Nature爆审稿系统中的巨大漏洞：作者审自己的稿子

做过杂志编辑的人，应该都有一些类似的体验，那就是在寻找审稿人的时候，会面临一个头痛的问题：想去邀请在该领域很有造诣的知名研究人员，但这些大牛往往比较忙碌，要么直接拒审，要么到期限后无法返回审稿意见。所以，大多数情况下编辑会自己在网上寻找自己并不熟悉的potential reviewer，一般也是根据研究人员过去所发表文章的情况去寻找的，要尽量排除来自相同机构或者以前曾经是论文共同作者的情况，有时候也会请求这些potential reviewer推荐。当然也会碰到比较麻烦的情况，那就是好长时间过去了也没有找到愿意审稿的合适审稿人，这个时候只得动用作者推荐的审稿人，当然一般也会做一些简单的筛选工作。然而，这后两种邀请方式，可能隐藏着一个巨大的漏洞：在筛选中一不留神忽略了什么，邀请到了作者自己审稿。特别是作者自己想刻意为之的时候，更是防不胜防。

2014年11月27日Nature有一篇文章，就爆出了审稿系统中的巨大漏洞，有编辑邀请到了作者自己来审他们的稿子。

话说The Journal of Enzyme Inhibition and Medicinal Chemistry的编辑一不留神，邀请了韩国的Hyung-In Moon审稿，但其实这篇稿子是他自己写的。从审稿反馈的结果来看，本身也看不出什么大问题，无非是让作者如何提高论文水平给出了一些建议。但有一个破绽，那就是审稿速度太快了，在24小时内就反馈了审稿意见，这让期刊主编产生了一丝怀疑（其实，最初我被杂志邀请审稿时，也有在24小时内反馈审稿意见的事儿发生，因为那个时候我是当做一件非常荣耀，非常重要的事儿完成的）。也许Moon看到编辑邀请自己审稿，有些欣喜若狂，急不可耐了，才让一个造假链条最终露出了马脚。2012年，这位杂志编辑正好遇到了Moon，Moon承认之所以评审速度如此之快，是因为他撰写了文章的一部分内容，对文章非常了解。仔细调查发现，Moon在投稿中推荐了一些potential reviewer的名字，其中有的是真正的科学家，而有些则是刻意伪造的假名，使得邮件能直接发到Moon及其同事手里。这个供述致使Informa旗下的杂志中有28篇论文被撤稿，一名编辑也因此而辞职。

也许，这并非一个孤案。在过去两年里，110多篇论文被撤销，其中至少6篇是因为同行评议的问题（这个数据应该有一个范围，似乎不是全部期刊杂志的统计）。在这些案例中，研究人员利用出版社计算机系统的缺陷，欺骗编辑让他们自己审稿。这些案例波及Elsevier，Springer，Taylor & Francis，SAGE，Wiley和Informa等知名出版社。目前的投稿系统完全是防君子不防小人的做派，并没有强行要核实注册者身份的程序，研究人员的身份和信息被盗窃或者被冒认的可能性非常大。

但是，这个案例还不是最令人惊讶的。2013年5月，时任Journal of Vibration and Control的主编收到一位向该杂志投稿的作者的来信，说他收到了两个自称是该文章审稿人的邮件。按照许多杂志的匿名审稿规则，审稿人是不能直接与作者联系的。更奇怪的是，这些邮件使用的是免费的Gmail邮箱，而非学术机构的专门邮箱。这位编辑向杂志主办方SAGE上报了该问题，编辑部就按照线索提供者给出的Gmail地址给他们发信，同时也给用这个机构地址发过文章的作者写信，要求他们提供身份证明及其出版物清单。有一个科学家回应了，他说自己发送过那个电子邮件，甚至他都不是这个行当的。于是，SAGE的20位员工进行了为期14个月的调查。结果显示，这些Gmail邮箱都与Thomson Reuters的ScholarOne有关，这是SAGE和Informa等若干出版者共同使用的出版管理系统。

在这个出版系统中，编辑能够追踪每篇论文，了解这些账号背后的人是作者还是审稿人。他们还检查了审稿措辞、作者所推荐审稿人的详细信息、参考文献列表和审稿的轮转时间，这有助于进一步搜寻可疑账号，最终他们发现了130个有疑似问题的账号。在研究了这些可疑账号后，SAGE调查者发现作者间既审稿也彼此引用的比例有些异常。最后发现有60篇文章存在同行评议的贿赂问题，而身处这个关系环中央的是一个名叫Peter Chen的作者，他是中国台湾国立屏东教育大学(NPUE)的一名工程师，也是几乎所有问题论文的合作者。问题显而易见，而且铁证如山，Chen的辩解无法令SAGE满意。2014年2月，Chen被迫辞职；5月，上述的那位编辑也因这个丑闻而辞职。SAGE通知60篇受丑闻影响文章的所有作者，论文将被撤销。

上面的Moon和Chen，显然都利用了ScholarOne系统是自动处理的弱点：当审稿人被邀请审阅一篇论文时，他们会收到一封包含登录信息的邮件。如果这封登录邮件发给了一个伪造的邮件地址，接收者就可以利用刚开始登记时提交的名字登录该系统，根本就不需要任何额外的身份验证。目前，不同出版商使用许多不同的出版系统。很明显，ScholarOne并非唯一存在缺陷的出版系统。另一个著名的投稿系统是Editorial Manager，许多学会和出版社都在使用这个系统。大家熟悉的Elsevier Editorial System是这个系统的分支。Editorial Manager的主要问题也是其密码管理方式。当使用者忘记密码时，系统会为他们发送明文密码。以 PLoS ONE为例，任何时候在要求用户登录系统时，系统都会发送明文密码，哪怕是要求审稿人评审一篇新稿件时也是如此。

在这一点上，杂志编辑系统应该学学谷歌的密码管理方式。谷歌的大部分网页，为了避免密码被拦截，将密码隐藏在加密层保护之下。因此，用户一旦忘记就需要重置密码，当然同时还需要辅以其他身份验证信息。其实，网站密码管理安全漏洞的危害非常大，因为人们通常习惯在不同场合使用相同或类似的密码，发送密码的邮件会给黑客机会，不仅破坏研究记录和投稿系统本身，还可能被用于进行其他非法行为。这是不是让我们广大投稿者看得有些害怕呢？请看到这里的朋友赶快去修改你在投稿网站的密码吧，至少别与你商业支付密码相同。

经常投稿的人应该注意到，Elsevier为了避免这种审稿欺诈行为，已经在开始采取措施了。比如，实施了一项整合旗下100多种杂志账号的测试项目，在清理系统账户数量的同时，有助于发现哪些是欺诈账户。如果项目成功，据说2015年早期就将推广到旗下所有期刊。其次，密码将不再以明文的形式发送到邮件中。另外，为了核实审稿人身份，该系统目前在不同位置还结合了“公开研究者和投稿者身份”(ORCID)。ORCID识别码，就是为每位研究人员被分配为一个特定的数字，能通过其发表的所有文章追踪研究人员，即使他们更换了工作单位也没有关系。ScholarOne也开始允许集成ORCID了，但是否采用由杂志自行决定。SAGE发言人Gamboa对此并不表示乐观，他认为目前没有太多的科学家愿意采用ORCID；另外，ORCID与其他在线验证系统一样，其实也为不道德操作敞开了大门，只不过稍微增加了一些难度而已。哈佛大学法学院的计算机安全专家Bruce Schneier甚至还忧心忡忡地说，如果要让某个系统做得更具技术性和自动化，他人便有更多的方法来玩它， 几乎没有什么技术能解决社会问题。所以，最终还是需要编辑和出版社自己提高警惕，特别是与potential reviewer联系时更是如此。

有人认为，应当改变目前编辑为审稿者指派论文的方式，尤其是不要再采用作者推荐审稿者的方式。一些科学家和出版社也认为，杂志不应该允许作者在首次投稿时推荐审稿人。甚至有位杂志编辑称这种方式“古怪”而“脑残”。目前还不清楚究竟有多少杂志采用了这种作者推荐审稿人的做法。随着一些研究领域变得越来专业，越来越窄，作者推荐审稿人的做法无疑为繁忙的编辑找到相关审稿人提供了最简单的办法，有些杂志甚至需要作者在投稿的时候推荐最少5位审稿人呢。上述SAGE所撤回的60篇文章，大多是因为最初的同行评审仅仅邀请了作者推荐的审稿人。尽管有这样的教训，但Journal of Vibration and Control仍旧允许作者推荐审稿人并提供邮件地址，但现在有了更多的保障措施。出版伦理委员会（COPE）是提供科学出版道德指南的机构，他们对此也没有更多的建议，但敦促杂志对审稿人进行充分审查，要仔细核实审稿人的姓名，地址和电子邮件。

不过，从作者角度来看，有时候推荐审稿人并非能获得什么好处。比如，有位主编就说他的杂志允许作者推荐两名审稿人，但他通常采用这些信息来排除审稿人（这位编辑是不是太阴险了？）。他说这是基于过去的经验，因为他看到有些作者推荐自己的联系人，更糟糕的是，会推荐自己的家人，自己的同事或作者研究生的导师。

正如我前面所说，责任编辑有时实在找不到更合适的审稿人时，也会采用那些经过一定筛选程序的建议审稿人。但这种筛选在具体操作中也是极其困难的。比如，美国和欧洲的编辑们说他们非常了解欧美科学界的情况，甚至知道作者与审稿人之间潜在的利益冲突，但他们同时也强调对亚洲作者的情况了解甚少，有时候根本不知道作者所推荐的审稿人是何方神圣。这时候，会动用建议审稿人，但不会全部使用，至少包括一个由编辑邀请的独立审稿人。

如果作者并不伪造什么，仅仅让一些信息扑朔迷离，也是与编辑间斗智斗勇的游戏。

比如，有位编辑就碰到件很棘手的事儿，他说看到一位女性作者所建议的审稿人与她自己有相同的名字，但姓不同。世界上相同名字的人很多，甚至同名同姓相同研究方向的人也不少，因此这并没有什么离奇的。如果编辑这么想，那么就可能犯错了。恰好他多了一个心眼，经过核实发现，这个姓是作者结婚前的姓，也就是说她推荐自己审自己的稿子。由于编辑发现了这个问题，这名作者当然也就进入了杂志黑名单了，她以后再也不可能向这个杂志投稿了。

外一则：中国投稿人的类似经历

-------------------
看到Nature的这篇文章，使我想起了之前在某个网站上看到研究生朋友发布的一个求教信息。刚才找到了这个信息。他的原文如下：

之前投过国外一篇文章，两个半月后联系了一下编辑部，回复说没有找到合适的审稿人，让我再等两周，一周后发现自己的QQ邮箱居然收到了编辑部的信，推荐我做审稿人，问我是否同意，所审的稿子居然是我自己的稿子。在这个杂志注册信息的时候我并没有用这个QQ邮箱注册，也不可能写这么不正式的邮箱呀，而且他给我发信的时候写的是：Dr...，就是说他并不知道我是谁，但是他怎么可能知道我这个邮箱呢？并且他让我回复是否乐意做审稿人，或者推荐其他审稿人，我该如何回复呢？有没有人碰到过同样的问题？