什么是真正的不寒而栗

都有?!

手机实时定位支付宝信息通话记录上网记录开房记录同住人信息入住房号列车记录航班记录出境记录入境记录银行记录存款余额名下资产身份证照片驾驶证记录民族出生日期各类证件证书复印件犯罪记录详细住址租房记录……

与造成的巨大危害相比,黑灰产业链的门槛却很低,除编写软件外,“技术小白”几乎都可以做。

在黑客圈,“社工”是指一种黑客攻击以获取情报和信息的方法；业内人士称行情看涨,但大部分服务商不靠谱。

业内人士告诉记者,一般黑客会登录账户,将有价值的内容先清洗一遍,然后出售,市面上的人买到数据后,可进行撞库操作。

查询个人信息

竟有网站“担保”

网络上,存在着一些售卖获取他人隐私的软件和平台。记者调查结束后,已向服务商和平台所在地的公安机关和相关部门进行举报。

在调查过程中,记者发现,这些网络软件和平台的使用门槛极低,存在严重危害——

一、服务商藏身处

1.微博、QQ群、腾讯微商店、淘宝等平台,有大量提供查阅个人信息的服务商。

2.有的服务商还会单独开发官网,以“商务专业调查”、“防人肉搜索”等为名提供“人肉搜索”服务。

二、第三方担保

1.如“通×宝”网站。双方在线下谈好后,再到平台上进行支付。如发生纠纷,该网站会进行核查仲裁。订单分类中列有:“开房记录查询”、“手机定位查询”、“个人轨迹查询”、“户籍信息查询”等9项服务。

2.虚假包装,让交易在主流网站进行。如在相关网站发起需求项目(相当于有酬求助),名称写软件开发或服装设计等(不能出现“查询信息”等字样)。

这是否让你不寒而栗?

你所有的隐私信息,包括开房记录、名下资产、乘坐航班,甚至网吧上网记录信息,只要有人付钱,就可以轻易被查到。

四大银行存款记录,手机实时定位,手机通话记录,他们也都能查到,而且声称7天×24小时不间断服务。

近日,记者在网上只花费700元就买到了同事的上述信息,更可怕的是,竟然有第三方软件为这样的服务提供担保,整个交易已跃升到了“平台化”的地步。

展开全文

全套服务/

统称“身份证大轨迹”

12月8日,记者以了解亲戚结婚对象为由,联系上一家名叫“××商贸”的服务商,工作人员介绍,只需提供身份证号码,即可查询包括开房记录、列车记录、航班记录、网吧记录、出境记录、入境记录、犯罪记录、住房记录、租房记录、银行记录、驾驶证记录等11个项目在内的材料,统称“身份证大轨迹”。

这一“全套服务”,收费仅850元。

随后,记者经同事授权,提供了其姓名和身份证号码。上述工作人员称查询户籍所在省的开房记录,价格是200元,查询全国范围内的开房记录,价格则是300元,并可在当晚12点前出结果,不过要先微信转账。之后,记者按其要求支付款项300元,该工作人员请记者耐心等待结果。

9日晚7时,对方向记者发来了同事的开房记录的整体截图,还单发了一张今年10月30日最后一次开房的记录截图。

截图是一张蓝底图片,左边是身份证照片,中间一列自上往下是旅客编号、民族、出生日期、证件号码、住址详址、入住房号、旅馆编码和旅馆地址,右边一列自上往下则是姓名、性别、证件类型、住址省市区、入住时间、退房时间、旅馆名称和旅馆地址区划。每一次开房记录,都可把入住时间精确到了×时×分×秒。

无声无息/

经纬度半小时查完

前述工作人员称,还可查询四大银行的存款余额,每查一个银行是600元,提供身份证号码即可查询,但查询结果要两天后才能给出。

最后,记者决定再换个同事的手机号码,查一下其手机定位情况,前述工作人员表示仅可查询联通号码的手机定位,查询时间为半小时,收费是600元。记者提供手机号码并付款半个多小时之后,对方发来了定位信息的图片,内含地图、经纬度信息(精确到小数点后六位),与记者同事所在的位置完全一致。

在服务商提供的项目中,除了购买他人隐私数据包,还有“无声无息”的定位服务,只要付费即可找到任何人当前位置。

记者在QQ上搜索定位服务,发现不少提供此项服务的公众号,声称只要有手机号码或QQ微信等,就可以进行定位。据介绍,手机定位主要通过GPS和基站定位两种方式。手机只要有信号便可确定,精确在100米左右。

据服务商介绍,微信、地图等APP都需要打开定位服务,因此GPS默认都是打开的。记者提出手机号查人,一名服务商表示交款600元后,只需要几分钟就能查出。

谁在泄露我们的信息

1

门槛低:很多孩子

珠海市的尹某飞从2014年开始,为实现盗窃他人支付宝款项,通过互联网购买数据包,花了2000余元获得数据包,含有500万余条信息,支付宝账户名称和密码的数据400余万条。尹某飞在取得这些数据后,以“发红包”的方式直接盗走该账户的钱款,或者以购买充值话费、游戏卡后再低价转卖的方式套取现金,共套取了现金12万余元。

2016年9月,尹某飞被判处有期徒刑四年,并处罚金人民币12万元。

在公安部部署的“8·14”非法获取计算机信息系统数据专案中,作案团伙利用软件进行扫号、盗窃、数据买卖,等到警方抓获团伙成员时,发现团队竟是由一个未成年人带领老家不懂技术的亲戚组成的。

2016年上半年,阿里巴巴安全部门便协助警方抓获网络犯罪嫌疑人4300余人。阿里巴巴副总裁余伟明表示,很多都是十七八岁的孩子。

“被抓到的网络犯罪分子大多是下游人员,是拿被盗账号去骗的人。那他们是怎么拿到账号的?难道所有犯罪分子都能够潜伏进别人的网站?都能制作钓鱼软件?”余伟明表示,在电信诈骗案的背后,是大量从事编写诈骗软件和售卖诈骗信息的网络黑灰产业团伙。

“没有软件的作者,他就侵入不了你。”余伟明说,除了打击这些网络黑灰产业链的上游,还应该明确责任,加强监管。

2

社工库:敛财工具

前述“××商贸”只是这条信息产业链上的一例。记者了解到,个人信息并非由其工作人员直接查询,而是代理其他人提供的服务。该工作人员亦表示,可以发展记者做“下线代理”,代理费为500元上下。

令人吃惊的是,此类服务竟然还有专门的第三方担保平台。服务商向记者提供一个名叫“通×宝”的网址及账号,称只需要发起订单,指定其为接单人,即可交易。

该平台上的介绍称,当买家付款后,款项被平台监管,卖家不能使用和提款,须买家进行确认后,钱才能解冻到卖家可用账户。对交易完结的订单,通×宝按20%向卖方收取平台运营费。

发起订单后,平台提现称一旦买卖双方发生纠纷,还可以发起仲裁,通×宝会有专业人员核查,了解卖方查询到的数据是否准确。不过,服务商所承诺的“第三方担保交易”,有的并不能保障资金安全。

在这条信息侵犯的黑灰产业链上,以“社工库”及衍生出的周边产业尤为成熟。在黑客圈,“社工”是指一种黑客攻击以获取情报和信息的方法,社工库中收集有大量用户数据,成为“人肉搜索”和信息商贩的敛财工具。

“社工库”产业曾一度火热,被曝光后遭遇严查,不过,“社工库”三字并未被完全抛弃,只是换了个名头。记者发现,有的信息贩以“反人肉搜索”、“反社工库”为名,避免网络审核,进行人肉搜索等非法服务。

这一黑灰产业链经营者水平良莠不齐,除价格昂贵外,技术靠谱的商家还难求,“目前的行情是,市面上仅有三四家社工库有实质服务,并不容易接触到”,QQ上的一名服务商阿凯告诉记者:“凡是声称自己的社工库能查开房、通话、短信记录的,基本上都是骗子”。

3

危害大:撞库攻击

撞库类的软件,是网络黑灰产业链的主要组成部分之一,其产生的价值也最大。如果用户在不同网站使用的是相同的账号密码,黑客就可以通过获取用户在A网站的账户从而尝试登录B网站,这叫做撞库攻击。

然而,上万条数据信息,不法分子是如何一条条“撞”的呢?记者调查发现,针对不同的网站,存在不同的撞库软件,又称检存软件。在某些论坛上,有专门定制这方面软件的平台,并提供“下单”、“接单”和“第三方支付”等功能。

记者联系上几名软件写手,分别测试了豆瓣、快手、返利网和唯品会的检存软件。操作方法都大同小异:填好相关账号后,导入需要检存的数据,软件自动运行,结束后自动导出账号、密码正确的数据——这些数据可以二次出售,也可以自己登录去从事不法行为。

11日中午,记者通过工信部举报平台12321,以涉嫌非法获取信息并提供相关交易担保服务等问题,将上述网站一一举报。

同/步/播/报

京东12G数据包外泄?

回应:3年前漏洞问题

10日晚,网络曝出疑似大量京东用户数据外泄,对此京东集团回应称初步判断该数据源于2013年Struts2的安全漏洞问题,当时已迅速完成修复。

此次网上曝光称,有12G的数据包外泄,包括用户名、密码、邮箱、QQ号、电话号码、身份证等多个维度数据,数量多达数千万条。

京东集团在11日凌晨发表声明,称该数据源于2013年Struts2的安全漏洞,已经完成修复。京东在声明中表示,在Struts2的安全问题发生后,迅速完成了系统修复,同时针对可能存在信息安全风险的用户进行了安全升级提示,当时受此影响的绝大部分用户都对自己的账号进行了安全升级,但确实仍有极少部分用户并未及时升级账号安全,依然存在一定风险。

本组稿件据南方都市报、新华社、央视新闻客户端