互聯(lián)網(wǎng)到底會泄露多少信息?告訴你一個難以想象的數(shù)據(jù),雨襲團信息安全團隊輕松搜索出高達8.6億條個人信息數(shù)據(jù)。
2010年,雨襲團由南京人姚威發(fā)起,從事網(wǎng)絡(luò)安全工作。他們宣稱“不碰黑的東西”,圈內(nèi)人美稱為“從事網(wǎng)絡(luò)信息安全研究的國內(nèi)知名信息安全團隊”。 雨襲團是凌晨網(wǎng)絡(luò)科技有限公司旗下團隊,由7位有共同興趣的年輕人組成,最大的1985年,最小的1994年。
海量數(shù)據(jù)從何而來,公民信息頻頻泄露,數(shù)據(jù)黑市的手到底伸得多長?2016國家網(wǎng)絡(luò)安全宣傳周將于19日開幕,交匯點記者獨家專訪雨襲團,揭開電信詐騙背后不為人知的秘密。
交匯點:你們是如何獲取到8.6億條個人信息?涵蓋哪些內(nèi)容?
雨襲團:通過搜索獲得位居前列的是用戶信息、賬號密碼。我們主要通過百度、搜狗等搜索引擎,還有一些“黑客”站點、安全媒體網(wǎng)站、社工庫網(wǎng)站獲取信息。
搜索可以比你更了解自己。個人信息最常見的樣式就是姓名、身份證、手機、家庭住址。經(jīng)過大數(shù)據(jù)分析,可以一環(huán)套一環(huán),關(guān)聯(lián)上其他信息,比如汽車型號、發(fā)動機識別號、工作單位、網(wǎng)絡(luò)軌跡等。騙子能通過姓名查到聯(lián)系方式,再查到住哪個小區(qū)、幾棟幾單元,最近買了什么車,車子發(fā)動機型號,買什么保險。
交匯點:作為普通人,泄露信息的渠道有哪些?
雨襲團:超過四成人自己在不經(jīng)意間泄露個人信息。一個典型地方就是微信朋友圈,比如微信朋友圈發(fā)的性格測試,手機號碼兇吉測試、男女朋友感情測、運氣測試、抽獎等信息,這些東西都被瘋狂轉(zhuǎn)載,閱讀量大多10W+,能輕松套取個人信息。
據(jù)統(tǒng)計,中國公共場所WIFI熱點覆蓋至少超千萬,21%存在隱患。在連接WIFI時,需填寫姓名、手機,離譜的還要填寫身份證號碼,只有填了才給你聯(lián)網(wǎng),一般用戶都會自主自愿填寫,用戶信息輕松被獲取。這兩年,出現(xiàn)一種寄生蟲熱點,寄生在安全WiFi上,名稱一樣,IP地址也一樣,用戶根本無法識別。一旦連接上,惡意程序就會不斷的捕捉和篡改用戶的信息。
有些智能手機APP會讀取用戶信息,包括通訊錄,通話記錄,短信內(nèi)容等信息,這也為詐騙者謀求了一個便利,況且數(shù)據(jù)更精準。
交匯點:有人說,現(xiàn)在人人“裸奔”,是否任何信息都可以被獲???
雨襲團:我覺得這個答案是肯定的,我們可能是最后一群有隱私的人。比如徐玉玉的電信詐騙案,徐玉玉的個人信息被摸得一清二楚。說真的,其實這個不難,一個團隊幾分鐘就能入侵進教育系統(tǒng)。一旦黑客發(fā)現(xiàn)某個學(xué)校的網(wǎng)站出現(xiàn)漏洞,很快能將數(shù)據(jù)庫套出來。很多時候,一個地區(qū)的學(xué)校都在使用一家網(wǎng)絡(luò)公司服務(wù)器,很容易全部陣亡。比如,學(xué)生的個人信息及其父母信息被摸清,經(jīng)過大數(shù)據(jù)分析,有多少本科生、多少研究生、多少考英語四六級、普通話證書,這些數(shù)據(jù)被篩選、分拆、賣錢。
交匯點:據(jù)不完全統(tǒng)計,中國網(wǎng)絡(luò)黑產(chǎn)“從業(yè)者”已超40萬,形成了一個完整的產(chǎn)業(yè)鏈。數(shù)據(jù)黑市里,采集到銷售各環(huán)節(jié)如何運作?
雨襲團:網(wǎng)上流行一句話,“別以為自己很牛逼,你就值一分錢”。在黑產(chǎn)利益鏈上,很多個人信息被打包出售,低到一分錢一條。部分數(shù)據(jù)販子稱,他們手上有各地區(qū)各行業(yè)的各類數(shù)據(jù),學(xué)生的電話數(shù)據(jù)、股民的賬戶數(shù)據(jù)、機票數(shù)據(jù)、網(wǎng)絡(luò)購物數(shù)據(jù)、新生兒數(shù)據(jù)、保健數(shù)據(jù)、淘寶數(shù)據(jù)、老人數(shù)據(jù)……信息成為無本經(jīng)營的“秘訣”。
數(shù)據(jù)黑市分工細致、完善,形成“源頭——中間商——非法使用人員”的交易模式。從數(shù)據(jù)采集到數(shù)據(jù)販賣有一條很完整的利益鏈,一部分黑客黑進網(wǎng)站獲取信息后,在一些論壇、社交群中販賣信息。此外,黑客也會入侵地方門戶網(wǎng)站、寫“爬蟲”偷盜用戶個人信息。
當然,不排除一些占有用戶信息的人士或者第三方平臺法律觀念不強,將客戶信息倒賣。比如公職人員將合法采集的公民信息對外銷售,快遞員販賣快遞數(shù)據(jù),樓房銷售人員將登記的業(yè)主信息販賣給裝修公司等。
拿到一套數(shù)據(jù)庫,意味著被多次利用、多次倒賣。黑客獲取到一手數(shù)據(jù),轉(zhuǎn)賣給中間商,中間商便宜點分銷給下級中間商,一層層倒賣,在利益鏈最末端,還會賣給群發(fā)信息的人,一個用戶多次收到買房、投資、考證的短信和騷擾電話,就是這個原因。
交匯點:那么有了這些數(shù)據(jù)之后,電信詐騙是如何做到的?
雨襲團:精準詐騙越來越多,可以說是“量身定制”。
首先,騙子占有大量信息,能做到比你更了解你自己。在各大數(shù)據(jù)交易論壇和QQ群,黑市交易異常熱鬧。有的自稱“高質(zhì)量數(shù)據(jù),每周更新,數(shù)據(jù)量很大”,有的稱“手下有黑客朋友,幫忙攻擊網(wǎng)站”,還有的“收購壯陽一天數(shù)據(jù)”……花樣繁多。這些信息落到騙子手里,精準詐騙變得輕而易舉。
在數(shù)據(jù)販子處購得個人信息,騙子即可對用戶布下圈套。曾經(jīng)碰到過一個案例:一位男士在網(wǎng)上買了一瓶價值600元的“偉哥”,轉(zhuǎn)身他的購買數(shù)據(jù)(姓名、聯(lián)系方式、地址、所購物品、付款方式)即被賣掉,用戶選擇“貨到付款”方式,騙子拿到這個信息,定位到地址,會與顧客電話聯(lián)系,假裝快遞提前送貨。用戶此事還蒙在鼓里,拿到的商品包裝沒問題,但里面裝得就可能是被替換掉的安眠藥或其他廉價藥品。
當然,電信詐騙也要抓熱點和時間段,且精準定位對象。開學(xué)季多找大學(xué)生下手,這個時段學(xué)生用錢交學(xué)費,這個群體又比較單純,中招得多。對于老人,保健品則是他們的命門,加上老人容易上鉤、且防御能力不強。
交匯點:黑客發(fā)起一次攻擊成本多少?能賺多少?
雨襲團:黑客一定是預(yù)期回報遠大于投入的。有人做過一次統(tǒng)計,黑客月入達54萬元。黑客發(fā)起一次攻擊需要做好準備工作以及物資采購:
付費通道購買:3000美元一個月
檢測逃脫服務(wù):20美元*30天=600美元
攻擊工具包:500美元一個月
流量:300美元*6=1800美元
共計:5900美元/月
投入總計大約5900美元一個月,那么黑客可以賺到多少錢?
在觀測到的數(shù)據(jù)上再做保守估算,平均每天有2萬人點擊惡意鏈接,一般大概有10%的幾率被感染,如果用了勒索軟件,大概又有0.5%的受害者付費。這意味著,黑客日收入大概是3,000美元,除去前期支出,月收入高達8,4000美元。
在黑客產(chǎn)業(yè)鏈的支持下,一個不需要有多高技術(shù)能力的黑客可以輕易通過攻擊活動賺得盆滿缽盈,這也是當前網(wǎng)絡(luò)安全事件異常猖獗的主要原因。
交匯點:國外是否也面臨這種困擾?公民如何保護自己?
雨襲團:在國外,信息泄露同樣是困擾人們的難題。今年4月,近5000萬名土耳其公民個人信息在網(wǎng)上曝光,包括了土耳其公民的名和姓、身份證號碼、其父母的名字、性別、出生城市、生日、完整的住址及ID注冊城市和地區(qū)。數(shù)據(jù)的來源很有可能是某個處理用戶信息的公共管理機構(gòu)。去年,俄羅斯約會網(wǎng)站泄露2000萬用戶數(shù)據(jù),引發(fā)全社會恐慌。
如何結(jié)束“裸奔”現(xiàn)狀,建議加強網(wǎng)絡(luò)安全意識教育,從根源抓起,提升個人信息保護意識。目前,國內(nèi)外網(wǎng)絡(luò)安全技術(shù)沒有高下區(qū)別,關(guān)鍵是公民信息保護意識強弱之分。比如有些人喜歡曬火車票、機票,卻不打碼,火車票隱藏著四位生日,很容易能推算出來,機票上面有更多個人信息。
信息安全的攻防戰(zhàn)一直在打,但保護個人信息最終要靠大家。對于職能部門而言,做好安全把控與法律制度管控;對于廠商而言,需要把關(guān)好自己產(chǎn)品安全性;對于開發(fā)者而言,需要寫好自己的代碼,把關(guān)程序漏洞問題;對于互聯(lián)網(wǎng)安全從業(yè)者,幫助客戶維護好相應(yīng)產(chǎn)品的安全性。也許這樣才能在源頭上防止信息漏洞,杜絕各種詐騙的發(fā)生。