黑客、码奴、鬼畜、经纪人：千亿黑产大军是如何造就ZAO的

前言

2019年8月3日，因古装电视剧《陈情令》走红的演员王一博发布微博，称自己的手机号被泄露，遭到“黑粉”骚扰。

好像明星信息泄露了，已经不是新闻了。

从航班行程信息到个人手机号码，从酒店地址到身份证号码，狂热的粉丝赋予了明星信息巨大的价值，进而创造了巨大的需求市场，甚至在闲鱼、微博、微信等渠道都有。 公开发售，价格从几元到几百元不等。

有钱的地方就有商人，有商人就不缺产业链。 水下汹涌的海浪，把新瓜送到围观的人嘴里。

但是赚钱的只有王一博的信息吗？

时间回到一年前的夏天。 2018年7月，山东省当地警方破获一起侵犯公民个人信息案件。 共查获公民个人信息数据百亿条、数据量4000GB，抓获犯罪嫌疑人57人。 沿着产业链，警方一次性打倒了11家涉案企业，其中包括知名企业“数据堂”（831428.OC），这家企业已在新三板挂牌，被誉为“第一家”。大数据行业股票”。 一时间，舆论哗然。 一个月后，在浙江绍兴，申请在新三板挂牌的睿智华盛（872382.OC）发布临时公告，披露公司法定代表人及董事、监事被逮捕，并自此开启“历史上最大的数据盗窃案。” 》前奏。据警方介绍，锐智华盛与中国电信、中国移动、中国联通、铁通、广电等11个省市的运营商签订了正式合作协议，并获得登录权限，然后采用非法手段进行窃取据报道，该公司利用非法窃取的30亿条用户数据，向联想、佳能、奔驰、宝马、日产、天猫、苏宁易购、酷派、酷派等多家知名企业提供信息。雀巢、佳能、天猫、携程、美图，产品营销服务，其中一家子公司仅一年就盈利高达3000万元，在赚大钱的同时，腾讯、百度、阿里、京东、微博等众多互联网公司及其用户就没有这么幸运了，一时间，中国几乎所有的大型互联网公司都被“拔了雁”。锐智华盛事件半个月后，“华住酒店集团”被爆料 “旗下所有酒店2.4亿条用户信息泄露”、“至少90万条疑似顺丰用户个人信息流向市场”……一系列信息泄露事件浮出水面。 吃瓜群众顿时开始担心起自己的开房记录和邮寄信息，低头看着自己手中的瓜，反复确认自己的样子并不眼熟。 但即使热切的关注终于逐渐让冰山难掩水下，数据黑产大军依然是一群躲在穹顶之下的暗处。 就像罗阿姨描述的食死徒一样，他们是灰色的，巨大的，模糊的，但他们无处不在。 黑客、码奴、幽灵、经纪人都是他们的幻影……

图片来自电影《哈利波特》

第1部分

内鬼

2019年4月21日，重庆江北机场一如既往的熙熙攘攘。 但就在这一天，一则短消息几乎同时出现在各大社交平台和门户网站上：“北大杀母案”嫌疑人吴谢宇被捕，舆论瞬间哗然。 就在人们急切质疑他杀害母亲的动机时，警方揭开了吴谢宇事发后失踪三年的秘密。 原来，拥有超能力的并不是吴谢宇本人，而是他从网上购买的30多张假身份证。 这些假身份证不仅帮助他成功骗过了火车和高铁的身份验证系统，还帮助他流浪。 在河南福州、上海、重庆等地。

个人身份证件泄露事件屡见不鲜，但假身份证的猖獗仍令人触目惊心。 据《财经》杂志不完全统计，中国个人信息泄露人数已达约55.3亿人，平均每人泄露4条个人信息。 榨取价值。 在数以亿计的泄露信息中，约80%来自企业内部人士。

图片来自电影《我是谁-Kein System ist sicher》

“有人的地方就有江湖，有江湖的地方就有利益”。 银行、保险公司、电信运营商、电商平台、快递公司……几乎所有可以接触到用户数据的行业都留下了很多漏洞供内部人钻空子。 就像猫捉老鼠的游戏一样，无论企业如何强化内部管理制度，只要还有缝隙，“老鼠”就可以暗中“取信”、“取材”，繁衍生息. 与其他行业一样，数据黑产也形成了三级产业链。 圈内人拿到材料后，通过各种渠道卖给大中间商，大中间商再卖给小中间商，小中间商最后卖给需要的人。 与外部攻击者相比，内部人员很少出现在公众视野中，但他们带来的危害却不亚于外部攻击者。 其中有保险推销员、银行文员、电信运营商、快递小哥等身份。 这些岗位的人员流动性非常大，随时可以接触到用户的敏感信息，因此成为“内鬼”大军的主要组成部分。 “这就像蒸汽汽车取代了四轮马车”。 起初，他们只能逐一复印或拍照记录。 当它们被计算机脚本程序取代后，在一秒钟内自动提取数十或数百条信息的便利性大大提高了数据。 窃取效率。

更可怕的是，由于很多内部人员是企业内部的一线业务人员或技术人员，接触的是特定数据，他们往往有意识地控制访问频率，避免短时间内过度访问造成系统损坏. 自动警报，使企业管理者难以发现企业内部的运营风险和异常情况。 很多时候，即使查出内幕，很多企业为了维护企业形象和品牌声誉比特币中间商是否犯罪，也只能悄悄解雇内幕，根本不敢告知用户，更不敢公开报警。 只有当大规模的数据泄露引发舆论事件时，相关企业才会出来公关，发表声明“表明决心”，这恰恰助长了圈内人的侥幸心理和狂妄自大。

第2部分

黑客

并非所有黑客都像电影中那样生活。

事实上，一些黑客只是现实世界的失败者。 文化程度低，收入不稳定，他靠着师傅传授的技艺、一台电脑和一根网线维持生计。 为了将技术变现，一些人没有抗拒诱惑，选择了最简单、最残酷的道路——加入黑工业大军，窃取数据。

坏人不可怕，可怕的是坏人有教养。

真正可怕的是，数据黑产并非无序横行，而是有着高度严密的产业链。 这包括恶意软件、DDoS、勒索、大数据凭证库、网络钓鱼、恶意广告和商业欺诈等。其中最引人注目的是黑客通过拖拽、清洗和碰撞数据库来窃取信息。

黑客利用超级SQL注入工具、网站漏洞扫描软件、网站程序漏洞批量扫描等技术手段，非法访问和获取企业数据库中的数据。 通过完成拖拽数据库的行为，黑客实现了将企业最核心的大量数据转移到自己手中，接下来就是清理数据库。 黑客会通过一系列的技术手段进行数据清洗，去除一些重复的、无效的数据，只留下有价值的、可以变现的用户数据。 这部分数据除了可以丰富用户画像外，还经常流向下游黑产变现。 游戏行业是黑客经常“光顾”的重灾区之一。 在游戏中，被盗号无疑是所有玩家的噩梦，对于氪金多年的土豪来说更是致命的打击。 黑客经常利用一些玩家“傻有钱”的弱点，部署钓鱼网站和木马程序，通过营造不安全的网络环境，窃取玩家的游戏账号密码。 由于各大游戏平台一般都有账号保护措施，玩家一旦发现异常，都会通过手机验证码认证来修改密码。 因此，黑客们往往并不急于出售游戏账号，而是会第一时间“洗账号”。

所谓洗账，其实就是洗图书馆。 黑客盗取游戏账号内所有有价值的装备、材料、游戏币等，然后在游戏交易网站上出售。 其中，往往需要“道爷”的协助。 在游戏中，刀爷其实是游戏中的物资商人。 他们会在游戏中出售从黑客那里购买的材料，然后卖给其他玩家赚取游戏币（此时出售的游戏币称为“黑币”）），然后将黑币以一定的折扣出售给实现现金。

除了拖拽和清洗数据库外，另一种常见的窃取数据的方法是凭证攻击，这也能让黑客坐收渔利。 据悉，50.8%的中国网民使用“多数账户通用的多个密码”。 正是因为很多用户习惯于在不同的网站平台上使用同一套账号密码，黑客才能乘虚而入。 .

黑客可以通过获取用户在A网站的账号来尝试登录B网站，从而完成一次“崩溃填充”的尝试。 如果撞库成功，黑客可以在不侵入B网站的情况下轻松获取B网站甚至更多网站保留的用户数据。 在黑客眼中，大数据的价值在于它的“大”。 通过对数据库的拖拽、清洗、碰撞，将来自不同网站的用户数据链接起来，形成更立体、更全面的“裸奔者”画像。 这时候比特币中间商是否犯罪，相较于单一的信息出售，经过处理和清洗的人像信息的价值必然会上升。

在早期的数据窃取过程中，这些阶段几乎都是由同一个团队甚至同一个人完成的。 在分工细化和风险隔离需要的今天，很少有人将拖仓和洗仓结合起来，转而采用定制化或交易化的模式。 一些负责洗仓的黑产队甚至转型为大数据处理公司。 当然，黑客们不再满足于使用简单粗暴的木马病毒，而是通过社会工程学的研究不断升级作案手法。

第 3 部分

代码奴隶

对于黑色产业套利，企业自然不会坐以待毙。 为了防止黑客使用脚本登录，企业风控通常会加强登录验证。 最常见的方法是使用验证码（CAPTCHA）来判断是否是直播操作。 能答对的就是人，反之就是机器。 目前，用户在登录各大网站和APP时，经常看到的验证码包括“字符型”、“字符+点击型”、“滑块拼图型”等。 人工回复图片验证码。 验证码被设计得越来越复杂，其目的是将人类与计算机程序区分开来，让计算机无法回答。

然而，路高一尺，魔高一丈。 在黑产的江湖上，黑客绝不会坐视不管。 黑客窃取网络数据库后，需要通过验证筛选出有价值的数据。 这个过程在业界被称为“保密化”。 泄密的核心障碍是绕过公司的安全验证系统。 每天面对数以亿计的“秘密请求”，追求效率的黑客厌倦了一个一个的点击验证。 哪里有需求，哪里就有市场。 批次标识的市场需求催生了打码平台，也涌现了一批被业界戏称为“打码奴”的人。

码奴群是受雇于或与打码平台合作的网赚平台。 他们每天的工作就是接收平台打包发送的验证码，人工一一比对，识别验证码，反馈。 码奴可以选择自己想要接收的验证码的复杂度。 根据验证码的复杂程度和输入的准确率，输入1000个验证码可获得1元至25元的收入。 他们每天可以工作12个小时，最多可以输入2万个验证码，收入300多元。

另一种方式是码奴在网赚平台注册登录领取工号，以类似领取任务的形式完成每日任务量，获得一定的金币奖励。 按照网赚平台“游转网”的规则，每10000金币价值1元。 按照这种计算方式，每天敲2万个代码，可以获得200元左右的收入。

码奴通过自己的劳动从打码平台或网赚平台获取收入。 网赚平台与打码平台合作分红，打码平台为黑客、羊毛党、黄牛、喷子提供服务包。 一线灰白 园区编码产业链已全面铺开。 在人工智能应用的今天，一种更加“先进”的编码方式——“AI编码”应运而生。 通过使用人工智能机器深度学习技术对机器进行训练，本次训练得到的模型具有很强的适用性，大大提高了识别的准确率和效率。 而且，“AI码奴”还可以反馈识别失败的错误样本，不断自我学习，提高准确率。 人工智能编码的泛滥，无疑助长了违法犯罪活动的气焰。 但由于法律适用、犯罪行为认定等多方面原因，即使下游违法犯罪得到打击，司法部门也无法控制“打码平台”的上游环节。 但是，真正被认定为共同犯罪的，却是寥寥无几。 由于缺乏有效的法律监管，打码平台和码奴仍然是游离在法律边缘的灰色人种。

第 4 部分

经纪人

“我们这里交易1亿元，黑市交易99亿元。” 这是贵阳大数据交易所执行总裁王三寿的原话，语气中带着不满和无奈。 更令人遗憾的是，每年因网民个人信息泄露造成的经济损失远不止于此。

据中国互联网协会发布的《中国网民权益保护调查报告》显示，仅2017年，中国6.88亿网民个人信息泄露造成的经济损失高达91.5%。亿元。 在巨额损失中，身处黑色产业链下游、贩卖数据、实施信息犯罪的经纪人、经纪人起到了举足轻重的作用。

从行业分布来看，黑业大军侵入了互联网的方方面面，并打造了标准化的分工体系，从钓鱼零售、域名经销商、信件批发到证书经销商、电话诈骗、短信群发、而网络推广、现金提现、黄赌毒网站程序严格，可复制性强，具有极强的灵活性和适应性。 其中，暗网由于难以追踪用户身份，成为信息经纪人的聚集地。

在这个交易活跃的法律盲区，中间商如鱼得水，攫取着巨额利润。 他们可以毫无顾忌地从上游黑客或内部人士手中购买数据，也可以向下游数据需求者出售数据。 数据需求者的构成也参差不齐。 有从事诈骗犯罪的不法分子，也有来历不明的广告商。 甚至一些缺乏数据的中小互联网金融平台，有时也会充当券商的客户。 获取的数据除了用于精准营销，有时还会用于身份验证、催收或丰富自身风控模型。

除了保证身份的匿名性，经纪商用来交易的货币也需要匿名。 因此，像比特币（Bitcoin）这样专为匿名流通而设计的加密货币备受青睐，成为券商在暗网交易的主要货币。 这种完全匿名的交易方式为网络非法交易提供了极为便捷的支付手段，吸引了全球的不法分子。 在去年的顺丰用户数据泄露事件中，一名ID为“bijiaodiao1688”的用户在暗网中文论坛以2个比特币（现价约14000美元）的价格出售了3亿条用户个人信息。

更可怕的是，一些知名企业甚至上市公司也在黑色产业链上进行数据交易活动。 与地下网络黑产相比，这些企业只要在用户授权同意的情况下，在法律法规允许的范围内对信息进行处理，在个人信息安全方面不存在“原罪”。 然而，问题是，面对暴利的诱惑，这些龙头企业能否抵挡住黑产大军的怂恿？ 频发的信息泄露事件给了我们响亮的耳光。 仅2018年，就有两家新三板上市的数据公司因信息盗用、非法销售等罪名被立案起诉。

其中，除了上面提到的数据堂，简历大数据公司乔达科技也在作恶。 乔达科技号称拥有国内最大的简历数据库。 其数据库收录了2.2亿自然人的简历，累计简历达37亿份。 此外，乔达科技还拥有超过10亿个通讯录，并掌握了相关的社会关系、组织关系、家庭关系数据。 这也意味着，如果一款APP提供了用户的手机号码，乔达科技可以将其与自己的简历数据库进行匹配，进而可以包含自然人的年龄、性别、行业、职业、户籍、收入、教育经历、工作经历等信息。等，经验、关系网等信息反馈到APP，这些信息几乎涵盖了个人数据的所有维度。

就是这样一家简历公司，掌握着中国人57%以上的个人信息。 最终以擅自使用、贩卖简历信息为由被警方抓获。 除了恐惧之外，泄露了什么样的个人信息，泄露了多少信息，早已不为人知。

高盛首席互联网研究分析师希思特里在 Facebook 泄密后告诉 CNBC：“每一个快速发展的科技巨头都可能面临类似的危机。在某种程度上，如果一家公司不能有效地预防每一次危机，它最终将被迫成为黑色产业链中的一环，成为信息来源的关键一环。” 如果连我们的上市公司都守不住黑色产业大军的底线，公民的个人信息安全势必面临万丈深渊。

第 5 部分

结尾

在几十年前的德国，纳粹政权通过极其详尽的人口普查，掌握了广阔领土上的人口构成，并在短短几个月内准确圈出了几乎所有的犹太人。 大屠杀的残酷深深地伤害了每一个欧洲公民的心，也激发了欧罗巴这片土地在二战结束后的漫长岁月中担当起引领世界个人信息保护浪潮的旗手。战争;

几十年过去了，在阳光照不到的中国，黑市交易仍在继续。 频繁的信息泄露消息，让大家逐渐感受到了被数据黑产支配的恐惧。 信息时代，谁拥有了数据，谁就拥有了无限的财富。 在巨额利润面前，冒险者层出不穷。 有多少人躲在人群中，粉饰着舞台，贪婪地寻找着可以偷走的缝隙？ 又有多少个人维权者和潜在受害人能够携手共克时艰？

利益面前，必有纷争，而且势必经年累月。 引用史忠先生在《远征漠北-腾讯的黑业大战》一文中的话：“这场大战就像一场巨大的围棋，在黑白对峙中，决定生死的点不被占据白棋，必有黑棋占据。世界本来就是这样的。”

在 Siri 窃听我们的日子里，也许没有人可以成为数据黑幕行业战争的局外人。

参考：

企鹅智库《中国网民个人隐私调查报告》

中国互联网协会《中国互联网用户权益保护调查报告》

京东研究院《数字金融反欺诈白皮书》

财经：追踪“数据堂”：庞大的个人信息侵权工程，撼动大数据行业

新京报：杀母嫌疑人吴谢宇身后持有多张身份证：网络暗藏一条黑色产业链

腾讯科技：数据泄露多半是鬼使神差：代价惊人！ 谁在看我们的隐私？

轻黑科技：远征漠北——腾讯的黑产大战