50億條個人信息是怎么被盜的?

記者說

“在政府相關(guān)法律法規(guī)進一步完善之前,我們也要懂得哪些渠道最容易造成自身個人信息的泄漏,以及如何做好個人的防護、守衛(wèi)工作。”

兩會期間,公安部宣布破獲一起特大竊取販賣公民個人信息案,抓獲犯罪嫌疑人96名,初步查獲涉及物流、醫(yī)療、社交、銀行等各類被盜公民個人信息50億條。憑著這一條條看似雞毛蒜皮的個人信息,這個由80后、90后組成的犯罪團伙在短短一年內(nèi)實現(xiàn)月“盈利”過百萬。

在政府相關(guān)法律法規(guī)進一步完善之前,我們必須懂得哪些渠道最容易造成自身個人信息的泄漏,以及如何做好個人的防護、守衛(wèi)工作。

注冊會員 成泄漏個人信息一大渠道

這個犯罪團伙是如何竊取了多達50億條公民個人信息的呢?記者綜合央視、人民網(wǎng)、新華社、騰訊網(wǎng)等多家媒體對本案的報道后,得知犯罪團伙的手段基本如下——

黑客入侵。哪個網(wǎng)站出名,就去攻擊它。

內(nèi)部竊取。擁有博士學(xué)歷的犯罪嫌疑人鄭某鵬,曾經(jīng)在百度、新浪微博、亞馬遜都工作過。通常在工作一段時間獲取信任后,便竊取網(wǎng)站的核心數(shù)據(jù),成功后即離開該公司,繼續(xù)到下一知名網(wǎng)站應(yīng)聘,被抓獲時正在京東任職網(wǎng)絡(luò)安全工程師。

交換買賣。為獲得數(shù)據(jù),涉案人員之間還相互交換、買賣數(shù)據(jù),互為補充。

注冊會員。犯罪嫌疑人韓某亮經(jīng)營的游戲網(wǎng)站有人注冊后可以獲得注冊信息。

撞庫。通過技術(shù)手段把獲得的海量個人資料進行整理、建庫,以此擴大數(shù)據(jù)庫資源,又為撞庫攻擊其他互聯(lián)網(wǎng)公司提供支撐。

“新鮮”信息每條

可以賣二三十元

這些信息在一般人眼里毫無用處,但在犯罪分子眼里,這些信息無疑是一座座待采的金礦。

廈門市公安局刑偵支隊民警陳鴻日前提到,剛買車的車主、剛訂機票的旅客、剛下單的網(wǎng)購者等個人信息最受詐騙分子“青睞”,“像這樣新鮮的信息每條可以賣到20至30元”。

據(jù)警方介紹,數(shù)據(jù)主要流向賭博公司、電信網(wǎng)絡(luò)詐騙分子、偽基站以及竊取銀行卡信息后進行復(fù)制的人手里。

另外,一些商家也有相關(guān)需求,主要是一些金融投資公司,他們拿到信息后進行廣告的投放。“許多市民都接到過各種電話,包括股票理財?shù)鹊?很多都來源于此。”甚至前段時間沸沸揚揚的開房記錄等公民隱私被查詢,很多數(shù)據(jù)都與此有關(guān)。

立法進程

八成以上受訪者曾接到“熟悉的陌生來電”

記者從公安部了解到,2016年公安機關(guān)相關(guān)部門共偵破侵犯個人信息犯罪案件1800余起,抓獲犯罪嫌疑人4200余人,查獲各類公民個人信息300余億條。而中國互聯(lián)網(wǎng)協(xié)會發(fā)布的《中國網(wǎng)民權(quán)益保護調(diào)查報告2016》顯示:近一年,國內(nèi)6.88億網(wǎng)民因個人信息泄漏等造成的經(jīng)濟損失估算達915億元。

另一份由中國青年政治學(xué)院互聯(lián)網(wǎng)法治研究中心等機構(gòu)聯(lián)合發(fā)布的《中國個人信息安全和隱私保護報告》顯示:81%的受訪者收到過知道自己姓名或單位等個人信息的陌生來電;36%的受訪者在租房、購房、購車、考試和升學(xué)等行為后,收到過騷擾或詐騙信息。

毫無疑問,“隨著信息時代的快速發(fā)展,特別是大數(shù)據(jù)、云計算等新技術(shù)的廣泛應(yīng)用,公民個人信息正被各行各業(yè)使用和存儲,在給人們生活與工作帶來極大便利的同時也面臨嚴(yán)峻挑戰(zhàn)。”全國人大代表廖仁斌日前表示,公民個人信息的保護,已經(jīng)迫在眉睫。

代表委員建議:信息保管不善也應(yīng)擔(dān)責(zé)

3月8日提請十二屆全國人大五次會議審議的民法總則草案規(guī)定:自然人的個人信息受法律保護。任何組織和個人應(yīng)當(dāng)確保依法取得的個人信息安全,不得非法收集、使用、加工、傳輸個人信息, 不得非法買賣、提供或者公開個人信息。

值得留意的是,多位代表委員均提出,在個人信息保護立法時,必須明確信息安全責(zé)任人,誰該對信息泄漏負責(zé),建立民事責(zé)任、行政責(zé)任和刑事責(zé)任的法律責(zé)任追究體系。

如全國人大代表張?zhí)烊尉吞嶙h“妥善保管原則”,如因信息采集主體保管不善導(dǎo)致個人信息泄漏,則信息采集主體應(yīng)當(dāng)依法承擔(dān)相應(yīng)責(zé)任;如工作人員私自泄漏了個人信息,除該個人應(yīng)當(dāng)承擔(dān)責(zé)任外,信息采集主體應(yīng)視具體情節(jié)也依法承擔(dān)責(zé)任;如信息采集主體對個人信息保管不善,同時又有第三方非法獲取并使用個人信息,則信息采集主體與第三方共同承擔(dān)賠償責(zé)任。

然而,當(dāng)個人因遭遇“內(nèi)鬼”或信息采集單位保護不力而被泄漏個人信息時,廣東天穗律師事務(wù)所主任楊錫鋒告訴記者,雖然涉事事主是構(gòu)成刑事犯罪的,但民事方面要受到損失才能索償,然而這種情況受到的損失并不好界定,所以他能給出的建議是向公安機關(guān)報警,為公安機關(guān)偵破侵害公民信息犯罪提供線索。

在企事業(yè)單位和機構(gòu)端,360企業(yè)安全集團總裁吳云坤指出:“目前很多互聯(lián)網(wǎng)公司在獲取個人信息的時候并不規(guī)范,比如說大量的APP都在私下獲取一些與功能無關(guān)的個人信息;另外,很多互聯(lián)網(wǎng)公司,為了自身的商業(yè)價值,并沒有妥善地保管好用戶的個人信息,比如說用戶信息是無密碼保存的,或者沒有內(nèi)部員工權(quán)限管理,和脫敏無害使用的。這兩種情況給個人信息的泄漏創(chuàng)造了條件。”

“作為企業(yè)法人來說,目前在這方面各大商業(yè)銀行有比較先進的經(jīng)驗。比如說他們的前臺只能看到和自己有關(guān)的幾條數(shù)據(jù),連用戶名都看不見。這種嚴(yán)格的分級管理機制和加密保護機制,應(yīng)該被互聯(lián)網(wǎng)公司借鑒和學(xué)習(xí)。”吳云坤說。

貼士

十條針對性保護建議

根據(jù)騰訊手機管家安全團隊一份剛剛出爐的《個人隱私泄漏報告》,通過對騰訊數(shù)億網(wǎng)民的大數(shù)據(jù)分析,總結(jié)出十大泄漏渠道并且針對性地提出了相應(yīng)的個人防范和保護措施,讓網(wǎng)民們學(xué)會武裝自己。

1.不輕信任何要求轉(zhuǎn)賬或退款的信息和電話。

2.養(yǎng)成良好的上網(wǎng)習(xí)慣,減少在各類社交平臺不必要的個人隱私展現(xiàn),并定期修改社交賬號密碼,不要隨意點擊陌生鏈接,不在安全性未知的網(wǎng)址界面中,包括一些問卷調(diào)查或在線測試頁面隨意填寫自己的個人信息。

3.謹(jǐn)慎使用公共場合的WiFi熱點。避免在連接公共WiFi的情況下進行網(wǎng)絡(luò)購物和網(wǎng)銀的操作。

4.杜絕見碼就掃的不良習(xí)慣。