近日，多位財經(jīng)博主賬號所屬的企業(yè)被偽造的“人臉識別”授權(quán)更換了法人，不法分子繼而通過法人權(quán)限取得賬號控制權(quán)，并實施了一系列疑似詐騙舉動。對此，記者調(diào)查發(fā)現(xiàn)“代過人臉識別”已成為一條黑灰產(chǎn)業(yè)鏈，售賣商兜售人臉識別破解技術(shù)，其生成的人臉可做出搖頭、張嘴、眨眼等動作從而通過人臉測試。一些黑灰產(chǎn)從業(yè)者甚至宣稱，攻破某些省級政務(wù)系統(tǒng)都沒問題（據(jù)新京報6月17日報道）。
一招“貍貓換太子”，讓更換法人信息這類看似精密安全的系統(tǒng)竟然也能被輕易攻破。“刷臉”的安全隱患再次令人震驚。從前些年利用靜態(tài)照片、動態(tài)圖片、翻拍翻錄、3D面具等進行“物理欺騙”，到如今通過深度偽造等技術(shù)進行“數(shù)字劫持”，攻擊手段正隨著技術(shù)的發(fā)展不斷進化。
作為重要隱私信息，人臉信息受民法典和個人信息保護法的嚴格保護。通過算法生成真人活體臉的圖片和視頻，并攻破手機系統(tǒng)，結(jié)合劫持攝像頭或控制人臉鏈路等方式突破人臉驗證、冒用身份實施詐騙的行為，已經(jīng)涉嫌侵犯公民個人信息罪、非法侵入計算機信息系統(tǒng)罪和詐騙罪。面對這種對公民人身財產(chǎn)安全及社會公共安全的嚴重威脅，筑牢“護臉”安全屏障刻不容緩。
今年6月1日起施行的《人臉識別技術(shù)應(yīng)用安全管理辦法》（下稱《辦法》）明確，應(yīng)用人臉識別技術(shù)處理人臉信息，應(yīng)當(dāng)具有特定的目的和充分的必要性，采取對個人權(quán)益影響最小的方式，并實施嚴格保護措施。“最小必要原則”的確立，為技術(shù)應(yīng)用劃定了底線、紅線。
假如技術(shù)使用者都能恪守“最小必要原則”，切實做到非必要不刷臉，自然能很大程度上避免人臉信息泄露風(fēng)險。然而，這種理想狀態(tài)僅靠使用者自律就能達到嗎？很難�！八⒛槨钡谋憷�、技術(shù)帶來的豐厚回報，都刺激著使用者的技術(shù)擴張沖動。此次事件更暴露出人臉識別系統(tǒng)的防御措施更新速度，似乎難以跟上“破解”手段的升級速度。用技術(shù)打敗技術(shù)，雖然是最直接的辦法，但仍然只能處在防不勝防的低位。顯然，要想將“最小必要原則”落地落實，事前規(guī)制和監(jiān)管要努力走在技術(shù)濫用前面。
一方面，事前規(guī)制要發(fā)力�！掇k法》已禁止在賓館客房、公共浴室、公共更衣室、公共衛(wèi)生間等公共場所中的私密空間內(nèi)部安裝人臉識別設(shè)備。但“刷臉”之所以容易泛化，也是因為技術(shù)使用場景范圍并不明確，容易隨著技術(shù)滲透而擴大。因此，對技術(shù)使用場景的規(guī)定，需要長期更新、優(yōu)化。如，可以區(qū)分絕對禁止場景、嚴格限制場景、允許但需強化保護場景等，通過分級管控，防止“刷臉”泛化。
另一方面，監(jiān)管部門要壓實個人信息處理者主體責(zé)任。根據(jù)《辦法》，個人信息處理者要做好人臉識別技術(shù)應(yīng)用備案工作，履行個人信息保護影響評估責(zé)任。相關(guān)主體是否真實、準確、完整地向個人履行了告知義務(wù)？事前是否進行了個人信息保護影響評估？這些都是監(jiān)管部門要反復(fù)核查的程序和細節(jié)。監(jiān)管的前瞻性、精準性與有效性提高了，技術(shù)使用的每一個環(huán)節(jié)才能更規(guī)范、更透明，“刷臉”的安全底線才能更牢固。
（來源：檢察日報·法治新聞版 作者：高梅）