“駭客”“內鬼”難躲,信息泄露黑灰產業鏈滋生巨大非法獲利空間
2021年04月20日01:52

  原標題:信息泄露黑灰產業鏈滋生巨大非法獲利空間

  來源:經濟參考報

  “李女士,您所購買的小區最近正在交房,您家裝修公司選好了嗎?”

  “您好,我們銀行最近有裝修貸產品做活動,利率很優惠,您有需求嗎?”

  “您家房本快下來了,您有考慮賣房嗎?”

  ……

  自從李女士買了房,她的生活就像被跟蹤一般,裝修公司、銀行、中介的各種推銷電話每天各種轟炸。大多數人都有過和李女士類似的經曆。究其原因,正是信息泄露讓我們無形中變身“透明人”。

  《經濟參考報》記者調查發現,從上遊個人信息被非法獲取、到中遊數據在各種黑市交易平台被轉手和出售、再到下遊各種隱私數據被用於詐騙、勒索,個人信息泄露背後已然形成了一條完整的黑灰產業鏈,滋生著巨大的非法獲利空間,嚴重威脅著個人、企業甚至國家安全。

  “駭客”難躲“內鬼”頻現泄露渠道“無孔不入”

  個人信息究竟是怎麼被泄露的呢?在諸多的信息泄露案背後,不乏“駭客”和“內鬼”的身影。

  奇安信數據安全子公司負責人姚磊對《經濟參考報》記者表示,駭客可利用在線系統漏洞拖庫、利用社工庫或者弱口令等撞庫,此前出現的QQ群、163郵箱、天涯、萬豪、華住等數據泄露事件,均和駭客攻擊有關。“部分駭客也可利用移動終端操作系統漏洞、公共WIFI網絡漏洞、終端舊設備數據刪除不完全等,攻擊終端企業數據,造成個人隱私數據泄露。”他說。

  除了“駭客”難躲,“內鬼”也頻現。北京市朝陽區人民檢察院檢察官助理陳瑩璐告訴記者,就犯罪主體來看,單位內部員工或離職人員,利用職務或工作便利,非法獲取或販賣公民個人信息案件時有發生。她舉例稱,被告人方某在某網絡公司任職期間,非法複製獲取公司系統服務器中的公民個人信息10萬餘條,並出售獲利。後該公司在排查中發現該員工賬戶使用異常,下載大量包含用戶信息姓名、身份證、電話等公民個人信息,故報案。據方某供述,其在公司利用爬蟲軟件獲取了數十萬條公民個人信息,經篩選、刪除敏感信息後,留下姓名、手機號,存入移動硬盤,後從移動硬盤中找信息賣出。

  值得注意的是,現實生活中,一些信息泄露途徑十分隱秘,無形之中我們就已然變身為“透明人”。

  無處不在的鏡頭已經成為獲取個人生物信息的重要渠道。業內專家表示,個人生物特徵數據具有唯一性和不可再生性,一旦被竊取,無法追回和變更,將對個人隱私保護帶來極大的、不可逆的風險。人臉信息明文傳輸,每次刷臉解鎖均會反複上傳,很容易發生泄露,且識別可靠性差,使用翻拍照片即可輕易破解。

  另外,電信運營商、短信通道、第三方平台等也已經成為近些年來不可忽視的泄露渠道。“用戶訪問客戶網站/App的記錄被運營商泄露、用戶數據被第三方工具或平台泄露、企業下發給用戶的短信被第三方短信通道泄露等,都時有發生。”業務情報安全企業永安在線產品經理鄒洪誌表示。

  他對記者說,永安在線最近協助某證券公司發現了一條數據資產泄露渠道,該證券公司的數據並不存在直接泄露,但與其客戶相關的資產數據在暗網或Telegram群被持續出售。

  “黑灰產人員可以獲取到訪問過該證券公司官網的用戶手機號碼,有些還可以獲取到用戶姓名、運營商、省份、城市等相關數據。”他說,運營商能拿到用戶的上網流量,可以通過用戶手機號-設備-流量(訪問網址)對應上,然後通過內鬼或者某個接口泄露到第三方“大數據營”公司之類去賣。鄒洪誌說,一些數據賣家明確表示只支援某一家電信運營商,也從側面證明這些賣家是與運營商合作的。

  專家指出,實名製的深入實施讓個人信息常與設備、賬號綁定,進一步放大了信息泄露的風險。360集團手機安全研究員俞奎表示,某種程度上,身份信息、支付等校驗的是設備、賬號,而不是本人,即誰掌握了他人的信息,即可實現身份冒充。如果平台遭受駭客攻擊,或有內鬼泄露,那麼用戶交付出去的個人信息用途並不可控。

  層層加密無法追蹤暗網等平台成信息買賣“大本營”

  在一些隱秘的角落,有關個人信息的非法交易“無時無刻”都在進行。“傳統的泄露數據大都在QQ、微信以及地下論壇等交易。然而,隨著國家對網絡空間治理和打擊力度的加大,越來越多的泄露數據在‘暗網’這種匿名、匿蹤的黑市交易平台出售。”姚磊說。

  陳瑩璐表示,“暗網”被稱為“隱藏的服務器”,其域名數量達到表層網絡的400-500倍,運營環節具有全方位的程式保護和複雜的登錄方式。犯罪分子借助暗網匿名、無法追蹤等特點,並使用賭博平台、虛擬貨幣進行交易,層層加密為遊走在“暗網”的犯罪分子提供了技術上的“保護色”。

  《經濟參考報》記者從業內人士瞭解到,“暗網”提供各種“查檔”、“定位”服務,“查檔”指查詢公民的住宿、出行、戶籍、車輛、犯罪記錄、學籍等各種隱私信息。“定位”則是指可查詢各種App位置信息。

  記者通過有關渠道獲取到一張“暗網”發佈帖子的截圖。發帖人稱,“全國幼兒園至高中、職校以及相關教育機構教師數據,一手出新74800條,數據內容非常詳細”。該截圖顯示,這些個人信息包括教師姓名、手機、郵箱、畢業院校、任教學科、任教學校、教齡等共16個維度的數據。記者隨機挑選了兩位教師的信息,經電話求證,信息均為其個人真實信息。該帖子發佈於2021年1月9日,截至3月25日,該定價為99美元的數據包已有4單成交。

  實際上,“暗網“已成個人信息買賣“大本營”。姚磊介紹,2020年以來,在“暗網”出售的部分重要數據包括:2021年1月,印度支付公司Juspay超1億用戶的借記卡、信用卡信息在“暗網”上銷售;2020年8月,駭客在“暗網”出售美國1.86億選民數據;2020年4月,超50萬Zoom用戶賬戶在暗網出售;2020年3月,5.38億條微博用戶信息在“暗網”出售,包括用戶ID、微博數、粉絲數、關注數、地理位置、手機號等。

  滋生詐騙、勒索信息泄露成“精準”犯罪“助推器”

  陳瑩璐表示,隨著經濟的快速發展和信息網絡的廣泛普及,公民個人信息的經濟價值日益凸顯,導致侵犯公民個人信息的犯罪屢打不絕,且成為了滋生電信網絡詐騙、綁架、敲詐勒索等下遊犯罪的源頭,社會危害日益突出並多發,已經史無前例地成為影響個人甚至國家安全的重要問題。

  中國司法大數據研究院社會治理研究中心主任李俊慧對《經濟參考報》記者表示,通常而言,買賣個人信息,從購買一方來看,一定有特殊用途,不論是進行業務推廣,或是實施詐騙犯罪等。因此,個人信息不當泄露或非法買賣一定會給下遊犯罪提供幫助。他舉例稱,在一起個人信息非法買賣案件中,不法分子成立了一家信息諮詢公司,通過QQ購買股民電話號碼,進行虛假股票營銷牟利。公安機關在該公司現場查獲股民電話號碼約12萬條。

  “囿於違法所得金額的限製,對於涉公民個人信息犯罪違法所得的追繳與罰金的財產性處罰,卻遠不足以填平公民個人信息泄露造成的次生危害。”北京市第三中級人民法院副院長辛尚民表示。實踐中,行為人利用非法獲取的公民個人信息實施的犯罪主要有詐騙罪,比如向不特定對象發送“中獎”信息;合同詐騙罪,比如利用某些理財軟件漏洞騙取財物;敲詐勒索罪,比如利用酒店開房記錄等住宿信息對相關人員進行勒索。

  值得注意的是,數據泄露及販賣正從單純的交易數據演變到交易數據訪問權限。網絡犯罪分子已將注意力從個人信息轉移到了更龐大的數據庫——工業企業數據庫。駭客利用漏洞竊取企業核心數據,並通過勒索軟件加密企業相關設備。隨後,這些數據將被進行“雙重勒索”,如果不支付贖金不予解鎖,同時會泄露被盜數據。尤其是在製造業智能化程度大幅提高的背景下,智能化工控系統(ICS)已成為駭客攻擊的目標。

  閃捷信息安全戰略研究中心發佈的《2020年度數據泄漏態勢分析報告》顯示,2020年受勒索攻擊而造成數據泄露事件占所有數據安全事件的15%,成為常態化的數據安全事件。

  據此前江蘇省南通市警方通報,在“淨網 2020”行動中,成功偵破一起由公安部督辦的特大製作、使用勒索病毒破壞計算機信息系統從而實施網絡敲詐勒索的案件,非法獲利的比特幣折合人民幣500餘萬元。

  華順信安的創始人、CEO趙武表示,駭客已單純索取數據行為轉向勒索,通過勒索病毒對企業關鍵信息庫加密的方式索要高額虛擬貨幣,可以短時間獲得暴利,又因虛擬貨幣的匿名性而保護身份不暴露。“企業不同於個人,企業不支付贖金,駭客便泄露企業敏感數據、竊取其知識產權。極端情況下,最嚴重的攻擊可能對製造商工廠和設備造成永久性損失,對企業影響難以估量。”趙武說。

關注我們Facebook專頁
    相關新聞
      更多瀏覽