷后管理”。系统一看，合规。就这么简单绕过去了。

泄露的路径比想象中土

我翻过几份裁判文书，银行个人信息泄露的案子，大部分不是黑客攻破防火墙那种高智商犯罪。真实情况往往是：柜员拿手机拍屏幕、客户经理把名单导成Excel发自己邮箱、外包催收人员把欠款人通讯录整个拷走。2022年江苏一个案子，某农商行信贷员把两百多个客户的身份证号、住址、贷款金额写在笔记本上，本子丢了，被捡到的人拿去办了十几张信用卡。

技术防护做得再好，抵不过一个U盘。某股份制银行安全部门的人跟我聊过，他们上线了数据防泄漏系统，能监控邮件附件和USB拷贝。结果有员工把客户信息先截图，再用微信“文件传输助手”发给自己。系统管得住邮件，管不住微信。

客户往往最后一个知道

更麻烦的是通知环节。银行发现泄露后，第一反应通常不是报警或通知客户，而是内部“排查”。排查期间，客户完全不知情。等银行确认了、走完内部流程、决定对外说明，可能已经过去几周。那几周里，被泄露的信息可能已经在黑产群里转了好几手。

我见过一个案例，客户接到诈骗电话，对方准确报出他在某银行的卡号、余额、最近一笔消费时间。他以为是银行客服，被骗走四万多。后来警方查实，信息是银行外包的客服中心泄露的。银行赔了他一半，理由是“客户自身防范意识不足”。

追责难在哪

《个人信息保护法》2021年就实施了，规定泄露个人信息最高可罚五千万或上一年度营业额百分之五。实际执行中，银行被罚的案例很少。原因不复杂：泄露行为隐蔽，取证难；单个客户损失金额小，不愿意打官司；监管更倾向于行政约谈而非重罚。

有个律师朋友专做金融消费者维权，他说代理银行信息泄露案，最难的是证明“泄露源在银行”。银行会说：你怎么证明不是你自己在其他平台填过信息？你怎么证明不是手机中了木马？客户拿不出证据。举证责任倒置喊了好几年，落地案例不多。

普通人能做什么

说点实际的。每年去人民银行征信中心官网查一次自己的征信报告，免费的。看“查询记录”那一栏，有没有你不认识的机构查过你。有，立刻向银行和央行投诉。别打客服电话，直接去网点找消保部门，要求书面回复。

另外，别在银行留太多非必要信息。职业、收入、家庭住址，够用就行。有些客户经理为了完成KPI，会让你补全各种字段。你填得越多，泄露时被利用的面就越大。

银行不是保险箱。它的系统对内网安全的重视程度，远不如对外部攻击的防御。一个拥有系统查询权限的员工，能造成的破坏比一个外部黑客大得多。而这类风险，目前基本靠“员工自律”和“事后追责”来兜底。这显然不够。