接口随意调用、数据花钱可买……为什么总有人能够“轻易”获取我们的隐私信息
创始人
2025-03-19 15:16:35
0

  近年来,随着数据安全法、个人信息保护法等一系列法律法规相继出台实施,我国信息安全事业取得长足发展。但是,一些掌握大量用户数据的机构在网络安全防护中措施不足,导致用户数据被不法分子窃取。不法分子将获取的用户数据分门别类打上标签,再以诸如“婚恋报告”“风险报告”等形式对外出售,破坏网络安全生态。

  相较于过去“打包贩卖”用户敏感数据的方式,当前网络黑市以买家实际需求为导向,以“生成报告”的形式出卖个人信息。为什么我们的个人隐私总能被不法分子“轻易”获取?记者就此展开调查。

  网络安全形势仍不容乐观

  “提供身份证号,可查指定人征信、户籍信息。”“婚姻状态可查,USDT(一种虚拟货币)、微信、支付宝均可支付。”刚刚加入某境外通讯软件的聊天群,就有群成员迫不及待发来招徕私信。

  在一位卖家发来的“个人信用报告”的预览版中,除姓名、性别、手机号等信息外,还细致记录了每个人的工作岗位、公积金和社保缴纳记录、借贷额度等高度隐私内容。“这些报告可用于精准电话营销。”该卖家说。

  来自奇安信的数据显示,2024年全年境内政企机构共发生个人信息泄露风险事件112起,涉及个人信息数据266.9亿条,尽管这一数据较2023年减少54.5%,但是海量的数据泄露问题反映出政企机构的网络安全形势仍不容乐观。

  个人信息数据的频繁泄露,不仅严重侵害公民隐私,带来网络诈骗风险,还可能对国家安全带来威胁。“大量个人信息数据的汇聚、关联和再组织,可以形成精准的人物画像,还可以将人与人之间的关系网络描绘出来。这就让不法分子更容易锁定目标群体、找到突破口。”奇安信安全专家裴智勇说。

  此外,一些黑灰产还利用大数据和人工智能等技术,抓取和匹配个人的隐私图片和视频。有不法分子声称“只要一张照片就能查询你的另一半有没有外遇”,以此牟取不法利益。“通过网络爬虫技术获取一些网站上的公开视频和图片资料,再进行人脸识别比对,这实际上侵害了当事人的隐私权。”中国科学技术大学网络空间安全学院教授左晓栋说,不法分子有可能利用泄露的个人信息和肖像进行恶意匹配,由此形成的所谓“婚恋报告”也触及法律红线。

  不法分子利用“数据接口”等渠道窃取数据

  在落实网络安全主体责任过程中,过去常见的“拖库”渐渐少了,取而代之的是利用数据接口等渠道进行“蚂蚁搬家”式的个人信息窃取。

  姓名、身份证号、手机号、常用地址……在中国电子技术标准化研究院网安中心的一例安全测评中,测试人员发现有6万份订单数据有可能来自某平台的数据接口泄露。

  所谓数据接口,就是机构传输、共享数据时输入和输出数据的对接口,也就是数据出入的“大门”。“如果把这扇门看住了,来来往往的数据就都能被调阅。”中国电子技术标准化研究院网安中心测评实验室副主任何延哲告诉记者,一些机构在设置数据接口时缺少身份认证、访问控制等安全措施,导致黑客能够随时“劫持”接口并获取实时数据。

  在何延哲及其技术团队以往随机测试的数据接口中,存在安全问题的不在少数。“相较于‘陈年数据’,通过数据接口获取的实时数据更新,在黑灰产上售卖的价格也会更高。”何延哲说。

  在某不法论坛网站中,有人开设了专门群组用以分享各类数据接口。通过其所分享的数据接口,不法分子可获取指定人员的社保信息、生育信息、车险购买信息等敏感数据。

  各类机构在打造数字化平台时缺乏网络安全思维,部分敏感数据缺乏高等级保护,而通过数据接口窃取数据等不法操作并不需要多高的技术门槛。“有的平台存在安全问题的数据接口长期‘暴露’在外,掌握一些基础攻击手段的黑客就能通过不安全的数据接口直接获取平台最新用户数据。”何延哲说,把数据接口“保护起来”并非难事,不过由于缺乏对数据接口的安全风险监测,机构在大多数情况下难以意识到自己的数据接口可能已经被网络黑灰产恶意利用了。

  此外,合作伙伴和机构“内鬼”也是数据泄露的重要渠道之一。2020年7月,某快递企业员工私自向不法分子有偿出借工作账号,致使超过40万条公民个人信息泄露。“各类机构在获取用户数据后,往往会和合作伙伴共享,以获取数据的最大利用价值。”裴智勇说,在数据共享过程中,部分合作伙伴未完全遵守网络安全协议,进而导致用户数据泄露。同时,一些网络黑灰产和机构“内鬼”相勾结,倒卖用户数据。“在互联网知识共享平台上发生的数据泄露事件中,这两种方式占比超过一半”。

  一些机构在源头端过度收集用户数据,导致敏感数据过度集中。国内知名个人信息保护专家、清华大学法学院教授劳东燕认为,部分信息收集机构以包括“提升服务体验”在内的各种理由要求用户或消费者“一揽子授权”,是造成数据泄露的根本原因。2021年,个人信息保护法正式实施,其中明确规定“收集个人信息,应当限于实现处理目的的最小范围,不得过度收集个人信息”。“这个‘最小范围’的解释权目前看仍然在收集数据的机构,而不是在用户或者消费者手上”。

  彻底斩断伸向个人隐私的黑手

  随着法律法规的日益完善,近年来我国打击涉公民个人信息犯罪工作成效显著,一批以兜售公民个人信息牟利的不法分子受到法律严惩。

  2024年,四川成都警方侦破侵犯公民个人信息、非法控制计算机信息系统等网络犯罪案件1201起,依法采取刑事强制措施1116人;山西长治警方在2024年辗转多地,成功打掉一个特大侵犯公民个人信息及掩饰、隐瞒犯罪所得犯罪团伙,抓获犯罪嫌疑人10名,扣押涉案资金500余万元;同年,安徽合肥警方侦破特大侵犯公民个人信息案,抓获犯罪嫌疑人11名,查获涉案金额120余万元,保护了公民个人信息百万余条……

  提升机构网络安全防护能力,构筑数据安全防火墙。裴智勇等专家建议,政企机构应进一步完善网络安全的制度建设,确保责任到岗、到人。在出现网络安全事件后,及时向国家有关部门报告,尽可能减少因数据泄露给用户和社会带来的损失。

  减少前端数据收集,从源头降低数据泄露风险。“比如点外卖,有手机号、有地址,确保外卖能送到,就不应该获取其他信息。”劳东燕建议,根据个人信息保护法等法律法规要求,数据收集应遵循“最小必要原则”,有关部门可根据数据实际使用场景,明确相应的数据收集范围,为“最小必要”设定标准。

  强化隐私保护意识,对过度收集、滥用数据等行为说“不”。何延哲建议,机构和网络平台等应从用户和消费者角度出发,更加重视个人信息保护,决不能为了蝇头小利出让个人信息权益。对明显存在过度收集用户信息和潜在的侵犯公民个人信息的违法犯罪线索,网络用户可及时向互联网管理部门和公安部门举报。(记者 颜之宏)

相关内容

热门资讯

胡锡进:特斯拉真摊上大事了 胡锡进称特斯拉真摊上大事了。特斯拉近期在诸多方面遭遇困境,从车辆质量问题到与消费者的纠纷不断。其在自...
美经济学者批政府关税政策:不会...   海外网3月19日电 美国有线电视新闻网3月18日发文称,美国政府正试图通过对进口商品加征巨额关税...
胡锡进:普京已基本实现围绕乌克... 胡锡进指出,普京在乌克兰问题上展现出了卓越的战略眼光和掌控力。他以坚定的姿态应对复杂局势,逐步实现了...
泰国代表团已抵达新疆,将与从泰... 你可能存在一些误解,新疆是中国的一个自治区,并不是一个国家,不存在“泰国代表团抵达新疆”的情况。新疆...
中办、国办关于进一步强化食品安... 中办、国办印发的进一步强化食品安全全链条监管的意见,旨在从源头到终端全方位筑牢食品安全防线。意见明确...
英首相:“坚定不移”支持乌克兰 英国首相坚定地表示将坚定不移地支持乌克兰。在国际舞台上,他展现出对乌克兰的强力支持姿态,这种支持不仅...
尼玛被查 你可能有一些特定的“尼玛”相关情境,但仅“尼玛被查”这样的表述比较模糊哦。比如可能是某个人叫“尼玛”...
国家邮政局对上海韵达货运立案调... 国家邮政局近期对上海韵达货运展开了立案调查。韵达作为国内知名的货运企业,此次被立案彰显了邮政局对快递...
深圳国诚投顾上海分公司诱导交服...   深圳市国诚投顾上海分公司(上海国诚投顾)在各大社交平台上进行宣传,有老师带操作,直播间老师分析的...
一叶牵两岸:台湾青年的径山茶缘    春日的杭州径山,茶香氤氲。自唐代起便名扬四海的径山茶,历经岁月洗礼,依然诉说着茶与文化的千年情...
2年遭家暴16次当事人回应被开... [当事人姓名]在两年间竟遭遇了令人震惊的 16 次家暴。面对这残酷的现实,她勇敢地选择了报警立案,希...
马航载有122人航班空中遇火警... 马航一架载有 122 人的航班在飞行途中遭遇空中火警。这一突发状况让全体乘客陷入恐慌,但机组人员临危...
【光明论坛·温故】爱子,教之以...   【光明论坛·温故】  作者:沈永福(首都师范大学马克思主义学院院长、教授)  近期,《求是》杂志...
国务院任免国家工作人员:李晓龙... 近日,国务院作出重要任免决定,李晓龙被任命为住建部副部长。这一任命彰显了国家对住建领域工作的高度重视...
上海海能投顾夸大不实宣传还暗示...   市面上宣传能推荐牛股带客户盈利的这类证券投顾公司,都是在虚假宣传,夸大宣传,从而欺骗股民,诱导他...
美国解密肯尼迪遇刺案相关文件 近日,美国解密了肯尼迪遇刺案相关文件,这一事件引发了广泛关注。这些文件或许能揭开当年那起震惊世界的神...
中国政府对日本的外交态度将会更... 中国政府一直秉持着以和平、理性、建设性的态度处理与日本的外交关系。中国始终主张通过对话、协商解决分歧...
股掌柜证券夸大宣传诱导股民交服...   最近湖南股掌柜证券投资咨询有限公司被揭露存在重大违规行为,其以专业财经咨询服务为幌子,实则违规推...
中央安全生产考核巡查一季度安全...   新华社北京3月19日电 记者19日从应急管理部获悉,2025年度中央安全生产考核巡查一季度安全生...
接口随意调用、数据花钱可买……...   近年来,随着数据安全法、个人信息保护法等一系列法律法规相继出台实施,我国信息安全事业取得长足发展...