揭秘信息販賣產(chǎn)業(yè)鏈：有黑客有內(nèi)鬼 動輒數(shù)千萬條

你一定經(jīng)常接到這樣的推銷電話或者詐騙短信，對方不僅能叫出你的名字，還知道你的住址、工作，甚至知道你最近準(zhǔn)備買房、上了醫(yī)院、去過哪里旅游……一種“信息裸奔”的尷尬時不時向你襲來，讓你驚悸莫名、氣急敗壞而又無可奈何。

誰偷走了我們的信息？誰又在轉(zhuǎn)賣和利用我們的信息？半月談記者通過深入采訪，為你揭開這一條長長的黑色產(chǎn)業(yè)鏈。

一次售賣，動輒數(shù)千萬條

“本人大量求購個人理財信息，數(shù)量上不封頂，越多越好！”2016年5月，安徽馬鞍山市一個名為“outman”的網(wǎng)民在多個QQ群里大肆求購公民個人信息，特別是馬鞍山本地公民資料，內(nèi)容涉及銀行、保險、理財?shù)确矫妗?/p>

很快一個名叫“云”的網(wǎng)民與“outman”聯(lián)系上，通過一番網(wǎng)上溝通，便傳給“outman”一個文件夾，里面竟存放著10000條馬鞍山市民的投資理財類個人信息。

萬條公民個人信息，何以就這樣輕易在網(wǎng)上被陌生人交易？安徽馬鞍山市含山縣警方發(fā)現(xiàn)這一異常后，迅速展開偵查，很快鎖定了買家和賣家，并由此順藤摸瓜，一個環(huán)環(huán)相扣的公民信息販賣網(wǎng)絡(luò)浮出水面。

原來“outman”是馬鞍山一家理財公司的員工，公司老板要求找路子獲取馬鞍山市特定人群資料，方便其拉客戶。而“云”是一家國企員工，也是個人信息販賣的中間商，他的數(shù)據(jù)來源于名為“專業(yè)電銷”的網(wǎng)民。而“專業(yè)電銷”的信息則來自一個叫伍某的專業(yè)信息批發(fā)商。

從買家“outman”到中間商“云”和“專業(yè)電銷”再到批發(fā)商伍某，一條信息販賣的三級利益鏈浮出水面。警方查明，這個犯罪鏈條共計瘋狂買賣公民個人信息達1.25億條。其中伍某從800元購買10000條公民個人信息起家，僅用一年時間，就通過非法交換、轉(zhuǎn)賣等方式建立起自己的專業(yè)數(shù)據(jù)買賣網(wǎng)站和數(shù)據(jù)庫，售賣信息動輒一次就數(shù)千萬條。

這不過是販賣公民個人信息的冰山一角。如果說含山案只暴露出信息批發(fā)商的環(huán)節(jié)，那么此后不久，公安部和安徽蚌埠警方披露了一起近50億條公民信息盜販案，則揭開了信息販賣利益鏈最頂端的蓋子。

公安部門偵查發(fā)現(xiàn)，黑客鄭某某與何某某，通過應(yīng)聘方式潛入互聯(lián)網(wǎng)公司核心部門，或利用入侵國內(nèi)外知名互聯(lián)網(wǎng)公司服務(wù)器等手段，大肆竊取公民個人信息等核心數(shù)據(jù)，相互交換、出售獲利。

負(fù)責(zé)偵辦此案的蚌埠市公安局刑警支隊支隊長楊慶介紹，此案由公安部督導(dǎo)，安徽省公安廳指揮，涉案地區(qū)達全國14個省市，抓獲涉案人員79人，繳獲電子數(shù)據(jù)1.4Tb，獲取數(shù)據(jù)近50億條。“黑客是盜取大量個人信息的重要源頭。這些被泄露的公民個人信息涉及國內(nèi)知名的上市互聯(lián)網(wǎng)公司，數(shù)據(jù)巨大，涉及面廣，堪稱震驚互聯(lián)網(wǎng)信息安全的行業(yè)大事件。”

專業(yè)化、社群化的產(chǎn)業(yè)鏈條

半月談記者采訪發(fā)現(xiàn)，犯罪團伙中，有人專門負(fù)責(zé)竊取公民的相關(guān)信息；有人通過技術(shù)手段對這些信息整理、建庫；有人將數(shù)據(jù)出售、交換、變現(xiàn)。

含山縣警方繪制的一張侵犯公民個人信息犯罪圖顯示，信息侵犯共分四級，第一級是黑客或內(nèi)鬼盜取公民個人信息；第二級是信息批發(fā)商，他們從黑客手中獲取大量信息，并通過互相交換，像滾雪球一樣不斷增加自己的信息數(shù)據(jù)庫；第三級是信息購買人或者中間商，他們從批發(fā)商那里購買各種數(shù)據(jù)，再根據(jù)需要轉(zhuǎn)手賣給他人；第四級是信息使用者，包括業(yè)務(wù)推銷、詐騙盜竊等人員，他們拿到信息后，進行電話營銷，或者利用偽基站實施電信詐騙。

一位涉案黑客翁某告訴半月談記者，通過技術(shù)入侵網(wǎng)站盜取公民個人信息對他這樣的黑客來說并不難，少則幾天多則幾月，一般都會成功。至今他已經(jīng)入侵網(wǎng)站達幾百家，從未被管理員發(fā)現(xiàn)。在他們黑客圈子里，大家有個默契，入侵網(wǎng)站獲取權(quán)限和信息后，都會互相交換數(shù)據(jù)、互通有無，讓盜取的公民個人信息庫越來越大。

涉案的另一名黑客鄭某說，大家最開始入侵網(wǎng)站是為了攀比技術(shù)，盜取信息后有的甚至放到網(wǎng)上免費供人下載。漸漸隨著需求的增加、利益的驅(qū)使，開始有人專門為了錢而去盜取信息。

據(jù)了解，大量個人信息被黑客盜取和賣給批發(fā)商后，一般要進行三步操作。

一是撞庫，即黑客或信息批發(fā)商用手中掌握的A網(wǎng)站的用戶信息去登錄B網(wǎng)站C網(wǎng)站等，一旦用戶是多個賬號共用一個密碼，那么個人網(wǎng)上信息便會如多米諾骨牌一樣被瞬間破解；二是洗庫，在撞庫后，黑客或信息批發(fā)商就會對獲得的大量信息進行合并梳理歸類，比如分理財、醫(yī)療、公務(wù)員、車險等多個種類，為下一步售賣做準(zhǔn)備；三是脫庫，即售賣數(shù)據(jù)或從中拿出部分?jǐn)?shù)據(jù)進行精準(zhǔn)推送。

采訪中，半月談記者了解到，這些侵犯公民信息安全的黑客和販賣者，往往都是線下有正規(guī)的工作，線上通過QQ群組結(jié)識聚合成為網(wǎng)上好友，密切配合沆瀣一氣的。

用于精準(zhǔn)推銷、精準(zhǔn)詐騙

據(jù)悉，在侵犯個人信息案件中，涉及信息主要包括網(wǎng)購數(shù)據(jù)、車主數(shù)據(jù)、保險理財類數(shù)據(jù)、學(xué)生公務(wù)員國企員工等特殊群體數(shù)據(jù)、醫(yī)療住宿出行數(shù)據(jù)等多種類型。這些信息因出賣次數(shù)多少、包含內(nèi)容多寡決定價格高低。如果是首次出賣，信息包含銀行卡號等含金量高的內(nèi)容，可賣到一條信息一元的高價。多次轉(zhuǎn)賣，往往就以一兩百元一萬條的價格打包出售。

大量個人信息被侵犯帶來了不堪其擾的推銷電話和短信，還有后果嚴(yán)重的電信詐騙。

含山縣公安局網(wǎng)安支隊副大隊長王非介紹，被盜取的個人信息往往被分類用于精準(zhǔn)推銷、精準(zhǔn)詐騙，比如公務(wù)員、教師、國企員工的信息往往被用來推銷大額信用卡；個人銀行卡類信息，往往被用來推銷理財產(chǎn)品，或者用于復(fù)制銀行卡盜竊資金；學(xué)生信息，則用來推銷教材和家教信息，或以中、高考加分為借口進行詐騙；收藏品、保健品用戶信息，車主信息則用來推銷相應(yīng)的商品或進行專門詐騙。

防止“信息裸奔”，不能僅靠自己小心

面對信息泄露，公眾往往被提醒要自己小心，提高警惕，保護好自己的信息。這當(dāng)然是一個重要方面。然而，在互聯(lián)網(wǎng)高速發(fā)展的大背景下，除非離網(wǎng)生活，否則僅靠公民個人自我保護，很難保證信息安全。

采訪中一位采訪對象說，他曾在房產(chǎn)公司、保險公司工作過，對于客戶信息，公司雖有要求不能泄露，但實際沒有有效的監(jiān)管措施。

目前一些網(wǎng)站本身的安全防護水平不高，甚至黑客入侵網(wǎng)站拿走數(shù)據(jù)后，有的網(wǎng)站仍渾然不覺。

顯然，保障信息安全，需要各方共同發(fā)力。然而目前來看，防控信息泄露、打擊信息犯罪還存在諸多難點。

首先，對侵犯公民個人信息的定罪標(biāo)準(zhǔn)仍不明確。信息的敏感程度、數(shù)量、獲取手段、損害后果等都應(yīng)當(dāng)是罪刑考量的要素，而現(xiàn)行法律對此還未作出清晰規(guī)定，導(dǎo)致對犯罪人員的打擊處理缺乏有力法律支撐，沒有形成應(yīng)有的震懾。

其次，機關(guān)、企事業(yè)單位個人數(shù)據(jù)保護責(zé)任尚未落實。很多單位沒有建立完善的信息系統(tǒng)安全管理制度；對于收集到的個人信息沒有及時進行匿名或化名處理；一些信息存儲平臺的日常防護能力不足。另外，目前處理的販賣個人信息案件中，往往只追究了“內(nèi)部人員”的法律責(zé)任，對相關(guān)單位及其領(lǐng)導(dǎo)的責(zé)任很少追究。

第三，公安部門反映，侵犯公民個人信息犯罪往往通過網(wǎng)絡(luò)，涉及全國各地，信息種類龐雜，造成犯罪分子追蹤難、信息溯源難，對公安內(nèi)部的多警協(xié)作要求日益增多，對各部門的協(xié)調(diào)配合要求也日益增多，這些都給案件偵辦提出了新挑戰(zhàn)。

然而不管怎樣，嚴(yán)厲打擊信息犯罪，已是人民群眾的共同心聲。面對新形勢，必須加強上下游違法犯罪形態(tài)研究，建立起從源頭到渠道、從平臺到行業(yè)、從企事業(yè)單位到管理部門的綜合防控體系，推進法律適用和落實執(zhí)行等配套機制，切實提升犯罪成本，切實保障公民信息安全。(半月談記者 楊玉華 湯陽)