駭客內鬼致個人成“透明人” 資訊泄露渠道“無孔不入”
資訊泄露黑灰産業鏈滋生巨大非法獲利空間
“李女士，您所購買的小區最近正在交房，您家裝修公司選好了嗎？”
“您好，我們銀行最近有裝修貸産品做活動，利率很優惠，您有需求嗎？”
“您家房本快下來了，您有考慮賣房嗎？”
……
自從李女士買了房，她的生活就像被跟蹤一般，裝修公司、銀行、中介的各種推銷電話每天各種轟炸。大多數人都有過和李女士類似的經歷。究其原因，正是資訊泄露讓我們無形中變身“透明人”。
《經濟參考報》記者調查發現，從上游個人資訊被非法獲取、到中遊數據在各種黑市交易平臺被轉手和出售、再到下遊各種隱私數據被用于詐騙、勒索，個人資訊泄露背後已然形成了一條完整的黑灰産業鏈，滋生著巨大的非法獲利空間，嚴重威脅著個人、企業甚至國家安全。
趙乃育 繪
“駭客”難躲“內鬼” 頻現泄露渠道“無孔不入”
個人資訊究竟是怎麼被泄露的呢？在諸多的資訊泄露案背後，不乏“駭客”和“內鬼”的身影。
奇安信數據安全子公司負責人姚磊對《經濟參考報》記者表示，駭客可利用線上係統漏洞拖庫、利用社工庫或者弱密碼等撞庫，此前出現的QQ群、163郵箱、天涯、萬豪、華住等數據泄露事件，均和駭客攻擊有關。“部分駭客也可利用移動終端作業系統漏洞、公共WIFI網絡漏洞、終端舊設備數據刪除不完全等，攻擊終端企業數據，造成個人隱私數據泄露。”他説。
除了“駭客”難躲，“內鬼”也頻現。北京市朝陽區人民檢察院檢察官助理陳瑩璐告訴記者，就犯罪主體來看，單位內部員工或離職人員，利用職務或工作便利，非法獲取或販賣公民個人資訊案件時有發生。她舉例稱，被告人方某在某網絡公司任職期間，非法復制獲取公司係統伺服器中的公民個人資訊10萬余條，並出售獲利。後該公司在排查中發現該員工賬戶使用異常，下載大量包含用戶資訊姓名、身份證、電話等公民個人資訊，故報案。據方某供述，其在公司利用爬蟲軟件獲取了數十萬條公民個人資訊，經篩選、刪除敏感資訊後，留下姓名、手機號，存入移動硬碟，後從移動硬碟中找資訊賣出。
值得注意的是，現實生活中，一些資訊泄露途徑十分隱秘，無形之中我們就已然變身為“透明人”。
無處不在的攝像頭已經成為獲取個人生物資訊的重要渠道。業內專家表示，個人生物特徵數據具有唯一性和不可再生性，一旦被竊取，無法追回和變更，將對個人隱私保護帶來極大的、不可逆的風險。人臉資訊明文傳輸，每次刷臉解鎖均會反覆上傳，很容易發生泄露，且識別可靠性差，使用翻拍照片即可輕易破解。
另外，電信運營商、短信通道、第三方平臺等也已經成為近些年來不可忽視的泄露渠道。“用戶訪問客戶網站/App的記錄被運營商泄露、用戶數據被第三方工具或平臺泄露、企業下發給用戶的短信被第三方短信通道泄露等，都時有發生。”業務情報安全企業永安線上産品經理鄒洪志表示。
他對記者説，永安線上最近協助某證券公司發現了一條數據資産泄露渠道，該證券公司的數據並不存在直接泄露，但與其客戶相關的資産數據在暗網或Telegram群被持續出售。
“黑灰産人員可以獲取到訪問過該證券公司官網的用戶手機號碼，有些還可以獲取到用戶姓名、運營商、省份、城市等相關數據。”他説，運營商能拿到用戶的上網流量，可以通過用戶手機號-設備-流量（訪問網址）對應上，然後通過內鬼或者某個介面泄露到第三方“大數據營”公司之類去賣。鄒洪志説，一些數據賣家明確表示只支援某一家電信運營商，也從側面證明這些賣家是與運營商合作的。
圖片來源：永安線上
專家指出，實名制的深入實施讓個人資訊常與設備、賬號綁定，進一步放大了資訊泄露的風險。360集團手機安全研究員俞奎表示，某種程度上，身份資訊、支付等校驗的是設備、賬號，而不是本人，即誰掌握了他人的資訊，即可實現身份冒充。如果平臺遭受駭客攻擊，或有內鬼泄露，那麼用戶交付出去的個人資訊用途並不可控。
層層加密無法追蹤 暗網等平臺成資訊買賣“大本營”
在一些隱秘的角落，有關個人資訊的非法交易“無時無刻”都在進行。“傳統的泄露數據大都在QQ、微信以及地下論壇等交易。然而，隨著國家對網絡空間治理和打擊力度的加大，越來越多的泄露數據在‘暗網’這種匿名、匿蹤的黑市交易平臺出售。”姚磊説。
陳瑩璐表示，“暗網”被稱為“隱藏的伺服器”，其域名數量達到表層網絡的400-500倍，運營環節具有全方位的程式保護和復雜的登錄方式。犯罪分子借助暗網匿名、無法追蹤等特點，並使用賭博平臺、虛擬貨幣進行交易，層層加密為遊走在“暗網”的犯罪分子提供了技術上的“保護色”。
《經濟參考報》記者從業內人士了解到，“暗網”提供各種“查檔”、“定位”服務，“查檔”指查詢公民的住宿、出行、戶籍、車輛、犯罪記錄、學籍等各種隱私資訊。“定位”則是指可查詢各種App位置資訊。
記者通過有關渠道獲取到一張“暗網”發布帖子的截圖。發帖人稱，“全國幼兒園至高中、職校以及相關教育機構教師數據，一手出新74800條，數據內容非常詳細”。該截圖顯示，這些個人資訊包括教師姓名、手機、郵箱、畢業院校、任教學科、任教學校、教齡等共16個維度的數據。記者隨機挑選了兩位教師的資訊，經電話求證，資訊均為其個人真實資訊。該帖子發布于2021年1月9日，截至3月25日，該定價為99美元的數據包已有4單成交。
實際上，“暗網“已成個人資訊買賣“大本營”。姚磊介紹，2020年以來，在“暗網”出售的部分重要數據包括：2021年1月，印度支付公司Juspay超1億用戶的借記卡、信用卡資訊在“暗網”上銷售；2020年8月，駭客在“暗網”出售美國1.86億選民數據；2020年4月，超50萬Zoom用戶賬戶在暗網出售；2020年3月，5.38億條微博用戶資訊在“暗網”出售，包括用戶ID、微博數、粉絲數、關注數、地理位置、手機號等。
滋生詐騙、勒索 資訊泄露成“精準”犯罪“助推器”
陳瑩璐表示，隨著經濟的快速發展和資訊網絡的廣泛普及，公民個人資訊的經濟價值日益凸顯，導致侵犯公民個人資訊的犯罪屢打不絕，且成為了滋生電信網絡詐騙、綁架、敲詐勒索等下遊犯罪的源頭，社會危害日益突出並多發，已經史無前例地成為影響個人甚至國家安全的重要問題。
中國司法大數據研究院社會治理研究中心主任李俊慧對《經濟參考報》記者表示，通常而言，買賣個人資訊，從購買一方來看，一定有特殊用途，不論是進行業務推廣，或是實施詐騙犯罪等。因此，個人資訊不當泄露或非法買賣一定會給下遊犯罪提供幫助。他舉例稱，在一起個人資訊非法買賣案件中，不法分子成立了一家資訊咨詢公司，通過QQ購買股民電話號碼，進行虛假股票行銷牟利。公安機關在該公司現場查獲股民電話號碼約12萬條。
“囿于違法所得金額的限制，對于涉公民個人資訊犯罪違法所得的追繳與罰金的財産性處罰，卻遠不足以填平公民個人資訊泄露造成的次生危害。”北京市第三中級人民法院副院長辛尚民表示。實踐中，行為人利用非法獲取的公民個人資訊實施的犯罪主要有詐騙罪，比如向不特定對象發送“中獎”資訊；合同詐騙罪，比如利用某些理財軟件漏洞騙取財物；敲詐勒索罪，比如利用酒店開房記錄等住宿資訊對相關人員進行勒索。
值得注意的是，數據泄露及販賣正從單純的交易數據演變到交易數據訪問許可權。網絡犯罪分子已將注意力從個人資訊轉移到了更龐大的數據庫——工業企業數據庫。駭客利用漏洞竊取企業核心數據，並通過勒索軟件加密企業相關設備。隨後，這些數據將被進行“雙重勒索”，如果不支付贖金不予解鎖，同時會泄露被盜數據。尤其是在制造業智能化程度大幅提高的背景下，智能化工控係統（ICS）已成為駭客攻擊的目標。
閃捷信息安全戰略研究中心發布的《2020年度數據泄漏態勢分析報告》顯示，2020年受勒索攻擊而造成數據泄露事件佔所有數據安全事件的15%，成為常態化的數據安全事件。
據此前江蘇省南通市警方通報，在“凈網 2020”行動中，成功偵破一起由公安部督辦的特大制作、使用勒索病毒破壞電腦資訊係統從而實施網絡敲詐勒索的案件，非法獲利的比特幣折合人民幣500余萬元。
華順信安的創始人、CEO趙武表示，駭客已單純索取數據行為轉向勒索，通過勒索病毒對企業關鍵資訊庫加密的方式索要高額虛擬貨幣，可以短時間獲得暴利，又因虛擬貨幣的匿名性而保護身份不暴露。“企業不同于個人，企業不支付贖金，駭客便泄露企業敏感數據、竊取其智慧財産權。極端情況下，最嚴重的攻擊可能對制造商工廠和設備造成永久性損失，對企業影響難以估量。”趙武説。（記者 張超文 李佳鵬 孫韶華 張莫 梁倩 郭倩）
