信息泄露无孔不入，黑客与鬼才让你成为“透明人”

黑客内幕致个人成为“透明人” 信息泄露渠道“无孔不入”

信息泄露和黑灰色产业链滋生巨大的非法获利空间

“李小姐，您购买的小区目前正在交房，请问您的家装公司选好了吗？”

“您好，我们银行最近推出了装修贷款产品，利率非常优惠，请问您有什么需求吗？”

“你的房子快降了，有没有考虑卖掉房子？”

...

自从李女士买了房子，她的生活就像被人跟踪一样。 每天都有来自装修公司、银行、中介的各种销售电话轰炸。 大多数人都和李女士有过类似的经历。 究其原因，正是信息泄露让我们成为隐形的“透明人”。

《经济参考报》记者发现，从上游个人信息的非法获取，到中游数据在各类黑市交易平台上的转移、出售，再到下游利用各类隐私数据进行诈骗勒索，背后个人信息泄露已经形成了一条完整的黑灰色产业链，孕育着巨大的非法获利空间，严重威胁着个人、企业乃至国家的安全。

“黑客”难躲“内鬼” 频发泄密渠道“无孔不入”

个人信息是如何泄露的？ 在众多信息泄露案件的背后，隐藏着众多“黑客”和“内鬼”。

奇安信数据安全子公司负责人姚雷告诉《经济参考报》记者，黑客可以利用在线系统漏洞拖拽数据库，利用社会工程数据库或弱口令破坏数据库。 此前，QQ群、163邮箱、天涯、万豪、华住等数据泄露事件均与黑客攻击有关。 “部分黑客还可以利用移动终端操作系统漏洞、公共WIFI网络漏洞、终端旧设备数据不完全删除等方式攻击终端企业数据，造成个人隐私数据泄露。” 他说。

除了难以躲藏的“黑客”，“内鬼”也频频出现。 北京市朝阳区人民检察院助理检察官陈英禄告诉记者，从犯罪主体来看，单位内部人员或离职人员利用职务或工作便利，非法获取、出售公民个人信息。 她举例说，被告人方某在某互联网公司任职期间，从该公司系统服务器中非法复制、获取公民个人信息10万余条，并出售牟利。 随后，该公司在调查中发现该员工的账号被异常使用，下载了大量包括用户姓名、身份证、电话号码等公民个人信息，遂报案。 据方某供述，他利用爬虫软件获取了公司数十万市民的个人信息。 在筛选删除敏感信息后，他留下姓名和手机号码，将其存储在移动硬盘中，然后将移动硬盘中的信息出售。 .

值得注意的是，在现实生活中，一些信息泄露渠道非常隐秘，我们早已在无形中蜕变成“透明人”。

无处不在的摄像头已经成为获取个人生物信息的重要渠道。 业内专家表示，个人生物识别数据是独一无二的，不可再生。 一旦被盗，将无法恢复和更改，这将给个人隐私保护带来巨大且不可逆转的风险。 人脸信息采用明文传输，每次刷脸解锁都会重复上传，容易泄露，识别可靠性差，重拍容易破解。

此外，电信运营商、短信渠道、第三方平台等也成为近年来不可忽视的泄密渠道。 “用户访问客户网站/APP的记录被运营商泄露，用户数据被第三方工具或平台泄露，企业向用户发送的短信被第三方短信渠道泄露等，都属于这不时发生。 永安某商业智能安全公司在线产品经理邹洪志说。

他告诉记者，永安在线最近协助一家证券公司发现了一条数据资产泄露渠道。 证券公司的数据没有直接泄露，但其客户的资产数据在暗网或Telegram群中不断被贩卖。

“黑灰制作人员可以获得访问过证券公司官网的用户手机号，有的还可以获得用户名、运营商、省市等相关数据。” 他表示，运营商可以获取用户的上网流量，可以对应用户的手机号-设备-流量（访问网址），然后通过内幕或泄露给第三方“大数据阵营”公司之类的某接口出售。 邹洪志表示，一些数据销售商明确表示只支持某家电信运营商，这也从侧面证明了这些销售商与运营商的合作。

专家指出，实名制的深入实施使得个人信息往往与设备和账户绑定，进一步放大了信息泄露的风险。 360集团手机安全研究员余奎表示，身份信息、支付等在一定程度上是通过设备和账号来验证的，而不是通过人来验证的，即谁掌握了别人的信息就可以实现身份识别模仿。 如果平台被黑客入侵或被内部人员泄露，则无法控制用户交付的个人信息的使用。

层层加密无法追踪 暗网等平台进入信息交易“大本营”

在一些隐蔽的角落，个人信息的非法交易“时时刻刻”在进行。 “传统的泄露数据大多在QQ、微信、地下论坛交易。但随着国家加强网络空间治理和打击力度，越来越多的泄露数据是匿名的，隐藏在‘暗网’中，在网上出售。黑市交易平台。” 姚磊说道。

陈应禄说，“暗网”被称为“隐蔽服务器”，域名数量达到明网的400-500倍，运行环节程序保护周全，登录方式复杂。 不法分子利用暗网的匿名性和不可追踪性系统被黑客攻击勒索比特币，利用赌博平台和虚拟货币进行交易。 层层加密为游荡在“暗网”中的不法分子提供技术“保护”。

《经济参考报》记者从业内人士处了解到，“暗网”提供各种“查档”、“定位”服务。 “查档”是指查询公民的住宿、出行、户籍、车辆、犯罪记录、就学等各种隐私信息。 “定位”是指查询各种App位置信息。

记者通过相关渠道获得了一张“暗网”帖子的截图。 发帖人说，“新增全国从幼儿园到高中、职业学校和相关教育机构的教师数据7.48万条，数据内容非常详细。” 截图显示，个人信息包括教师姓名、手机、邮箱、毕业院校、教学学科、教学学校、教学年龄等16个维度的数据。 记者随机抽取了两位老师的信息，通过电话核实，这些信息均为他们个人的真实信息。 该帖子发布于 2021 年 1 月 9 日。截至 3 月 25 日，99 美元的数据包已售出 4 个订单。

事实上，“暗网”已经成为个人信息交易的“大本营”。 姚磊介绍，2020年以来，“暗网”出售的部分重要数据包括：2021年1月，印度支付公司Juspay超1亿用户的借记卡和信用卡信息在“暗网”被出售; 8月，黑客在“暗网”上出售了1.86亿美国选民的数据； 2020 年 4 月，超过 500,000 个 Zoom 用户帐户在暗网上被出售； 2020年3月，“暗网”售卖微博用户信息5.38亿条，包括用户ID、微博数、粉丝数、关注数、地理位置、手机号等。

滋生诈骗勒索 信息泄露成“精准”犯罪“助推器”

陈应禄表示，随着经济的快速发展和信息网络的广泛普及，公民个人信息的经济价值日益凸显，导致侵犯公民个人信息犯罪屡禁不止，成为电信诈骗的温床。网络诈骗、绑架、敲诈勒索等犯罪活动的下游源头、社会危害日益突出、频发，空前成为影响个人乃至国家安全的重要问题。

中国司法大数据研究院社会治理研究中心主任李俊辉对经济参考报记者表示，一般来说，买卖个人信息，从购买者的角度来看，必须有特殊的目的，无论是为了商业宣传还是欺诈犯罪等。因此，个人信息的不当披露或非法交易，必将助长下游犯罪。 他举例说，在一起非法买卖个人信息的案件中，不法分子成立信息咨询公司，通过QQ购买股民电话，进行虚假炒股牟利。 公安机关在公司现场查获股东电话号码约12万个。

“受限于违法所得数额的限制，涉及公民个人信息犯罪的追回违法所得和罚款的财产处罚，远远不足以填补公民个人信息泄露造成的二次危害。” 北京市第三中级人民法院副院长辛尚民说。 实践中，犯罪者利用非法获取的公民个人信息实施的犯罪主要包括向不特定对象发送“中奖”信息等诈骗犯罪； 合同诈骗罪，如利用某些财务管理软件的漏洞骗取财产； 敲诈勒索罪，如利用酒店开房记录等住宿信息敲诈相关人员。

值得注意的是，数据泄露和交易正在从简单的交易数据演变为交易数据访问。 网络罪犯已将他们的注意力从个人信息转移到更大的数据库——工业企业数据库。 黑客利用漏洞窃取企业核心数据，通过勒索软件对企业相关设备进行加密。 随后，数据将受到“双重勒索”系统被黑客攻击勒索比特币，不支付赎金将无法解锁，同时被盗数据将被泄露。 特别是在制造业智能化水平大幅提升的背景下，智能工控系统（ICS）成为黑客攻击的目标。

闪信信息安全战略研究中心发布的《2020年数据泄露态势分析报告》显示，2020年，勒索软件攻击引发的数据泄露事件占所有数据安全事件的15%，成为常态化的数据安全事件。

据江苏省南通市警方此前通报，在“清网2020”行动中，公安部督办一起奢侈生产利用勒索软件破坏计算机信息系统实施网络勒索的案件。并成功检测到勒索。 折合人民币500万元以上。

华顺信安创始人兼CEO赵武表示，黑客已经从简单索取数据转向敲诈勒索。 他们通过勒索软件病毒对企业关键信息数据库进行加密，索取高额虚拟货币，可在短时间内获取巨额利润，而且由于虚拟货币具有不暴露身份的匿名性。 “企业不同于个人，如果企业不支付赎金，黑客就会泄露敏感数据，窃取企业的知识产权。在极端情况下，最严重的攻击可能会对制造商的工厂和设备造成永久性损失，对企业造成影响。”企业是不可估量的。” 赵五说道。 （记者张朝文李家鹏孙少华张默良倩郭倩）