知识科普 | 免费抽奖便得“冰墩墩”？谨防抽奖活动中的个人信息泄露风险

随着冬奥会的开幕，冬奥会周边产品的热度在持续升温。其中 “顶流”就是吉祥物“冰墩墩”啦，但由于需求量太大，产量跟不上，有个别人利用民众求墩心切，甚至打起了倒卖、诈骗等歪主意。

这两天，不少微信公众号、小程序推出了“抽奖”赠送“冰墩墩”活动，来吸引用户关注，达到引流效果。其中，笔者就发现，有的“冰墩墩抽奖活动”有骗取个人信息的嫌疑。

笔者在浏览朋友圈时，发现了上面这个“个人”注册的公众号，就号称免费抽奖中奖后便赠送“冰墩墩”，点击链接后首先要求填写详细的姓名、住址、电话等信息才能参与抽奖。

关于抽奖类活动，从最小必要的原则角度分析，需要区别出中奖者的身份，以免出现重复抽奖的情况，也就是有一个用户的唯一性标识符即可。但是，上面这个抽奖活动，需要用户事先提供非必需的住址、姓名等信息，显然超出了必要的范畴。那么，这样的抽奖活动，先抛开真的是不是有奖品，如果提供了这些个人信息，以后可能免不了要被骚扰电话等盯上了。

其实，逢年过节，抽奖活动十分频繁，大家或多或少的都参与过，如何分析抽奖活动是不是靠谱，是不是可能过度收集个人信息，以下几个建议供参考：

1、辨别信息来源，认准官方渠道

以我们最常见的公众号和小程序抽奖为例，如果公众号和小程序的账号主体为个人或者没有认证的机构，则其可信度各方面就要引起注意。如下图，官方公众号会在注明认证的主体，组织机构代码也是可查的。

2、分析是否存在过度收集行为

从抽奖类活动的特点出发，一般分为以下步骤：

比较正规抽奖的活动，不会在抽奖前就收集大量的个人信息，中奖后才会进一步确认身份以及奖品的寄送地址，因此逻辑上仅需要能够唯一标识中奖人的信息就能够进行抽奖（例如：微信号、用户名等）。如下图所示的抽奖活动，只需登录App即可参加抽奖无需任何其他信息。

3.还是尽可能少参加抽奖活动

说白了，只要是抽奖活动，都需要收集一定的个人信息，尤其是陌生的组织方发起的活动，奖品要么价值低廉、要么中奖率极低，而且，抽奖过后组织方是否会根据最小化原则，删除未中奖者个人信息用户也无从知晓，参加多了，很难保证自己的个人信息不会被泄露、滥用。

（文章来源：CCIA数据安全工作委员会）