征信宝官网文章来源：征信圈
近期‘征信修复’这个事又热了起来，起因不论是市场需求、政府概念，总之很多做‘征信修复’的公司也联系到了征信圈，说明其团队‘为人民服务’的宗旨。 征信圈算是国内最早想在‘信用修复（credit repair）’这个领域创业的之一吧，那时候还有几家现在也都听不到声音了。征信圈的感受就是市场不开放，政策不明确，‘征信修复’、‘查询个人信用报告’这种很容易涉及到个人隐私保护，如果创业团队是想做好事，先得想清楚怎么避免这种问题，下面就是征信圈2015年的一篇文章，说说个人信用报告的‘灰色’产业链吧…
目前在个人征信应用市场上，围绕着央行的信用报告有两大‘灰色’产业链，一个是代查信用报告，另一个是所谓代销征信记录。先来看实测结果，分别在QQ、百度贴吧等输入‘代查/打征信报告’
会有众多的QQ群、QQ账号及网页声称提供这种服务。同样‘征信消除’的查询结果也很‘丰富’
一、需求的起源
先简单说一下对这种‘灰色’产业需求的起源，根源在于央行的个人信用报告是一个‘封闭’体系，数据的‘出’和‘进’都封在传统金融机构这个圈子里，截至目前仍没有对所谓的互联网金融机构开放，所以对于急于完善风控体系的P2P，部分小贷公司而言，‘代查’的需求是刚性的，这也从一定程度上‘认证’了央行信用报告的价值。就像一个硬币的正反两面，有人想通过查询发现‘问题’，就有人想通过手段让‘问题’不被查到，或者把‘问题’删除掉，而且由于我国目前,用户对信用报告的‘异议权’的维权手段和效果有限，市场中对这样所谓‘征信消除’的需求也就应运而生。
二、产业链的技术分析
关于这种灰色产业链的法律风险、隐私泄露、纯属欺骗等问题有很多文章都讨论过了，征信圈今天想从技术实现的角度猜猜‘代查’和‘代消’是怎么做的，仅供参考吧。
其实由于人行的征信系统是个‘封闭’系统，只有接入的金融机构通过‘专线’或‘人行网间互联平台’有权查询和修改，所以这一切的动作都只有通过金融机构的内部人员、使用内部账号、通过‘内网’来实现，对金融机构而言本质上是个操作性风险管理问题，也就是内控不严造成的。所以可以先看看金融机构中一般对征信账号是怎么管理的
1. 代查征信
代查征信的关键在于对‘信息查询用户’的账号、密码的有效管理，以及异常行为的检测。但从上图可见，银行的查询用户涉及总、分支各级体系的相关业务部门，内控不严的金融机构就会出现查询用户的密码好多人知道，技术上又无法定位发生查询机器的MAC地址等问题，这就造成《平安银行深圳分行违规查个人征信记录遭索赔8000元》的事（征信圈9月12日报道），“责任人称把登录口令和密码给了别的同事，并不知是何人所为…”。
2. 代消征信
代消征信分两种情况，消除和屏蔽。理论上的实现逻辑有点不同。
真正的违规征信消除，实际上是比较难实现的，相当于一次异议处理，因为在银行里牵扯到业务发起部门人员，数据上报用户上报更改报文，一般的有规模的金融机构都会分条线、多层管理，多人签字，要做到这个，需要业务发生机构承认数据报错了，或者数据上报用户报送修改报文，这里面有个责任承担的问题，除非利益足够大，一般比较难。
所谓‘屏蔽’征信，是说能够让放贷的金融机构在一段时间内（例如，1个月）查不到此用户的某个逾期情况，技术上这种操作的逻辑是成立的，其实是通过违规行为，钻了央行征信系统架构的一个空子，在赋予系统数据上报用户的权限中，有一种叫“金融机构在线数据更新”的，目的是为了方便临时的修改，随着下一期业务数据的报送及同步，临时的结果会被覆盖掉，但也带来了潜在隐患，征信圈感觉如果真有所谓屏蔽一段时间查询结果，也只有通过这个功能来实现了。
三、技术之外的问题
1. 机构查询收费不一致问题
所谓存在即合理，正是因为有了需求才会产生这种‘市场’。有人说解决这种现状的最根本办法其实就是央行放开互联网金融机构对央行征信的查询限制，这样代查的需求就不存在了。真的会这样吗？其实没这么简单，这还涉及到金融机构查询收费的问题。现在央行对不同金融机构查询的收费是有区别的，参见发改委对征信中心收费标准的批复（百度文库里能查到的），不同金融机构查询一次费用不同，假设将来收费采用类似机构‘年费’的形式，与查询次数脱钩，那么不同金融机构之间还存在一个‘查询套利’空间，理论上违规查询还会存在的。
2. 监察手段问题
征信圈原来参与过挺多国内外银行的系统建设，从原理上讲，央行征信系统的架构相比商业银行或BAT比，其实不复杂，这也是为啥名字叫了个‘金融信用信息基础数据库’的原因吧，本质上是个传统数据库，这就注定脱不开IOE的传统架构，内外网隔离等等，而且就算全国商业银行的各种征信系统用户账号很多，但和BAT的用户一定不是一个量级的，所以技术上讲,在一个‘内网’管理账户盗用一定比BAT容易些。
技术一定不能解决所有问题，还得靠管理。根据《征信业管理条例》第四十条，对于违规提供、出售信息；过时泄露信息；未授权查询等，单位5-50万罚款，个人1-10万罚款，并追责，再看前面说的银行案例，违规查询不能找到是谁，这种量级的罚款对于银行而言只能是‘呵呵’了。
