揭秘个人信息黑产链：内鬼与黑客并存 1次交易数十万条 北晚新视觉

　　针对网上“12306平台疑似旅客信息泄漏，低价出售410万旅客信息”一事，2018年12月28日晚，“中国铁路”官方微博发布消息回应称：“网传信息不实，铁路12306网站未发生用户信息泄露。”

　　而在网络上，通过QQ、微信、贴吧等渠道贩卖上述信息的案例亦屡见不鲜。这些以个人信息为“商品”的交易，其源头从何而来？

　　2019年1月2日，澎湃新闻在中国裁判文书网检索到近五年共75份判决书后发现，在侵犯公民个人信息的案件中，犯罪嫌疑人盗取公民个人信息的主要渠道有三：通过网络廉价购买大量信息二次倒卖、利用职务之便盗取信息和利用黑客技术攻入计算机系统。

　　澎湃新闻以“侵犯公民个人信息罪”、“12306网站”为关键词在中国裁判文书网上共检索到19份判决书，多数犯罪嫌疑人从上家低价“批发”大量未经细分处理的12306网站用户信息后，再分类进行二次出售获利。

　　在四川省剑阁县人民法院2018年8月4日发布的一审判决书中，被告人周亮即从网上出售12306数据的“上线”处购买了大量数据，内容有公民注册邮箱、姓名、身份证号、手机号和密码信息，并伙同他人将数据分类处理后再出售。周亮因犯侵犯公民个人信息罪，被判处有期徒刑一年，缓刑一年，并处罚金10000元。

　　澎湃新闻注意到，在上述19份判决书中，仅一份提及了信息源头：2018年2月9日，江西省余干县人民法院审理的一起案件中，江苏滨海县公安局交警大队八滩中队辅警李某舟利用工作便利，偷偷使用同事的数字证书进入“全国综合查询平台”、“全国人口信息查询平台”、“全国车辆管理信息查询平台”获取公民身份信息及车辆信息140万条，并出售给他人非法获利240616元。经李某舟之手流出的信息后被“黄牛”用来在12306网站注册账号帮他人抢票，并从中获利。

　　倒卖个人信息赚取差价，是侵犯公民个人信息案件中最常见的非法获利方式。许多不法分子通过QQ、微信等方式在网络上联系，确定价格并批量出售、倒卖公民个人信息。

　　澎湃新闻发现，此类案件通常涉及的信息量巨大，购买成本则相对较低，给了嫌疑人赚取差价的空间。

　　在鸡西市鸡冠区人民法院2018年的一起判决中，被告人陈海波通过QQ购买了大量个人信息进行倒卖。

　　2013年，陈海波曾因犯侵犯公民个人信息罪被成都市金牛区人民法院判处拘役四个月。出狱后几年，他又“重操旧业”，于2017年3月起联系“下线”李某，出售自己从网络上购买的大量公民个人信息，包括姓名、住址、联系方式等。

　　经过公安机关的排查，在陈海波的硬盘、U盘中发现的公民个人信息共有87.4万条之多。通过自己和李某的多次交易，陈海波手中掌握的公民个人信息共使他非法获利多达18.3万余元。

　　在二次倒卖公民个人信息的案件中，被贩卖的公民信息常常被作为“下线”的购买者用于其他不法用途，例如：非法营销、网络诈骗等。

　　对此，中国人民大学法学院教授时延曾在受访时表示，从某种意义上说，任何预谋的犯罪行为，都要事先收集有利于犯罪的信息，包括被害人的信息。而就网络犯罪看，行为人更依赖个人信息，尤其是侵犯财产类的犯罪。

　　在山东省莱芜市中级人民法院2018年6月二审裁定的一起判决中，被告人蒋志波从一个专门从事倒卖公民个人信息的QQ群中购买了大量来源于购物平台的公民个人信息，包括姓名、电话等基础信息，并将这些信息和自己之前收集过的危房业主、交通事故信息打包二次出售给了此案中另一名嫌疑人林泽超。

　　蒋志波供述称，他购入信息的价格仅为10元/万条，折算下来，每十条的价格仅一分钱。他说，因为这些信息获取的时间较早，“进价”就相对便宜一些。通过出售这些信息，蒋志波累计赚取了10650元。

　　裁判文书显示，在不少案件中，嫌疑人供职于通信公司、车辆管理机构、公安局等要害部门，通过获取权限，直接盗取了大量公民个人信息用于非法牟利。

　　湖北麻城市中级人民法院2018年二审的一起判决中，被告人孙立飞通过华为公司业务员肖某购买了大量包含用户姓名、电话号码和移动积分在内的移动用户个人信息资料，并将其中50万条信息以5万元的价格并出售给开设公司、盗取移动用户积分的李少辉。

　　随后，李少辉在南昌市注册创办了一家网络公司，从2016年9月开始，指派公司话务员冒充移动公司客服骗取用户移动积分，兑换成电子券牟利。

　　从2016年10月23日到2016年11月24日，仅用了一个月，这家公司的成单量就达到2500多单，12月的成单量近4000单。

　　为规避一些用户的屏蔽，李少辉与同案被告人何建福购买了80多部手机和大量电话卡，一旦被屏蔽就立刻换号。

　　“每天下班前，话务员都会把已兑换的积分打成清单，客户资料上还会有标记，‘2’就是打过两遍电线’就是打了三遍”，该公司话务员何建福说。

　　事实上，员工们也曾对公司的业务产生过怀疑。话务员张瑛曾发现一些用户反映没有收到积分兑换礼品，充值话费也没有到账，还有一些员工在微信群里提出公司存在诈骗嫌疑。可是，由于福利待遇还不错，张瑛并没有选择离开。

　　除此之外，澎湃新闻还发现了多起辅警盗用民警数字证书盗取公安内网公民信息的案例。

　　在淄博市张店区人民法院2017年4月24日的一起判决中，被告人詹耿彬就是一名在东莞市公安局大朗分局刑警大队工作的辅警。

　　作为伏击组辅警内勤，詹耿彬平时便可以经常接触公安内网。利用伏击组民警梁某平时放在单位抽屉里的数字证书，詹耿彬动起了歪脑筋。通过公安内网，詹耿彬可以直接获取公民身份信息、出入境信息、护照照片、户籍照片等个人信息。

　　在发现了这一“致富手段”后，詹耿彬便堂而皇之在QQ上声称出售“一手信息”。通过一段时间的交易，他积累起了5名“下线”，经常与他们达成交易，每天动辄盗取1000条左右的公民个人信息。

　　詹耿彬出售公民个人信息一条的价格是1.7元至5元不等，他的下线却将这些信息加价数倍之多。同案被告张学鹏出售从詹耿彬处购买的护照信息，一条的价格在10到15元，共获利5万元左右。

　　除了从内部盗取信息，一些精通计算机的犯罪嫌疑人也能通过技术手段从外部直接盗取数据库里的公民个人信息。

　　在上海市浦东新区人民法院2018年的一起判决中，被告人王某某通过黑客手段入侵了上海世基投资顾问有限公司等金融公司网站，被告人牟某某则通过黑客手段入侵了安徽省中小学学籍管理系统网站。

　　2014年到2017年间，受雇于一家荐股公司的王某某结识了一些网络黑客，其中包括同案被告牟某某。2017年2月开始，王某某开始指使包括牟某某在内的两名黑客入侵了世基公司的网站，查看并获取了上万组该公司的用户数据，并出售给中鑫公司上海分公司。

　　经世基公司方面证实，该公司被入侵的服务器位于浦东新区灵山路世基分公司机房内，服务器上没有客户数据，入侵者系通过远程互联网控制服务器，并通过内网IP获取了内网其他电脑上保存的客户信息。

　　盗取信息的过程中，王某某向两名黑客支付了51万元“工资”。得手后，王某某再将信息出售给中鑫公司上海分公司和瑜广公司等“下游”，每一次动辄收入四五万元。

　　而对被告牟某某而言，受雇于王某某并非唯一的“业务”。2017年6月初，有人在QQ上找到他，提供了安徽省中小学学籍管理系统的权限，并让牟某某攻击渗透该网站。

　　牟某某从学籍管理系统获取了600多万条包含学生姓名、身份证、籍贯、家长姓名、联系电话等信息的数据，按地市分类导出。

　　在黑客技术之外，购买“扫号”软件并用大量数据进行“撞库”的手段也出现在近年来一些重大侵犯公民个人信息案件中。

　　江苏省仪征市人民法院2018年的一起判决中，被告人王群便通过“撞库”成功获取了他人QQ用户名及密码，用于销售获利。

　　在王群的非法牟利链条中，他所购买的“扫号”软件由同案被告李陈龙编写，用途是获取他人的QQ邮箱账号和密码。随后，王群又从软件销售者林佐楼处购买，并将此前购买的500多万组邮箱账号密码数据导入软件运行，采取对QQ软件数据库“撞库”手段，获取了大量QQ邮箱用户的个人信息。

　　通过销售撞库获取的QQ账号和密码，王群累计获利41.8万余元。而销售方林佐楼通过售卖非法软件，销售额高达40.5万余元，个人获利9.4万余元。编写软件并出售的李陈龙，非法获利则为3.4万余元。

　　2018年11月28日，中消协在京发布《100款App个人信息收集与隐私政策测评报告》。报告显示100款App中，多达91款App列出的权限存在涉嫌“越界”，即存在过度收集用户个人信息的问题。在综合评分中，金融理财App评分最较低，只有28.91分。同时在综合星级评定中，爱抢购、翼支付、E代价、同花顺、百程旅行、139邮箱等App的评价只有一星。

　　据了解，App个人信息收集与隐私政策測评活动于今年8月到10月展开，由中国电子技术标准化研究院提供专业技术支持。本次被测评的10类（通讯社交、影音播放、网上购物、交易支付、出行导航、金融理财、旅游住宿、新闻阅读、邮箱云盘和拍摄美化）100款App。

　　所有被测评App都是在9月1日到3日期间从App Store、安卓市场下载的，同时对App的用户协议、隐私政策进行录屏取证。

　　测评结果显示，“位置信息”、“通讯录信息”和“手机号码”等三种个人信息是过度收集或使用个人信息最常见的内容。100款App中，59款App涉嫌过度收集了“位置信息”，过度收集或使用个人信息的情况较多，另外“通讯录信息”、“身份信息”、“手机号码”也是用户个人信息过度收集或使用较多的内容，在受测评中分别有28款、23款、22款App涉嫌存在此类情况。除此之外，用户的个人照片、个人财产信息、生物识别信息、工作信息、交易账号信息、交易记录、上网浏览记录、教育信息、车辆信息以及短信信息等均存在被过度使用或收集的现象。

　　47款App隐私条款内容不达标，其中34款App没有隐私条款。其主要问题是：1.未明确告知收集个人信息类型，且收集敏感信息时未明确告知用户信息的用途；2.未明确告知用户个人信息的保存期限和停止运营的情形；3.未明确告知用户个人信息使用方式；4.对外提供个人信息时不单独告知并征得用户同意；5.未明确告知用户如何更正个人信息和撤回同意；6.隐私条款未在明显位置公示，条款变更时未及时通知用户；7.隐私政策存在默认同意或未提示阅读等问题；8.存在“自行承担风险”等不合理免责条款。

　　针对测评中发现的问题，中消协建议：一是加强隐私保护立法，为消费者个人信息安全提供法律和制度保护；二是督促App开发管理者根据App的核心功能和扩展功能明示个人信息收集范围，给予消费者知情权和选择权，并应尽可能少的收集消费者个人信息，并采取有效措施保护消费者个人信息安全；同时明示隐私条款，不采用默认勾选方式、不使用不公平格式条款，采取显著方式引起消费者注意，引导消费者主动阅读、理解相关隐私政策；三是各应用商店要履行平台审核责任，强化App隐私条款的明示公示义务，对于没有隐私条款的应当及时下架，并提醒消费者谨慎下载使用，应当要求相关隐私条款内容不能损害消费者合法权益，不得含有不公平格式条款；四是强化部门间的沟通合作，完善消费者个人信息安全问题的投诉举报制度，严肃查处侵害消费者合法权益的典型问题。

　　中消协呼吁，消费者应尽量通过审核机制更严格的应用商店平台下载App，下载过程中要认真阅读App的应用权限和用户协议或隐私政策，不扫来历不明的二维码，不点来历不明的网页链接，不安装来历不明的App，使用过程中一旦发现信息泄露，要留存相关证据，及时向有关部门投诉举报，依法主动维权。

　　中消协同时表示，针对本次测评活动中发现典型问题，将约谈劝谕相关App开发管理者，督促企业整改提高。

　　记者从北京市医保局获悉，本市近期开展的打击欺诈骗取医疗保障基金专项行动取得阶段性成果。对22家定点医疗机构进行了严肃处理，对118人暂停社保卡结算，将90人移交司法机关，同时提供了2000余条个人数据线月起，国家医疗保障局联合四

　　2019年阿联酋亚洲杯是第17届亚洲杯足球赛。比赛将于2019年1月5日至2月1日在阿联酋境内4座城市中的8座球场内举行。1月6日东道主阿联酋将在揭幕战迎战巴林队，为本届亚洲杯拉开序幕。 资料图 阿联酋队门将 新华社/欧新 要说海湾国家对于

　　河南濮阳市公安局交通管理支队官方微信1月4日消息，2019年1月3日16时12分，濮阳市公安局交警支队事故处理大队接到市公安局指挥中心指令：市绿城路与京开大道交叉口发生一起交通事故。 民警迅速赶到事故现场处置，经现场勘查：2019年1月3日

　　NBA官方今天公布了2019年夏洛特全明星赛第一阶段投票结果，湖人前锋勒布朗-詹姆斯和雄鹿前锋扬尼斯-阿德托昆博分别领衔东西部，具体得票数如下： 詹姆斯（右）新华社资料图 东部前场：阿德托昆博（991,561票）、科怀-伦纳德（774,17

　　据台媒报道，伊能静曾跟庾澄庆有过一段婚姻，但结婚9年就选择分开，直到2015年，才又嫁给现在的老公秦昊。她最近上谈话节目，难得说起跟哈林的那段婚姻，透露当时还处在原生家庭造成的伤痛中，导致没能感受到安全感，“我自己还没有那个智慧和状态。”

　　综合塔斯社、俄罗斯卫星通讯社报道，俄罗斯马格尼托戈尔斯克市居民楼爆炸倒塌事故现场搜援已经结束，截至目前，遇难者人数已达39人。 资料图 新华社 报道称，车里雅宾斯克州州长鲍里斯·杜布罗夫斯基1月3日表示，救援人员在爆炸现场又挖出1具遗体，事

　　手机人民网讯，据广东丰顺县公安局官方微信，1 月 3 日，丰顺县汤坑镇汤坑路段发生一宗交通事故，造成 3 人死亡。以下为通报全文： 【延伸阅读】 广东惠州特大交通事故:大货车撞摩托车致四人当场死亡 中新网惠州12月19日电(宋秀杰 严初)记

　　早上刷牙，28岁的小萌（化名）突然一颗门牙脱落，吓得她赶紧请假去医院。谁知，到了医院一检查，医生告诉她上排牙已全部松动，没掉的都得马上拔，当时她的心全凉了。为什么自己如此年轻牙齿状况就会这样糟糕？一连串的担忧与疑惑一齐涌上心头。 1 90后

　　据英国《每日邮报》12月28日报道，近日，在美国得克萨斯州阿林顿市，一个名叫阿里•詹姆斯•梅德洛克(Ali James Medlock)的宝宝出生了，重达14磅13盎司(约13.4斤)，大约是正常新生儿体重的两倍，体长也远超新生儿平均长度，

　　这一刻，注定要在人类的太空探索史上留下浓墨重彩的一笔。3日，飞行约40万公里之后，嫦娥四号探测器成功降落于月球背面东经177.6度、南纬45.5度附近的预选着陆区，实现了人类探测器首次月球背面软着陆和首次月背与地球的中继通信，开启了月球探测

　　一、凡本站中注明“来源：北晚新视觉网或北京晚报”的所有文字、图片和音视频，版权均属北晚新视觉网所有，转载时必须注明“来源：北晚新视觉网”，并附上原文链接。

　　二、凡来源非北晚新视觉网或北京晚报的新闻（作品）只代表本网传播该消息，并不代表赞同其观点。

　　如因作品内容、版权和其它问题需要同本网联系的，请在见网后30日内进行，联系邮箱：