揭露数据倒卖黑色产业链：你个人信息被过了好几手

　　 来源：21世纪经济报道

根据业内人士反馈，行业里面还有一条不成文的规矩，就是你永远接触不到真正的买家和真正的卖家，所有的流程基本上都是过了好几手，黑产数据太庞大，可能超过了很多人的想象。

“年底黑产动作猖獗。一方面公司一直在提升风控系统和数据技术安全，另一方面也和产业发起了反黑联盟，共享识别到的一些黑名单。”12月13日，有京东内部人士回应21世纪经济报道记者采访时称。

12月11日凌晨开始，针对京东数据疑似外泄的消息，引发市场广泛关注。

京东官方紧急回应称，该数据源于2013年Struts 2的安全漏洞问题，当时国内几乎所有互联网公司及大量银行、政府机构都受到了影响，导致大量数据泄露。同时承认，仍有极少部分用户并未及时升级账号安全，依然存在一定风险。

这一事件将黑产交易再度推上风头浪尖，尤其在目前的节点，消费信贷迅速发展，个人消费大数据的价格也有水涨船高之势。

“黑产历史由来已久，个人消费大数据属于个人信息类其中的一部分。随着消费信贷崛起，个人消费大数据在很多应用场景下可以被利用，近年来也被黑产炒的很热。”12月13日，深圳市小鱼人科技有限公司CEO韦前宇受访时透露。

　　 黑产交易路径曝光

“说得不好听点，黑产交易其实跟电影里看到的毒品交易市场差不多，首先有那么一大群人负责生产‘毒品’，然后有人负责信息搜集，包括买方信息和卖方信息的信息。” 韦前宇透露。

根据业内人士反馈，行业里面还有一条不成文的规矩，就是你永远接触不到真正的买家和真正的卖家，所有的流程基本上都是过了好几手，黑产数据太庞大，可能超过了很多人的想象。

当天，一家反欺诈的大数据科技公司人士告诉21世纪经济报道记者，黑产交易的具体路径表现为，最上游通过制作病毒木马、各种钓鱼手段、黑客攻击方式获取用户信息，比如账户密码、用户身份信息、银行卡信息等等。此外，获取的数据也会经过一些撞库、洗库方式进行进一步提炼筛选，经过层层交易整合。最后，下游进行利用信息进行非法牟利活动，比如实施电信诈骗、盗取游戏装备、盗卡交易等。

“当然，这中间也有很多的黑产自动化的辅助工具产业，比如收码平台、打码平台等。”前述人士称。

12月23日，一家大型征信公司人士亦坦言，目前，由于个人信息获取、存储和利用的环节众多，线下和线上传播具有隐蔽性和复杂性，追本溯源成本很高，发现、查处难度大，处罚、赔偿力度小，同时获利空间巨大，执法现状为黑色产业链提供了巨大的投机空间。

“实际上，个人信息贩卖已成地下产业链，从源头的个人信息非法采集、黑客侵入，到非法出售、购买、转售，再到非法利用，个人信息获取、存储、利用的各个环节，都可能出现非法侵害的情况。”该人士如是说。

截至目前，常见的非法获取途径绝大部分是通过互联网获取、购买，内容包括电话号码、通话记录、交易订单、定位信息、身份证户籍资料、家庭地址等。

“公民个人信息被恶意采集的现象一直都存在，比如安装某些APP的时候，就会提示，是否同意使用你的位置，是否给你推送消息，这仅仅只是我们表面上所看到的。”韦前宇表示。“实际上，只要你安装了这个应用，手机号、姓名、地址、邮箱、银行账号、社交账号以及上传的图片、私密照等等信息，只不过采集完以后储存在了某个数据库，一旦这个数据库被黑客攻击或者攻破，那么里面的信息也就暴露出来。”

　　 个人征信面临过度采集

值得一提的是，近年来，随着我国经济持续快速发展，在住房信贷、汽车信贷以及信用卡业务发展的推动下，我国消费信贷实现了快速增长。纯消费信贷在近5年内，增长到5万亿元，较十年前增长达800多倍。而消费信贷的崛起促使信贷机构对个人信息甄别产生了巨大的需求。

在征信数据利用过程中，可能涉及到信息采集者、提供者（其中包括采集者）、整理加工者、存储者以及查询者、使用者等多个环节。

12月13日，点融网联合创始人、首席执行官郭宇航表示，基于AI（人工智能）大数据的方式，需要大量地采集个人隐私数据，而且会有过度采集的可能性很大，包括你每天上班在哪的GPS信息、回家在哪的GPS信息、有没有加班、有没有迟到等各种各样的信息。

据工商注册信息库显示，市场上与“征信服务”相关的公司有2000家左右，其中完成备案的企业征信机构仅约100家，获得人民银行批准筹建的个人征信机构仅8家，即目前有资质的征信机构占整个征信市场的比例还不到5%。

“一批无牌照、无约束甚至非法的机构和个人，正在倒买倒卖民众信息以牟取暴利，对正规征信机构造成了‘劣币驱逐良币’的恶性后果。”对此，前述大型征信机构人士称。“可以说，现有监管条例管住的是正规机构，而‘野孩子’撒野却没有人管。”

12月13日，21世纪经济报道记者从芝麻信用获悉，芝麻信用明确提出，“不采集用户聊天、微博、微信、社区相关言论数据、不购买任何形式的黑数据”。芝麻信用总经理胡滔表示，“滥用用户个人信息的行为，都会给用户、机构和社会带来严重的损害。”

上海金融与法律研究院执行院长傅蔚冈认为，可行的举措是改变民事诉讼中的举证责任，将目前的“谁主张谁举证”改为“举证责任倒置”，原告只要提供了被告联系其这一事实，即可以被告非法获得身份信息为由提起民事诉讼。