揭开网贷灰色面纱①：个人信息如何无感泄露，暴力催收埋隐患

“额度提醒：您X月X日可申请的借款最高额度15800元，今日有效，点表单激活，审批为准”； “申请成功，您尾号XXX约147869+50000元临时额度今日可领”； “最多可借20万元，现金直接到卡，可灵活支用，以审批为准”…… 看似宽松的借款门槛，配合诱人的借款额度，想必很多朋友都收到过此类营销短信或电话。 并且，南都记者收集反馈并梳理各平台投诉发现，很多用户收到的类似短信，来自自己从未注册或接触过的平台，甚至其从未注册或使用任何金融机构或助贷平台的网贷、贷款产品，还是会收到营销、催收信息。 工业和信息化部数据显示，2024年第二季度，非应邀商业电子信息用户投诉中，涉及欠款催收、贷款理财推销等金融类投诉占比62.6%，远高于零售推销类的4.4%、保险推销类的2.1%、教育培训类的1.3%。在第一季度，该数字更是高达73.7%。 南都记者注意到，除明确触碰法律红线，从不法分子手中购买个人信息外，更多网贷、助贷平台利用用户不注重个人隐私保护、或者急于申请贷款等心理，踩在灰色地带，获得了很多非必要授权，以此无节制地使用、传播用户信息，并引发一系列连锁反应。

1

信息过度收集，埋下“暴力催收”隐患

基本所有的网贷、小贷平台，用户在注册阶段，就需要签署一份个人隐私相关文件，名称各不相同，可能叫做《隐私政策》《用户个人信息保护政策》《个人信息对外提供授权书》等，用来获得用户的个人信息使用授权，或进行相关提示。

这些协议动辄数千、上万，乃至几万字，信息量繁杂，再加上多年养成的互联网APP使用习惯，较多用户往往不会仔细阅读协议内容，甚至未必会打开协议浏览，而是直接打钩完成注册。殊不知，隐患就此埋下。

网贷、助贷行业对用户的信息收集本就相对全面。

一是手机设备信息，如设备型号、系统信息、运营商、标识符、系统版本；二是实名认证相关必要信息，如姓名、电话、身份证信息、人脸识别特征、相机相册使用权限；三是以征信为核心的金融类信息，延伸至银行卡信息、银行流水、月收入、公积金、营业执照（小微经营贷）、紧急联系人。

在此基础上，打着提高额度、放款率，以更多指标进行风险评估，或者更加方便地提供服务等旗号，大多数业内平台还会搜集用户的位置信息、婚姻状况、居住地址、公司地址、学历、房产、车辆、芝麻信用分、有价证券、商业保险、纳税数额等。

客观来讲，上述信息中的大多数，确实属于借款申请、审批、放款流程中的必要信息，或对具体业务开展存在较大帮助，但同样有较多平台，会要求用户提供一些非必要数据，最典型的便是“通讯录”。

某平台技术人员介绍了两种获得用户通讯录数据的方式。

一是在相关整体授权协议中添加许可条款，用户勾选同意该协议后，直接开启权限；二是在填写紧急联系人时，弹窗提醒用户是否授权提供通讯录信息。该人士同时解释，多年之前（约2021年之前），会有不少平台采用第一种方式，“无感”获取用户通讯录授权。而随着《民法典》等法律体系的完善、个人信息保护意识的提高，第一种情况已经非常少见，大多数平台隐私协议相关条款已经更新，行业发展愈加规范。

不过，南都记者发现，作为缺乏电脑、电子行业专业能力的借款用户，很难真正识别平台是否严格遵守约定，有没有通过模棱两可的表述，暗中获得其通讯录数据。而且，借款人也很难固定证据，以证明自己在选择阶段拒绝提供通讯录信息，或紧急联系人留的是谁。

以还呗为例。其在《用户个人信息保护政策》中强调，“为了方便您快捷、准确地填写联系人信息、联系方式，在您填写联系人时，我们会以弹窗的形式告知您，需要您开启通讯录权限，请您放心，获取通讯录权限仅为优化您的操作体验，正常情况下我们不会联系您预留的联系人，仅会在您生产生借款逾期且无法联系您本人的前提下，联系您预留的联系人以便协助提醒还款。”

截自还呗《用户个人信息保护政策》

然而不久前，该平台还发生了法院干警因不认识的老乡欠款，接到数百个催收电话、短信的事件。且据当事人反馈，其老乡称紧急联系人登记的是自己“老婆”而非该干警，但催收人员却声称该干警被登记为紧急联系人。此外，在各互联网渠道，近期亦有较多借款人表示，自己的通讯录亲朋好友接到该平台催收电话、短信。

无独有偶，另有一家平台恒小花，虽然在《隐私政策》中提及，“如您同意提供通讯录及联系人信息，您可以通过开启通讯录授权向我们提供您的通讯录信息”，填写紧急联系人时，也确实可以在相关弹窗中选择不授权通讯录信息，但近期还是有该平台借款人表示，自己逾期后，非紧急联系人的通讯录好友，同样频繁收到催款短信。

一网贷平台则在其《敏感个人信息授权书》中，“本人充分理解并同意授权该平台基于以下使用目的和范围处理本人的敏感个人信息”的表述后，直接写到了“通讯录及/或联系人信息”，强调“本人知悉并确认，由于该平台可能获取您通讯录中的部分联系人或您主动提供的联系人个人信息用以达到处理目的，您向该平台提供相关信息的，应当确保您的联系人已知晓并同意上述处理亩地，否则您可能因此承担相应法律责任”。

2

一次授权，超百家平台可用？

可以看到，基于行业的特殊性，网贷、助贷平台搜集的信息十分全面，可以对目标进行深度画像，一旦泄露，对这些用户来说无异于在信息时代“裸奔”。因此，对这些信息的使用、传播理论上应该高度审慎。

然而，实际情况往往事与愿违。

一方面，部分平台向用户索取了较长的授权期限或较高的授权效力。

例如普融花《个人信息查询及使用授权书》显示，“本授权书可在本人接受贵平台（或其委托或合作的第三方）提供服务的过程中多次使用，且无需另行授权”。该《授权书》还提出“本授权书经本人接受后即时生效，且效力具有独立性，不因相关业务合同或条款无效或被撤销而无效或失效”。

截自普融花《个人信息查询及使用授权书》。

另一方面，在相关授权协议中，往往存在一系列许可条款，要求客户在向平台授权的同时，向该平台的合作伙伴授权。甚至有些协议签署后，会默认用户同意向超百家机构、公司授权使用自己的个人信息。

如上述平台之一的《人脸验证授权协议》，有着“本人同意并授权该平台向资金提供方进行借款申请时，为协助进行初步授信、借款审核，以及协助进行贷中管理和贷后管理中实现法律及监管要求，平台可将本人的人脸识别信息提供给资金方”的要求，该协议同时强调“本人理解并明白，在本人签署本授权书时，可能并无资金提供方向本人提供对应的服务”。而该平台列出的资金提供方达48家。不仅如此，该协议还会让用户同意自己“可能”向18家引流合作方提供用户人脸验证信息。

实际上，今年8月，该平台更新并一度公示了《个人信息对外提供授权书》《敏感个人信息授权书》，两个协议所列可能分享个人信息的公司分别多达176家和142家。

恒小花平台同样典型。该平台在填写“个人信息”时，会提示勾选我已阅读并同意《CFCA数字证书服务协议》《个人信用及相关信息查询使用委托书》《征信授权查询相关协议》《人脸信息用户授权协议》，看起来只签署了四份协议。但当点开《征信授权查询相关协议》时，赫然又出现了十三份具体协议。

点开恒小花平台《征信授权查询相关协议》后的页面。

换句话说，通过“子母协议”的方式，借款用户以为自己签署了四份协议，实际上至少签署了十六份。当然，在这些协议中，用户又默默地同意了该平台向资金方、担保平台、征信机构、引流机构等众多合作方提供自己的个人信息。

小花钱包则在《用户隐私保护政策》中提出，“本平台的某些产品和/或服务将由我们的供应商及合作伙伴提供，为此目的，我们可能会与第三方合作机构共享您的相关个人信息”，而这些合作方，赫然包括广告、数据分析类及流量合作类合作伙伴，《保护政策》还直言，“我们可能会将根据您的信息提取到的特征所形成的用户画像与提供广告、分析服务的合作伙伴共享，以帮助其在不识别您个人身份信息的前提下提升广告及服务信息的精准度及有效触达率。”

截自小花钱包《用户隐私保护政策》

向多个平台机构过度授权带给用户的恶果主要有两个：一是个人信息变相“泄露”，很有可能接到其他平台的推销短信、电话；二是个人征信被反复查询、留痕，降低了以银行为主的主流金融平台借款成功的可能性，即俗称的“征信花了”。

在获得用户一系列个人信息使用授权的同时，平台还在尽可能地减少自身责任。

以上文所提“获取通讯录权限”为例，几乎所有平台都会让用户确保在提供联系人方式时已经获得了联系人同意，同时强调“若未经同意，我们与您的联系人进行联系所发生的风险及责任将由您承担”。但很显然，从实际情况来看，鲜有用户会注意到类似条款。

既然《互联网金融贷后催收业务指引》等法律法规已经明确禁止了“爆通讯录”等行为，那未来是否可以不再主动（包括弹窗询问）收集通讯录信息，且填写紧急联系人时，向被填人员进行短信告知并确认（总比亲戚或朋友违约后被频繁骚扰好得多），从根源上减少第三方被骚扰的可能。就上述疑问，南都记者与多个平台进行了交流，不过并未得到明确答复，平台方更多是强调自己目前“合法合规”。

南都记者则发现，在部分平台相关协议中，有着“在您向我们提供紧急联系人信息后，您同意我们对此真实有效性进行验证，包括向第三方技术服务商提供紧急联系人电话进行在网状态监测”的条款，换句话说，这些紧急联系人的信息被“无感”泄露了。

除此之外，普融花平台在《个人信息查询及使用授权书》强调，“本人已被明确告知提供上述信息可能会给本人带来财产或信用损失，以及其他可能的不利后果包括但不限于采集这些信息对本人的信用评级（评分）、信用报告等结果可能产生的不利影响，以及该等信息倍信息使用者依法提供第三方后被他人不当利用的风险，但本人仍然同意授权依法成立的征信机构或大数据服务机构采集这些信息。”

一网贷平台要求用户表示，“本人理解并明白，由于存在各种各样的恶意手段，即便被授权人尽力采取上述措施，本人的信息仍有可能被泄露、损毁或灭失。该平台对此不承担任何承诺或保证。”

此外，南都记者梳理的基本所有平台都会为法律诉讼打支“预防针”，在各文件中强调，若个人与平台因个人信息保护政策引发争议，双方同意将争议提交给该政策订立地或被告所在地（基本就是该平台的大本营）法院诉讼解决。

3

“盘外”陷阱隐蔽，须时刻小心分辨

个人信息“泄露”问题并不仅仅出现在平台注册、申请阶段，还存在其他一些不易察觉的方式。

首先是新手机号。

不少手机号原主人在注销手机号（或自动注销）前，在较多平台进行了借贷，甚至已经出现逾期，处在被催收状态。那么新用户申请这些手机号后，依旧会接到大量营销、催收短信及电话。

其次是名称、图标相似的平台。

如名为小兔优品的平台，在黑猫、小红书等被较多用户投诉，称其存在强制下款、超利贷等现象。由于该平台名称与另一家规模较大的平台名称很接近，因此很多借款人混淆了两者，最终踩坑。

再者是黑灰产。

由于暴力催收现象普遍，有不少借款人自发分享一些成功的反暴力催收案例或方法，但同样存在别有用心之人，看准逾期者焦急的心态，以协助催收、提供部分不上征信的借款平台信息等方法，引诱目标用户提供个人信息，或在更多“黑网贷”平台申请借款，越陷越深。

整体来看，从最初的野蛮生长，到一轮轮专项整治，网贷（小贷）、助贷行业法律体系逐步完善，行业发展逐步健康，并且，随着《小额贷款公司监督管理暂行办法（征求意见稿）》等新的法律法规渐次落地，目前仍然存在的一些灰色地带有望被进一步压缩。

【爆料请联系】

在此行业不断向好发展之际，南方都市报将从信息保护、息费构成、催收反催收等角度梳理行业发展现状，揭开一些仍然存在的灰色地带，提醒借款人可能面临的“陷阱”或易被忽视的重要信息，并对多家具有代表性的平台进行具体分析。您如果对行业有着更多了解，欢迎添加作者微信（mly100pm），沟通交流。

采写：南都记者 缪凌云 发自上海