信息泄露黑灰產業鏈滋生巨大非法獲利空間

  網絡滲透測試     |      2023-03-23 05:22

  黑客內鬼致個人成“透明人” 信息泄露渠道“無孔不入”

  信息泄露黑灰產業鏈滋生巨大非法獲利空間

  “李女士,您所購買的小區最近正在交房,您家裝修公司選好了嗎?”

  “您好,我們銀行最近有裝修貸產品做活動,利率很優惠,您有需求嗎?”

  “您家房本快下來了,您有考慮賣房嗎?”

  ……

  自從李女士買了房,她的生活就像被跟蹤一般,裝修公司、銀行、中介的各種推銷電話每天各種轟炸。大多數人都有過和李女士類似的經歷。究其原因,正是信息泄露讓我們無形中變身“透明人”。

  《經濟參考報》記者調查發現,從上游個人信息被非法獲取、到中游數據在各種黑市交易平臺被轉手和出售、再到下游各種隱私數據被用于詐騙、勒索,個人信息泄露背后已然形成了一條完整的黑灰產業鏈,滋生著巨大的非法獲利空間,嚴重威脅著個人、企業甚至國家安全。

信息泄露黑灰產業鏈滋生巨大非法獲利空間

趙乃育 繪

  “黑客”難躲“內鬼” 頻現泄露渠道“無孔不入”

  個人信息究竟是怎么被泄露的呢?在諸多的信息泄露案背后,不乏“黑客”和“內鬼”的身影。

  奇安信數據安全子公司負責人姚磊對《經濟參考報》記者表示,黑客可利用在線系統漏洞拖庫、利用社工庫或者弱口令等撞庫,此前出現的QQ群、163郵箱、天涯、萬豪、華住等數據泄露事件,均和黑客攻擊有關?!安糠趾诳鸵部衫靡苿咏K端操作系統漏洞、公共WIFI網絡漏洞、終端舊設備數據刪除不完全等,攻擊終端企業數據,造成個人隱私數據泄露?!彼f。

  除了“黑客”難躲,“內鬼”也頻現。北京市朝陽區人民檢察院檢察官助理陳瑩璐告訴記者,就犯罪主體來看,單位內部員工或離職人員,利用職務或工作便利,非法獲取或販賣公民個人信息案件時有發生。她舉例稱,被告人方某在某網絡公司任職期間,非法復制獲取公司系統服務器中的公民個人信息10萬余條,并出售獲利。后該公司在排查中發現該員工賬戶使用異常,下載大量包含用戶信息姓名、身份證、電話等公民個人信息,故報案。據方某供述,其在公司利用爬蟲軟件獲取了數十萬條公民個人信息,經篩選、刪除敏感信息后,留下姓名、手機號,存入移動硬盤,后從移動硬盤中找信息賣出。

  值得注意的是,現實生活中,一些信息泄露途徑十分隱秘,無形之中我們就已然變身為“透明人”。

  無處不在的攝像頭已經成為獲取個人生物信息的重要渠道。業內專家表示,個人生物特征數據具有唯一性和不可再生性,一旦被竊取,無法追回和變更,將對個人隱私保護帶來極大的、不可逆的風險。人臉信息明文傳輸,每次刷臉解鎖均會反復上傳,很容易發生泄露,且識別可靠性差,使用翻拍照片即可輕易破解。

  另外,電信運營商、短信通道、第三方平臺等也已經成為近些年來不可忽視的泄露渠道?!坝脩粼L問客戶網站/App的記錄被運營商泄露、用戶數據被第三方工具或平臺泄露、企業下發給用戶的短信被第三方短信通道泄露等,都時有發生?!睒I務情報安全企業永安在線產品經理鄒洪志表示。

  他對記者說,永安在線最近協助某證券公司發現了一條數據資產泄露渠道,該證券公司的數據并不存在直接泄露,但與其客戶相關的資產數據在暗網或Telegram群被持續出售。

  “黑灰產人員可以獲取到訪問過該證券公司官網的用戶手機號碼,有些還可以獲取到用戶姓名、運營商、省份、城市等相關數據?!彼f,運營商能拿到用戶的上網流量,可以通過用戶手機號-設備-流量(訪問網址)對應上,然后通過內鬼或者某個接口泄露到第三方“大數據營”公司之類去賣。鄒洪志說,一些數據賣家明確表示只支持某一家電信運營商,也從側面證明這些賣家是與運營商合作的。

信息泄露黑灰產業鏈滋生巨大非法獲利空間

圖片來源:永安在線

  專家指出,實名制的深入實施讓個人信息常與設備、賬號綁定,進一步放大了信息泄露的風險。360集團手機安全研究員俞奎表示,某種程度上,身份信息、支付等校驗的是設備、賬號,而不是本人,即誰掌握了他人的信息,即可實現身份冒充。如果平臺遭受黑客攻擊,或有內鬼泄露,那么用戶交付出去的個人信息用途并不可控。

  層層加密無法追蹤 暗網等平臺成信息買賣“大本營”