来源：南方+
日常出行停车、扫码小程序缴费当下已成车主刚需，但个人行车轨迹等隐私却可能因此泄露。近日，有市民反映，因此前停车时亲友替其扫码缴过费，之后自己的车牌号就被他人手机绑定，出入停车场时他人手机能收到提醒，内容包括出入时间和停放的车场信息。
日常出行停车、扫码小程序缴费当下已成车主刚需。
南方+记者在广州对ETCP等主流停车平台进行测试发现，该小程序确实存在隐私安全漏洞：用户无需任何车主授权、无需核验车辆权属信息，陌生账号可零门槛绑定他人车牌，实时获取车辆入场离场时间、精准停车场位置等隐私信息，个人行车轨迹面临泄露风险。
在ETCP停车小程序，记者输入同事的私家车车牌号，全程无任何授权确认流程，短短数秒便成功将其车辆绑定至个人小程序账户中。
完成缴费就可自动绑定车牌号在ETCP小程序账户上。
绑定完成后，漏洞风险立刻显现。当该车辆驶入ETCP运营的停车场，记者的手机会立刻收到小程序弹窗提醒，推送信息清晰标注精准入场时间、具体停车场详细地理位置；车辆离场结算后，也能同步收到离场时间、停车时长等记录。这意味着，车辆的停靠地点、活动范围等私密出行轨迹，可以被陌生人无门槛实时掌握，车主对此全程无感知、无提醒。
ETCP小程序中仅需填写车牌号就可随意绑定他人车辆。
记者测试发现，绑定的车辆驶入驶出停车场时，手机可以收到提醒。
随后记者对“捷停车”小程序开展测试，该平台同样存在权限核验缺失问题。和ETCP一样，记者仅输入陌生车牌号即可成功绑定非本人车辆，全程无任何权属验证环节。不过，“捷停车”没有实时弹窗提醒，仅在小程序消息列表中显示停车时间和离场时间。
捷停车小程序中的停车通知。
目前市面上智慧停车小程序普遍默认“输入车牌即可绑定”的规则，未设置车主授权、权属核验、双向确认的安全机制。而普通市民的车牌属于公开可见信息，车辆行驶、停靠过程中极易被他人获取，这意味着，他人可通过抓拍车牌、随机输入车牌等方式，批量绑定陌生车辆，长期监控他人出行轨迹，不仅侵犯个人隐私，还可能被用于跟踪尾随等违规违法行为。
不少车主对此漏洞表示担忧。有车主坦言，此前从未知晓停车平台存在此类隐患，日常行车停车毫无防护意识，若被陌生人悄悄绑定车牌，自己的通勤路线、出行频次、常去地点会被一览无余，个人生活隐私完全暴露，安全感大打折扣。
记者梳理发现，此类隐私漏洞并非个例，此前多地均曝光过智慧停车平台车牌绑定权限失控、出行轨迹泄露问题，但始终未得到根治。
然而，自身私家车车牌被他人绑定容易，想要从他人小程序账户中解绑却需要上传行驶证“自证”。
车主若要自身车牌从他人账户中解绑，需要上传相关证件。
11月3日，记者致电ETCP客服，咨询车牌被他人私自绑定后如何解除。客服答复，想要将车牌从别人的账户中解绑，必须由车主本人在小程序注册账号，主动上传行驶证，发起解绑操作。
针对“别人绑定车牌不用上传行驶证，解绑却要车主提交证件”的疑问，客服解释，每辆车车牌首次通过ETCP扫码缴费时，系统会自动把车牌绑定到扫码缴费手机号对应的账户中，因此前期不需要核验证件。此外，在车牌未绑定账户的前提下，他人主动输入车牌也可以进行绑定。
据了解，车辆停放位置、出入场时间属于行踪轨迹，是《个人信息保护法》划定的敏感个人信息，处理该类信息应当取得车主个人单独同意，并且采取严格保护措施。有法律人士表示，平台在绑定环节缺少车主身份核验、缺少主动告知机制，存在信息安全管理漏洞；同时，绑定和解绑的核验标准失衡，加重车主的维权成本。
采写：南方+记者 张笛扬 张湘涓
