原標題：

　　【三問(wèn)“信息泄露”之二：為何猖獗？】

　　黑客內鬼致個(gè)人成“透明人”　信息泄露渠道“無(wú)孔不入”

　　信息泄露黑灰產(chǎn)業(yè)鏈滋生巨大非法獲利空間

?

　　“李女士，您所購買(mǎi)的小區最近正在交房，您家裝修公司選好了嗎？”

　　“您好，我們銀行最近有裝修貸產(chǎn)品做活動(dòng)，利率很優(yōu)惠，您有需求嗎？”

　　“您家房本快下來(lái)了，您有考慮賣(mài)房嗎？”

　　……

　　自從李女士買(mǎi)了房，她的生活就像被跟蹤一般，裝修公司、銀行、中介的各種推銷(xiāo)電話(huà)每天各種轟炸。大多數人都有過(guò)和李女士類(lèi)似的經(jīng)歷。究其原因，正是信息泄露讓我們無(wú)形中變身“透明人”。

　　《經(jīng)濟參考報》記者調查發(fā)現，從上游個(gè)人信息被非法獲取、到中游數據在各種黑市交易平臺被轉手和出售、再到下游各種隱私數據被用于詐騙、勒索，個(gè)人信息泄露背后已然形成了一條完整的黑灰產(chǎn)業(yè)鏈，滋生著(zhù)巨大的非法獲利空間，嚴重威脅著(zhù)個(gè)人、企業(yè)甚至國家安全。

趙乃育　繪

?

　　“黑客”難躲“內鬼”頻現　泄露渠道“無(wú)孔不入”

　　個(gè)人信息究竟是怎么被泄露的呢？在諸多的信息泄露案背后，不乏“黑客”和“內鬼”的身影。

　　奇安信數據安全子公司負責人姚磊對《經(jīng)濟參考報》記者表示，黑客可利用在線(xiàn)系統漏洞拖庫、利用社工庫或者弱口令等撞庫，此前出現的QQ群、163郵箱、天涯、萬(wàn)豪、華住等數據泄露事件，均和黑客攻擊有關(guān)?！安糠趾诳鸵部衫靡苿?dòng)終端操作系統漏洞、公共WIFI網(wǎng)絡(luò )漏洞、終端舊設備數據刪除不完全等，攻擊終端企業(yè)數據，造成個(gè)人隱私數據泄露?！彼f(shuō)。

　　除了“黑客”難躲，“內鬼”也頻現。北京市朝陽(yáng)區人民檢察院檢察官助理陳瑩璐告訴記者，就犯罪主體來(lái)看，單位內部員工或離職人員，利用職務(wù)或工作便利，非法獲取或販賣(mài)公民個(gè)人信息案件時(shí)有發(fā)生。她舉例稱(chēng)，被告人方某在某網(wǎng)絡(luò )公司任職期間，非法復制獲取公司系統服務(wù)器中的公民個(gè)人信息10萬(wàn)余條，并出售獲利。后該公司在排查中發(fā)現該員工賬戶(hù)使用異常，下載大量包含用戶(hù)信息姓名、身份證、電話(huà)等公民個(gè)人信息，故報案。據方某供述，其在公司利用爬蟲(chóng)軟件獲取了數十萬(wàn)條公民個(gè)人信息，經(jīng)篩選、刪除敏感信息后，留下姓名、手機號，存入移動(dòng)硬盤(pán)，后從移動(dòng)硬盤(pán)中找信息賣(mài)出。

　　值得注意的是，現實(shí)生活中，一些信息泄露途徑十分隱秘，無(wú)形之中我們就已然變身為“透明人”。

　　無(wú)處不在的攝像頭已經(jīng)成為獲取個(gè)人生物信息的重要渠道。業(yè)內專(zhuān)家表示，個(gè)人生物特征數據具有唯一性和不可再生性，一旦被竊取，無(wú)法追回和變更，將對個(gè)人隱私保護帶來(lái)極大的、不可逆的風(fēng)險。人臉信息明文傳輸，每次刷臉解鎖均會(huì )反復上傳，很容易發(fā)生泄露，且識別可靠性差，使用翻拍照片即可輕易破解。

　　另外，電信運營(yíng)商、短信通道、第三方平臺等也已經(jīng)成為近些年來(lái)不可忽視的泄露渠道?！坝脩?hù)訪(fǎng)問(wèn)客戶(hù)網(wǎng)站/App的記錄被運營(yíng)商泄露、用戶(hù)數據被第三方工具或平臺泄露、企業(yè)下發(fā)給用戶(hù)的短信被第三方短信通道泄露等，都時(shí)有發(fā)生?！睒I(yè)務(wù)情報安全企業(yè)永安在線(xiàn)產(chǎn)品經(jīng)理鄒洪志表示。

　　他對記者說(shuō)，永安在線(xiàn)最近協(xié)助某證券公司發(fā)現了一條數據資產(chǎn)泄露渠道，該證券公司的數據并不存在直接泄露，但與其客戶(hù)相關(guān)的資產(chǎn)數據在暗網(wǎng)或Telegram群被持續出售。

　　“黑灰產(chǎn)人員可以獲取到訪(fǎng)問(wèn)過(guò)該證券公司官網(wǎng)的用戶(hù)手機號碼，有些還可以獲取到用戶(hù)姓名、運營(yíng)商、省份、城市等相關(guān)數據?！彼f(shuō)，運營(yíng)商能拿到用戶(hù)的上網(wǎng)流量，可以通過(guò)用戶(hù)手機號-設備-流量（訪(fǎng)問(wèn)網(wǎng)址）對應上，然后通過(guò)內鬼或者某個(gè)接口泄露到第三方“大數據營(yíng)”公司之類(lèi)去賣(mài)。鄒洪志說(shuō)，一些數據賣(mài)家明確表示只支持某一家電信運營(yíng)商，也從側面證明這些賣(mài)家是與運營(yíng)商合作的。

　　專(zhuān)家指出，實(shí)名制的深入實(shí)施讓個(gè)人信息常與設備、賬號綁定，進(jìn)一步放大了信息泄露的風(fēng)險。360集團手機安全研究員俞奎表示，某種程度上，身份信息、支付等校驗的是設備、賬號，而不是本人，即誰(shuí)掌握了他人的信息，即可實(shí)現身份冒充。如果平臺遭受黑客攻擊，或有內鬼泄露，那么用戶(hù)交付出去的個(gè)人信息用途并不可控。

　　層層加密無(wú)法追蹤　暗網(wǎng)等平臺成信息買(mǎi)賣(mài)“大本營(yíng)”

　　在一些隱秘的角落，有關(guān)個(gè)人信息的非法交易“無(wú)時(shí)無(wú)刻”都在進(jìn)行?！皞鹘y的泄露數據大都在QQ、微信以及地下論壇等交易。然而，隨著(zhù)國家對網(wǎng)絡(luò )空間治理和打擊力度的加大，越來(lái)越多的泄露數據在‘暗網(wǎng)’這種匿名、匿蹤的黑市交易平臺出售?！币谡f(shuō)。

　　陳瑩璐表示，“暗網(wǎng)”被稱(chēng)為“隱藏的服務(wù)器”，其域名數量達到表層網(wǎng)絡(luò )的400-500倍，運營(yíng)環(huán)節具有全方位的程序保護和復雜的登錄方式。犯罪分子借助暗網(wǎng)匿名、無(wú)法追蹤等特點(diǎn)，并使用賭博平臺、虛擬貨幣進(jìn)行交易，層層加密為游走在“暗網(wǎng)”的犯罪分子提供了技術(shù)上的“保護色”。

　　《經(jīng)濟參考報》記者從業(yè)內人士了解到，“暗網(wǎng)”提供各種“查檔”、“定位”服務(wù)，“查檔”指查詢(xún)公民的住宿、出行、戶(hù)籍、車(chē)輛、犯罪記錄、學(xué)籍等各種隱私信息?！岸ㄎ弧眲t是指可查詢(xún)各種App位置信息。

　　記者通過(guò)有關(guān)渠道獲取到一張“暗網(wǎng)”發(fā)布帖子的截圖。發(fā)帖人稱(chēng)，“全國幼兒園至高中、職校以及相關(guān)教育機構教師數據，一手出新74800條，數據內容非常詳細”。該截圖顯示，這些個(gè)人信息包括教師姓名、手機、郵箱、畢業(yè)院校、任教學(xué)科、任教學(xué)校、教齡等共16個(gè)維度的數據。記者隨機挑選了兩位教師的信息，經(jīng)電話(huà)求證，信息均為其個(gè)人真實(shí)信息。該帖子發(fā)布于2021年1月9日，截至3月25日，該定價(jià)為99美元的數據包已有4單成交。

　　實(shí)際上，“暗網(wǎng)”已成個(gè)人信息買(mǎi)賣(mài)“大本營(yíng)”。姚磊介紹，2020年以來(lái)，在“暗網(wǎng)”出售的部分重要數據包括：2021年1月，印度支付公司Juspay超1億用戶(hù)的借記卡、信用卡信息在“暗網(wǎng)”上銷(xiāo)售；2020年8月，黑客在“暗網(wǎng)”出售美國1.86億選民數據；2020年4月，超50萬(wàn)Zoom用戶(hù)賬戶(hù)在暗網(wǎng)出售；2020年3月，5.38億條微博用戶(hù)信息在“暗網(wǎng)”出售，包括用戶(hù)ID、微博數、粉絲數、關(guān)注數、地理位置、手機號等。

　　滋生詐騙、勒索　信息泄露成“精準”犯罪“助推器”

　　陳瑩璐表示，隨著(zhù)經(jīng)濟的快速發(fā)展和信息網(wǎng)絡(luò )的廣泛普及，公民個(gè)人信息的經(jīng)濟價(jià)值日益凸顯，導致侵犯公民個(gè)人信息的犯罪多發(fā)，且成為了滋生電信網(wǎng)絡(luò )詐騙、綁架、敲詐勒索等下游犯罪的源頭，社會(huì )危害日益突出并多發(fā)，已經(jīng)史無(wú)前例地成為影響個(gè)人甚至國家安全的重要問(wèn)題。

　　中國司法大數據研究院社會(huì )治理研究中心主任李俊慧對《經(jīng)濟參考報》記者表示，通常而言，買(mǎi)賣(mài)個(gè)人信息，從購買(mǎi)一方來(lái)看，一定有特殊用途，不論是進(jìn)行業(yè)務(wù)推廣，或是實(shí)施詐騙犯罪等。因此，個(gè)人信息不當泄露或非法買(mǎi)賣(mài)一定會(huì )給下游犯罪提供幫助。他舉例稱(chēng)，在一起個(gè)人信息非法買(mǎi)賣(mài)案件中，不法分子成立了一家信息咨詢(xún)公司，通過(guò)QQ購買(mǎi)股民電話(huà)號碼，進(jìn)行虛假股票營(yíng)銷(xiāo)牟利。公安機關(guān)在該公司現場(chǎng)查獲股民電話(huà)號碼約12萬(wàn)條。

　　“囿于違法所得金額的限制，對于涉公民個(gè)人信息犯罪違法所得的追繳與罰金的財產(chǎn)性處罰，卻遠不足以填平公民個(gè)人信息泄露造成的次生危害?！北本┦械谌屑壢嗣穹ㄔ焊痹洪L(cháng)辛尚民表示。實(shí)踐中，行為人利用非法獲取的公民個(gè)人信息實(shí)施的犯罪主要有詐騙罪，比如向不特定對象發(fā)送“中獎”信息；合同詐騙罪，比如利用某些理財軟件漏洞騙取財物；敲詐勒索罪，比如利用酒店開(kāi)房記錄等住宿信息對相關(guān)人員進(jìn)行勒索。

　　值得注意的是，數據泄露及販賣(mài)正從單純的交易數據演變到交易數據訪(fǎng)問(wèn)權限。網(wǎng)絡(luò )犯罪分子已將注意力從個(gè)人信息轉移到了更龐大的數據庫——工業(yè)企業(yè)數據庫。黑客利用漏洞竊取企業(yè)核心數據，并通過(guò)勒索軟件加密企業(yè)相關(guān)設備。隨后，這些數據將被進(jìn)行“雙重勒索”，如果不支付贖金不予解鎖，同時(shí)會(huì )泄露被盜數據。尤其是在制造業(yè)智能化程度大幅提高的背景下，智能化工控系統（ICS）已成為黑客攻擊的目標。

　　閃捷信息安全戰略研究中心發(fā)布的《2020年度數據泄漏態(tài)勢分析報告》顯示，2020年受勒索攻擊而造成數據泄露事件占所有數據安全事件的15%，成為常態(tài)化的數據安全事件。

　　據此前江蘇省南通市警方通報，在“凈網(wǎng)　2020”行動(dòng)中，成功偵破一起由公安部督辦的特大制作、使用勒索病毒破壞計算機信息系統從而實(shí)施網(wǎng)絡(luò )敲詐勒索的案件，非法獲利的比特幣折合人民幣500余萬(wàn)元。

　　華順信安的創(chuàng )始人、CEO趙武表示，黑客已單純索取數據行為轉向勒索，通過(guò)勒索病毒對企業(yè)關(guān)鍵信息庫加密的方式索要高額虛擬貨幣，可以短時(shí)間獲得暴利，又因虛擬貨幣的匿名性而保護身份不暴露?！捌髽I(yè)不同于個(gè)人，企業(yè)不支付贖金，黑客便泄露企業(yè)敏感數據、竊取其知識產(chǎn)權。極端情況下，最嚴重的攻擊可能對制造商工廠(chǎng)和設備造成永久性損失，對企業(yè)影響難以估量?！壁w武說(shuō)。

?

　　相關(guān)報道：

　　【三問(wèn)“信息泄露”之一：緣何泄露?】數十億條個(gè)人信息明碼標價(jià)　“潛規則”盛行售賣(mài)泛濫成災