數(shù)據(jù)庫(kù)“裸奔”，個(gè)人信息屢被竊后在“暗網(wǎng)”掛售

在“黑色產(chǎn)業(yè)圈”，拖庫(kù)意指將機(jī)構(gòu)數(shù)據(jù)庫(kù)中的重要數(shù)據(jù)竊走。由于拖庫(kù)與“脫褲”發(fā)音接近，且重要數(shù)據(jù)中包含了大量用戶隱私信息，因此這個(gè)詞還暗喻被竊取隱私信息的用戶被扒得“一絲不掛”。

今年以來(lái)，多家機(jī)構(gòu)的用戶數(shù)據(jù)庫(kù)發(fā)生拖庫(kù)事件，包括網(wǎng)購(gòu)商品信息、學(xué)籍信息、個(gè)人從業(yè)經(jīng)歷甚至開房記錄等高度敏感信息均在“暗網(wǎng)”上掛售。不少人提出質(zhì)疑：我們究竟還有什么隱私?jīng)]有被泄露?把隱私交給互聯(lián)網(wǎng)企業(yè)究竟安全嗎?

“大門敞開”的數(shù)據(jù)庫(kù)與黑產(chǎn)的狂歡盛宴

“出售華住集團(tuán)旗下所有酒店數(shù)據(jù)(漢庭、美爵、禧玥、漫心、諾富特、美居、CitiGo、桔子、全季、星程、宜必思尚品、宜必思、怡萊、海友)，附件當(dāng)中為測(cè)試數(shù)據(jù)，各提供10000條數(shù)據(jù)供大佬測(cè)試……”8月28日，一張經(jīng)由“暗網(wǎng)”流出的截圖在社交媒體上瘋轉(zhuǎn)，有地下黑產(chǎn)從業(yè)者聲稱掌握了華住集團(tuán)旗下酒店近5億條數(shù)據(jù)信息，并以打包價(jià)8比特幣或520門羅幣(當(dāng)時(shí)折合人民幣約37萬(wàn)元)公開出售。

一石激起千層浪，不少人開始在朋友圈感嘆“在互聯(lián)網(wǎng)時(shí)代毫無(wú)隱私可言”，也有人質(zhì)疑在“暗網(wǎng)”出售的數(shù)據(jù)并非真實(shí)信息。然而，第三方網(wǎng)絡(luò)安全團(tuán)隊(duì)對(duì)“暗網(wǎng)”公布的3萬(wàn)條數(shù)據(jù)樣本進(jìn)行技術(shù)鑒定后認(rèn)定“樣本數(shù)據(jù)準(zhǔn)確”。

更讓人惶恐的是，在“暗網(wǎng)”掛售數(shù)據(jù)的地下黑產(chǎn)還表示，“以上數(shù)據(jù)獲取時(shí)間為2018年8月14日，如果權(quán)限不丟失，后續(xù)數(shù)據(jù)還可以免費(fèi)發(fā)給已購(gòu)買上述數(shù)據(jù)的買家”。也就是說(shuō)，地下黑產(chǎn)對(duì)數(shù)據(jù)庫(kù)的入侵行為并非“一次性”行為，而是獲取了訪問數(shù)據(jù)庫(kù)的權(quán)限，如果有關(guān)方面不采取進(jìn)一步補(bǔ)救措施，發(fā)帖者甚至可以做到在數(shù)據(jù)庫(kù)中“來(lái)去自如”。

“一些機(jī)構(gòu)認(rèn)為自己的主業(yè)不在線上，也非互聯(lián)網(wǎng)行業(yè)的主要參與者，因此認(rèn)為自己遭黑客入侵的可能性不大，從而降低了對(duì)網(wǎng)絡(luò)安全防護(hù)的要求，甚至不配齊相應(yīng)IT部門的人員，從而成為網(wǎng)絡(luò)攻擊的受害者。”資深網(wǎng)絡(luò)安全專家Mystery向新華每日電訊記者表示，酒店、航空、教育培訓(xùn)等傳統(tǒng)行業(yè)的數(shù)據(jù)信息恰恰是地下黑產(chǎn)的最愛，“由于線下強(qiáng)制實(shí)名制的要求，這些領(lǐng)域的數(shù)據(jù)真實(shí)度很高，也可以更精準(zhǔn)地繪制出用戶畫像，從而給不法分子進(jìn)一步侵害用戶提供機(jī)會(huì)。”

圖片來(lái)源：攝圖網(wǎng)

有業(yè)內(nèi)人士認(rèn)為，僅就目前在“暗網(wǎng)”掛售的數(shù)據(jù)來(lái)看，黑色產(chǎn)業(yè)鏈從業(yè)者自己就可以很精準(zhǔn)地做出用戶畫像——你從什么學(xué)校畢業(yè)、學(xué)的什么專業(yè)、曾在哪些機(jī)構(gòu)工作過(guò)、喜歡去哪里玩、喜歡買什么、愛看什么類型的電影，甚至和誰(shuí)住過(guò)一間房，都能被大數(shù)據(jù)精準(zhǔn)地“畫”出來(lái)。

獲得上述這些數(shù)據(jù)并非難事，甚至都不用花費(fèi)太多的時(shí)間和金錢成本。南方都市報(bào)個(gè)人信息保護(hù)研究中心發(fā)布的《2017個(gè)人信息保護(hù)年度報(bào)告》顯示，黑市上可以輕易買到搜索對(duì)象的個(gè)人信息，其中包含近半年來(lái)的通話記錄、出行信息、賬單消費(fèi)以及人脈關(guān)系等，甚至還有針對(duì)搜索對(duì)象詳細(xì)的量化評(píng)分。而獲取上述詳細(xì)信息的金錢成本，僅僅需要3.8元。

“與其說(shuō)是地下黑產(chǎn)猖獗，倒不如說(shuō)這是黑產(chǎn)們的一場(chǎng)狂歡。”Mystery認(rèn)為，在互聯(lián)網(wǎng)時(shí)代，用戶數(shù)據(jù)變得越來(lái)越“值錢”，如果有關(guān)機(jī)構(gòu)再不把好數(shù)據(jù)庫(kù)的安全關(guān)，未來(lái)“暗網(wǎng)”上將有越來(lái)越多的用戶隱私被“明碼標(biāo)價(jià)”地售賣。

并不神秘的“暗網(wǎng)”世界與松松垮垮的保護(hù)意識(shí)

不少人對(duì)前文反復(fù)提及的“暗網(wǎng)”并沒有特別具象化的概念，只是單純地認(rèn)為“暗網(wǎng)”就是一個(gè)“地下黑市”。

據(jù)360行業(yè)安全研究中心主任裴智勇介紹，“暗網(wǎng)”的典型代表就是“洋蔥網(wǎng)絡(luò)”，它由美國(guó)軍方研發(fā)并申請(qǐng)專利。簡(jiǎn)單地說(shuō)，“暗網(wǎng)”就是將傳輸?shù)臄?shù)據(jù)進(jìn)行加密，并且在數(shù)據(jù)傳輸過(guò)程中，利用其他“暗網(wǎng)”節(jié)點(diǎn)進(jìn)行多次隨機(jī)轉(zhuǎn)發(fā)，從而實(shí)現(xiàn)了信息發(fā)布者身份信息的隱藏或保密。因此，最終的信息接收者雖然能收到信息，卻很難找到信息的發(fā)送源頭。

不過(guò)，裴智勇說(shuō)：“基于現(xiàn)代網(wǎng)絡(luò)技術(shù)和大數(shù)據(jù)技術(shù)，‘暗網(wǎng)’的追蹤溯源已從‘理論不可行’變?yōu)?lsquo;實(shí)際可行’。一些在‘暗網(wǎng)’上倒賣用戶數(shù)據(jù)的賣家已被警方追蹤并抓獲，這說(shuō)明在‘暗網(wǎng)’上犯罪也不是絕對(duì)安全的。”

需要說(shuō)明的是，“暗網(wǎng)”并非獨(dú)立存在的網(wǎng)絡(luò)，它也是由運(yùn)行在普通互聯(lián)網(wǎng)上的軟件或設(shè)備組成。只是這些軟件或設(shè)備遵守“暗網(wǎng)”的通信協(xié)議，可以各自獨(dú)立工作并互聯(lián)互通，不需要任何管理者就能組成一個(gè)“暗網(wǎng)”網(wǎng)絡(luò)。

裴智勇認(rèn)為：“從單純的技術(shù)角度看，很難說(shuō)‘暗網(wǎng)’是好是壞，但從后來(lái)的實(shí)踐來(lái)看，‘暗網(wǎng)’并沒有像其原始設(shè)計(jì)者們所想的那樣被用于保護(hù)公民言論自由，而是被犯罪分子大量用于個(gè)人信息、人體器官、武器軍火和毒品等非法交易。”

但是，裴智勇也指出：“把‘暗網(wǎng)’等同于黑暗的網(wǎng)絡(luò)也是片面的，因?yàn)閷?shí)際上，通過(guò)普通互聯(lián)網(wǎng)進(jìn)行的各類非法交易，規(guī)模遠(yuǎn)遠(yuǎn)大于‘暗網(wǎng)’交易。”

圖片來(lái)源：攝圖網(wǎng)

事實(shí)上，在哪里販賣用戶數(shù)據(jù)并不重要，地下黑產(chǎn)是如何獲得用戶信息更值得普通用戶深思。

“我們過(guò)去在辦案中發(fā)現(xiàn)，一些群眾尤其老年人防范意識(shí)薄弱，看到大街上在擺攤的有小禮品送就會(huì)去填寫手機(jī)號(hào)、身份證號(hào)等個(gè)人信息，還會(huì)在對(duì)方的指導(dǎo)下掃描二維碼，這都很容易造成個(gè)人信息泄露。”廈門市反詐騙中心民警洪恒亮告訴新華每日電訊記者，在一些電信網(wǎng)絡(luò)詐騙案件中，不法分子冒充領(lǐng)導(dǎo)、親友或冒充“公檢法”查案，很容易就報(bào)出了當(dāng)事人的身份信息，實(shí)際上這些信息都是大家在日常生活中無(wú)意泄露出去的。

還有一種套取用戶信息的方式，則更符合年輕人的生活習(xí)慣，那就是在朋友圈中參與“釣魚活動(dòng)”。洪恒亮表示，一些營(yíng)銷號(hào)會(huì)發(fā)布諸如“免費(fèi)酒店試睡”“轉(zhuǎn)發(fā)抽錦鯉”等“釣魚活動(dòng)”，不少年輕用戶缺乏判斷力，容易跟風(fēng)轉(zhuǎn)發(fā)從而參與進(jìn)去，除了填寫身份信息外，還“歡天喜地”地轉(zhuǎn)發(fā)給朋友圈的其他好友，進(jìn)一步擴(kuò)大受害范圍。

“參與這類釣魚活動(dòng)，輕則成為營(yíng)銷號(hào)的‘僵尸粉’，重則接到精準(zhǔn)的電信網(wǎng)絡(luò)詐騙‘全家桶’。一些不法分子通過(guò)對(duì)用戶提供的身份信息的解讀重構(gòu)，甚至還可以盜取其社交賬號(hào)。”洪恒亮說(shuō)，這些被搜集走的個(gè)人信息還可能為犯罪分子利用短信嗅探設(shè)備進(jìn)一步盜取金融賬戶余額提供便利。

隱身“暗網(wǎng)”的幕后黑手與“上下失守”的防范措施

相較于開房記錄這類私密性極高的個(gè)人信息對(duì)當(dāng)事人的“殺傷力”，被泄露出去的學(xué)生學(xué)籍信息則對(duì)家長(zhǎng)的“錢袋子”更有威脅。

7月30日，一條題為《浙江省1000萬(wàn)學(xué)籍?dāng)?shù)據(jù)出售》的帖子在“暗網(wǎng)”某中文論壇中引發(fā)關(guān)注。發(fā)帖者稱，其所出售的數(shù)據(jù)包含學(xué)生姓名、身份證號(hào)、學(xué)籍號(hào)、學(xué)校名稱、學(xué)校序號(hào)、班級(jí)號(hào)、戶籍信息、監(jiān)護(hù)人姓名、監(jiān)護(hù)人手機(jī)號(hào)、居住地址和學(xué)生照片信息，作價(jià)0.02比特幣(當(dāng)時(shí)折合人民幣約1000元)。

為了取信買家，發(fā)帖者還放出一張20多條由上述信息構(gòu)成的“樣本截圖”，生源地分別為浙江的杭州、嘉興、溫州等地。新華每日電訊記者隨機(jī)抽選了3條信息進(jìn)行電話核實(shí)，證實(shí)信息準(zhǔn)確無(wú)誤。

或許是信息過(guò)于準(zhǔn)確翔實(shí)，其中一位家長(zhǎng)在通話中“執(zhí)著”地認(rèn)定記者就是其孩子的班主任，將要對(duì)其進(jìn)行家訪。在反復(fù)說(shuō)明后對(duì)方仍存疑的情況下，記者不得已要求對(duì)方以信息泄露為由報(bào)警。

幸運(yùn)的是，公安機(jī)關(guān)9月發(fā)布通報(bào)稱，金華市公安局江南分局已于8月10日成功抓獲了非法侵入浙江省學(xué)籍管理系統(tǒng)的王某禾等犯罪嫌疑人3名，查獲公民個(gè)人信息1100余萬(wàn)條。

今年6月以來(lái)，“暗網(wǎng)”上針對(duì)我國(guó)各政企機(jī)構(gòu)的數(shù)據(jù)倒賣事件呈多發(fā)態(tài)勢(shì)，且多發(fā)于敏感事件節(jié)點(diǎn)，有專家認(rèn)為，此類事件背后的問題值得關(guān)注。

在諸多機(jī)構(gòu)被拖庫(kù)事件中，泄露數(shù)據(jù)準(zhǔn)確率較高，所涉數(shù)據(jù)庫(kù)種類繁多，其中所展現(xiàn)的黑客挖掘能力較強(qiáng)。北京郵電大學(xué)網(wǎng)絡(luò)空間安全學(xué)院副教授蘆效峰認(rèn)為，“暗網(wǎng)”集中出現(xiàn)針對(duì)我國(guó)政企機(jī)構(gòu)的用戶數(shù)據(jù)倒賣事件或有外部勢(shì)力支持。蘆效峰表示，一些西方國(guó)家過(guò)去曾在國(guó)際場(chǎng)合中多次對(duì)我國(guó)網(wǎng)絡(luò)安全環(huán)境“指指點(diǎn)點(diǎn)”，在當(dāng)前復(fù)雜多變的國(guó)際局勢(shì)下，有必要提防一些外部勢(shì)力有組織有計(jì)劃地實(shí)施網(wǎng)絡(luò)攻擊行為。

部分機(jī)構(gòu)數(shù)據(jù)庫(kù)維護(hù)權(quán)責(zé)不清，責(zé)任主體思想懈怠情況突出。裴智勇表示，對(duì)攻擊預(yù)警不在乎，對(duì)管理規(guī)定不遵守，對(duì)應(yīng)急方案不執(zhí)行，對(duì)風(fēng)險(xiǎn)提示不滿意，部分機(jī)構(gòu)安全團(tuán)隊(duì)在思想上麻痹懈怠，甚至在數(shù)據(jù)庫(kù)泄露后仍不執(zhí)行應(yīng)急預(yù)案，在筑牢防范網(wǎng)絡(luò)攻擊意識(shí)關(guān)上“上下失守”。

行政處罰措施落實(shí)不及時(shí)，在行業(yè)中易形成消極氛圍。新華每日電訊記者在查閱公開資料后發(fā)現(xiàn)，自今年6月A站(AcFun)用戶數(shù)據(jù)庫(kù)被拖庫(kù)以來(lái)，尚未發(fā)現(xiàn)有行政主管部門對(duì)有關(guān)機(jī)構(gòu)進(jìn)行行政處罰的通報(bào)。專家認(rèn)為，如行政處罰措施不及時(shí)跟進(jìn)，類似事件或?qū)⒎磸?fù)發(fā)生。

急需明確的責(zé)任主體與亟待建立的應(yīng)急機(jī)制

專家建議，針對(duì)暗網(wǎng)上日益頻繁、規(guī)模愈發(fā)龐大的用戶數(shù)據(jù)倒賣情況，有關(guān)部門應(yīng)建立響應(yīng)機(jī)制，同時(shí)厘清權(quán)責(zé)關(guān)系，讓廣大群眾在享受互聯(lián)網(wǎng)技術(shù)的同時(shí)更多收獲安全感。

“無(wú)論是擁有法律強(qiáng)制力的網(wǎng)絡(luò)安全法，還是對(duì)行業(yè)起約束作用的《信息安全技術(shù)個(gè)人信息安全規(guī)范》，我們針對(duì)用戶數(shù)據(jù)保護(hù)的法律法規(guī)是有的，但是這卻沒有阻擋住猖獗的倒賣數(shù)據(jù)的行為，這背后的原因值得有關(guān)方面深思。”中國(guó)信息安全研究院副院長(zhǎng)左曉棟認(rèn)為，我國(guó)在公民個(gè)人信息保護(hù)上的立法已相對(duì)完善，現(xiàn)在需要看到相應(yīng)部門來(lái)落實(shí)法律執(zhí)行。

左曉棟表示，在當(dāng)前環(huán)境下，有多個(gè)部門對(duì)個(gè)人信息保護(hù)負(fù)有責(zé)任，“九龍治水”情況較為突出。他建議，可設(shè)立專門機(jī)構(gòu)來(lái)應(yīng)對(duì)個(gè)人信息泄露問題，對(duì)此類專門機(jī)構(gòu)賦予相應(yīng)的司法和行政權(quán)力，對(duì)數(shù)據(jù)保護(hù)不力者形成震懾，促使行業(yè)內(nèi)形成“用戶數(shù)據(jù)就是機(jī)構(gòu)生命”的良性氛圍。

一些第三方網(wǎng)絡(luò)安全機(jī)構(gòu)在問卷調(diào)查中發(fā)現(xiàn)，不少機(jī)構(gòu)并沒有建立相應(yīng)的網(wǎng)絡(luò)安全應(yīng)急機(jī)制，在極端環(huán)境下缺乏應(yīng)對(duì)措施。裴智勇建議，有關(guān)部門應(yīng)督促相關(guān)涉事機(jī)構(gòu)加快建立針對(duì)數(shù)據(jù)庫(kù)泄露的網(wǎng)絡(luò)安全應(yīng)急機(jī)制，加大對(duì)一些網(wǎng)絡(luò)安全防護(hù)能力不足的機(jī)構(gòu)的指導(dǎo)，倒逼其“防有所指、防有所用”。

此外，部分網(wǎng)絡(luò)安全專家向記者表示，國(guó)內(nèi)一些機(jī)構(gòu)為壓縮成本，未按要求配齊網(wǎng)絡(luò)安全團(tuán)隊(duì)，導(dǎo)致數(shù)據(jù)庫(kù)長(zhǎng)期處在“放養(yǎng)”甚至“裸奔”狀態(tài)，危險(xiǎn)系數(shù)較高。專家建議，有關(guān)部門要有針對(duì)性地對(duì)傳統(tǒng)行業(yè)的數(shù)據(jù)庫(kù)進(jìn)行排查摸底，對(duì)不符合信息安全等級(jí)保護(hù)規(guī)范的機(jī)構(gòu)開出負(fù)面清單，并責(zé)令其限期整改，切實(shí)保護(hù)用戶數(shù)據(jù)安全。

新華每日電訊記者 顏之宏 關(guān)桂峰