誰偷走了我們的信息？誰又在轉賣和利用我們的信息？半月談記者通過深入采訪，為你揭開這一條長長的黑色產業鏈。
一次售賣，動輒數千萬條
“本人大量求購個人理財信息，數量上不封頂，越多越好！”2016年5月，安徽馬鞍山市一個名為“outman”的網民在多個QQ群里大肆求購公民個人信息，特別是馬鞍山本地公民資料，內容涉及銀行、保險、理財等方面。
很快一個名叫“云”的網民與“outman”聯系上，通過一番網上溝通，便傳給“outman”一個文件夾，里面竟存放著10000條馬鞍山市民的投資理財類個人信息。
萬條公民個人信息，何以就這樣輕易在網上被陌生人交易？安徽馬鞍山市含山縣警方發現這一異常后，迅速展開偵查，很快鎖定了買家和賣家，并由此順藤摸瓜，一個環環相扣的公民信息販賣網絡浮出水面。
原來“outman”是馬鞍山一家理財公司的員工，公司老板要求找路子獲取馬鞍山市特定人群資料，方便其拉客戶。而“云”是一家國企員工，也是個人信息販賣的中間商，他的數據來源于名為“專業電銷”的網民。而“專業電銷”的信息則來自一個叫伍某的專業信息批發商。
從買家“outman”到中間商“云”和“專業電銷”再到批發商伍某，一條信息販賣的三級利益鏈浮出水面。警方查明，這個犯罪鏈條共計瘋狂買賣公民個人信息達1.25億條。其中伍某從800元購買10000條公民個人信息起家，僅用一年時間，就通過非法交換、轉賣等方式建立起自己的專業數據買賣網站和數據庫，售賣信息動輒一次就數千萬條。
這不過是販賣公民個人信息的冰山一角。如果說含山案只暴露出信息批發商的環節，那么此后不久，公安部和安徽蚌埠警方披露了一起近50億條公民信息盜販案，則揭開了信息販賣利益鏈最頂端的蓋子。
公安部門偵查發現，黑客鄭某某與何某某，通過應聘方式潛入互聯網公司核心部門，或利用入侵國內外知名互聯網公司服務器等手段，大肆竊取公民個人信息等核心數據，相互交換、出售獲利。
負責偵辦此案的蚌埠市公安局刑警支隊支隊長楊慶介紹，此案由公安部督導，安徽省公安廳指揮，涉案地區達全國14個省市，抓獲涉案人員79人，繳獲電子數據1.4Tb，獲取數據近50億條。“黑客是盜取大量個人信息的重要源頭。這些被泄露的公民個人信息涉及國內知名的上市互聯網公司，數據巨大，涉及面廣，堪稱震驚互聯網信息安全的行業大事件。”
專業化、社群化的產業鏈條
半月談記者采訪發現，犯罪團伙中，有人專門負責竊取公民的相關信息；有人通過技術手段對這些信息整理、建庫；有人將數據出售、交換、變現。
含山縣警方繪制的一張侵犯公民個人信息犯罪圖顯示，信息侵犯共分四級，第一級是黑客或內鬼盜取公民個人信息；第二級是信息批發商，他們從黑客手中獲取大量信息，并通過互相交換，像滾雪球一樣不斷增加自己的信息數據庫；第三級是信息購買人或者中間商，他們從批發商那里購買各種數據，再根據需要轉手賣給他人；第四級是信息使用者，包括業務推銷、詐騙盜竊等人員，他們拿到信息后，進行電話營銷，或者利用偽基站實施電信詐騙。
一位涉案黑客翁某告訴半月談記者，通過技術入侵網站盜取公民個人信息對他這樣的黑客來說并不難，少則幾天多則幾月，一般都會成功。至今他已經入侵網站達幾百家，從未被管理員發現。在他們黑客圈子里，大家有個默契，入侵網站獲取權限和信息后，都會互相交換數據、互通有無，讓盜取的公民個人信息庫越來越大。
涉案的另一名黑客鄭某說，大家最開始入侵網站是為了攀比技術，盜取信息后有的甚至放到網上免費供人下載。漸漸隨著需求的增加、利益的驅使，開始有人專門為了錢而去盜取信息。
據了解，大量個人信息被黑客盜取和賣給批發商后，一般要進行三步操作。
一是撞庫，即黑客或信息批發商用手中掌握的A網站的用戶信息去登錄B網站C網站等，一旦用戶是多個賬號共用一個密碼，那么個人網上信息便會如多米諾骨牌一樣被瞬間破解；二是洗庫，在撞庫后，黑客或信息批發商就會對獲得的大量信息進行合并梳理歸類，比如分理財、醫療、公務員、車險等多個種類，為下一步售賣做準備；三是脫庫，即售賣數據或從中拿出部分數據進行精準推送。
采訪中，半月談記者了解到，這些侵犯公民信息安全的黑客和販賣者，往往都是線下有正規的工作，線上通過QQ群組結識聚合成為網上好友，密切配合沆瀣一氣的。
用于精準推銷、精準詐騙
據悉，在侵犯個人信息案件中，涉及信息主要包括網購數據、車主數據、保險理財類數據、學生公務員國企員工等特殊群體數據、醫療住宿出行數據等多種類型。這些信息因出賣次數多少、包含內容多寡決定價格高低。如果是首次出賣，信息包含銀行卡號等含金量高的內容，可賣到一條信息一元的高價。多次轉賣，往往就以一兩百元一萬條的價格打包出售。
大量個人信息被侵犯帶來了不堪其擾的推銷電話和短信，還有后果嚴重的電信詐騙。
含山縣公安局網安支隊副大隊長王非介紹，被盜取的個人信息往往被分類用于精準推銷、精準詐騙，比如公務員、教師、國企員工的信息往往被用來推銷大額信用卡；個人銀行卡類信息，往往被用來推銷理財產品，或者用于復制銀行卡盜竊資金；學生信息，則用來推銷教材和家教信息，或以中、高考加分為借口進行詐騙；收藏品、保健品用戶信息，車主信息則用來推銷相應的商品或進行專門詐騙。
防止“信息裸奔”，不能僅靠自己小心
面對信息泄露，公眾往往被提醒要自己小心，提高警惕，保護好自己的信息。這當然是一個重要方面。然而，在互聯網高速發展的大背景下，除非離網生活，否則僅靠公民個人自我保護，很難保證信息安全。
采訪中一位采訪對象說，他曾在房產公司、保險公司工作過，對于客戶信息，公司雖有要求不能泄露，但實際沒有有效的監管措施。
目前一些網站本身的安全防護水平不高，甚至黑客入侵網站拿走數據后，有的網站仍渾然不覺。
顯然，保障信息安全，需要各方共同發力。然而目前來看，防控信息泄露、打擊信息犯罪還存在諸多難點。
首先，對侵犯公民個人信息的定罪標準仍不明確。信息的敏感程度、數量、獲取手段、損害后果等都應當是罪刑考量的要素，而現行法律對此還未作出清晰規定，導致對犯罪人員的打擊處理缺乏有力法律支撐，沒有形成應有的震懾。
其次，機關、企事業單位個人數據保護責任尚未落實。很多單位沒有建立完善的信息系統安全管理制度；對于收集到的個人信息沒有及時進行匿名或化名處理；一些信息存儲平臺的日常防護能力不足。另外，目前處理的販賣個人信息案件中，往往只追究了“內部人員”的法律責任，對相關單位及其領導的責任很少追究。
第三，公安部門反映，侵犯公民個人信息犯罪往往通過網絡，涉及全國各地，信息種類龐雜，造成犯罪分子追蹤難、信息溯源難，對公安內部的多警協作要求日益增多，對各部門的協調配合要求也日益增多，這些都給案件偵辦提出了新挑戰。
然而不管怎樣，嚴厲打擊信息犯罪，已是人民群眾的共同心聲。面對新形勢，必須加強上下游違法犯罪形態研究，建立起從源頭到渠道、從平臺到行業、從企事業單位到管理部門的綜合防控體系，推進法律適用和落實執行等配套機制，切實提升犯罪成本，切實保障公民信息安全。
