“與時俱進”的黑產買賣!真人認證視頻百元1套 如何保護我們的臉?
“刷臉時代”來臨后,如何厘定技術與倫理的邊界,怎樣去保護我們的臉,成了亟待解決的問題。4月13日,新京報推出《人臉識別黑產調查》專題報道,調查人臉識別黑產,并探討解讀如何讓個人信息在發揮價值的同時又不被非法獲取或利用,如何明晰人臉識別技術的應用邊界,如何通過立法和監管更有效地保護我們的臉,讓我們不再為“顏面何存”而憂等問題。
人臉識別黑產調查:真人認證視頻百元一套
“100元一套,包含身份證正反面照片、手持身份證照片和點頭、搖頭張嘴視頻。”在部分社交平臺和網站上,不少賣家將人臉識別視頻明碼標價,還打包票稱所售驗證視頻,能通過大多數App平臺驗證流程。
3月30日至4月5日,新京報記者調查發現,這種地下黑產交易大多藏匿在QQ群中和境外網站中,其中QQ群名稱多包含“過臉”“識別技術”等關鍵詞,從而方便買家檢索到相關信息。
在App平臺人臉驗證黑產中,百元一套的驗證視頻屬于“價高質優”產品,因為使用了真人錄制的動態驗證視頻,驗證通過率較高,還有一種低廉的人臉認證方式,即使用動態軟件將人臉照片制作成“動態視頻”,配合“外掛”軟件進行驗證。
“低廉的一套只要幾元錢,需求量大的話甚至可以低至0.5元一套。”一名賣家表示,人臉動態驗證的成功率,主要取決于照片動態化處理的細致程度,但真人錄的視頻肯定可以100%通過。
對于人臉識別信息買賣,北京云嘉律師事務所律師趙占領表示,據《民法典》規定公民對個人信息享有民事權利,未經本人同意非法收集買賣他人信息會構成民事侵權。人的臉部特征信息是能夠直接識別特定自然人的真實身份的信息,屬于個人信息范疇,如果未經用戶同意買賣個人信息涉嫌違法犯罪。
“與時俱進”的黑產買賣
張女士在注冊微博進行人臉驗證時,被提示自己的身份證信息已經被注冊過,但此前她并未下載和使用過微博。
張女士咨詢微博客服了解到,若掃臉注冊微博時提示“該身份證已經綁定其他賬號”或“身份證使用次數超限”,是由于身份證已經綁定其他賬號。目前,一個身份證號可以綁定2個微博賬號,當身份證號綁定賬號數量達到上限時,就無法再使用當前身份證號進行驗證。
“肯定是我的信息被泄露了。”張女士稱,她平時還算比較注重個人信息保護的,身份證除了上學入職、辦銀行卡、辦電話卡、住酒店、買車票用過,其他地方就沒有使用過了。
張女士的遭遇并非唯一,多名網友曾發帖稱自己在注冊微博、QQ、公眾號等,發現個人身份信息被盜用。
隨著個人信息被冒用數量的增多,網絡相關的反饋和投訴也隨之增多,隨之而來的是各大App平臺的安全驗證升級,以動態人臉識別作為安全驗證方式。在App平臺安全驗證升級迭代中,這條黑色產業鏈的從業者也在利用漏洞,“專研”其如何破解這一“困局”。這條伴隨著互聯網實名制發展而興起的黑產利益鏈,也從最初單純收集販賣姓名、身份證號,升級到了收集販賣手持身份證照片、人臉視頻和照片動態處理軟件。
一名在暗網中販賣個人信息的黑產賣家介紹,身份證正反面照片、手持身份證照片和人臉點頭、搖頭視頻,一套100元,量大的話可以優惠;如果一次性購買100套,價格可壓低到10元一套,“如果數量少真的便宜不了,我們收集這些信息的成本也高”。
接著,對方發來兩段別人錄制的張嘴、眨眼、點頭、搖頭視頻,稱“這些是真人錄制的視頻,驗證大部分App都沒問題,比照片處理的動態視頻通過率高”。

△在一個1700余人的QQ群中,每天都有新人加入,購買人臉識別驗證技術。截圖
真人驗證視頻多來自“網絡兼職”
多名黑產賣家稱,他們開發包括借貸、走路賺錢等App,其售賣的這些信息便來自于用戶下載注冊這些App時所采集的,“這些人大多是工廠工人,還有一些網絡兼職人員。”
但這些網絡刷單兼職人員,并不知道自己在做一些App認證的單子時,會泄露隱私。
來自山西的白女士告訴新京報記者,她從半年前開始做一些刷單等網絡兼職,有時候刷單量有限,她就會做一些App認證的單子。
白女士表示,這些單子需要掃描對方提供的二維碼下載App然后進行實名認證,實名認證的過程大多數會讓上傳身份證正反面照片、進行人臉識別,之后才算注冊成功。一個單子大概5元-15元不等,有的認證要求復雜的價格會高一點。
在兼職刷單中,有的只需要上傳姓名和身份證號,這樣的每單3元,需要進行人臉識別的價格可能會到十幾塊錢。白女士說,有的App在進行人臉認證的時候,眨眼搖頭幅度大一點,或者人臉離得近一點,會比較好通過。
“沒想到過會有人用這種方式收集個人信息,也從來沒有聽說過會有人收集人臉識別的動態視頻。”白女士稱,自己剛開始接這種App注冊的單子時,遇到身份和人臉信息驗證時有過猶豫,但是后來覺得群里大家都在接單,也沒聽人說出現什么問題,也就開始這樣做了。
兼職刷單認證造成的數據泄露,應算是少數。曾有媒體報道,有80%的個人信息數據泄露,都是企業內部員工所為。
不少黑產商販也認可這個說法。有商販透露,如今市面上流通的手持身份證照片大多是在小額貸款平臺和公司野蠻發展期間泄露出來的,還有部分是從各行業收集而來的,這種信息交易和使用一般情況下不會被人發現,“當時很多人借錢不還,平臺就把這些信息拿出來賣錢了,剛開始挺貴的,現在層層轉賣就便宜了”。
除此之外,如今日常使用App、進出店鋪等場合均需要進行人臉信息識別和采集,還有人員以人臉識別技術開發和系統測試為名開展信息采集。
在網絡中,新京報記者留意到有人發布招聘信息采集員的信息,工作內容為到鄉村采集身份證、人臉信息,可以將食用油、鍋等商品作為禮品贈送。

△一名黑產商家售賣的人臉識別驗證資料包,包括軟件及教程。截圖
黑產圈的“四件套”
相比真人視頻錄制,將照片中的人臉通過軟件進行動態化處理形成驗證視頻,成本更低。
3月31日,新京報記者通過QQ群按條件查找,在搜索框中輸入“過臉”“識別技術”等關鍵詞,便會出現眾多相關QQ群。記者隨機加入6個QQ群發現,這些群內的成員從100余人到1700余人不等,并且不時有新的成員加入。

△在QQ群中,搜索關鍵詞“臉識別”,便出現眾多黑產買賣的群。截圖
QQ群中,不時有人發布出售微信號、售賣換臉軟件的信息,同時還有人在咨詢如何將照片中的人物進行動態化處理,并通過人臉識別驗證。
此外,在新京報記者以需要購買人臉認證技術和軟件的身份加入群后,3個小時內便有多名黑產信息販賣者添加記者好友,了解需求。
這些黑產賣家表示,他們售賣照片摳圖、動態化處理等軟件,使照片中的人物張嘴、眨眼、左右搖頭和上下點頭。之后,通過特定手機開“外掛”進行人臉識別,“我們一般用于驗證微信、QQ、陌陌多一些,其他軟件也都可以人臉驗證。”
3月31日,一名從事黑產買賣的商戶在其QQ空間發布消息稱,由于微信安全驗證升級,暫時已無法通過人臉識別驗證,自己正在研究辦法。4月3日,這名商戶表示已經攻克新的安全驗證,可以接單。
此外,這些商戶還售賣身份證正反照片、手持身份證照片以及帶有人臉的照片,在黑產圈俗稱為“四件套”,每套價格在0.5元至3元不等。
當被問起這些證件照片的來源,商戶在聊天過程中便開始謹慎起來。最后新京報記者表示對四件套信息有大量需求的情況下,一名賣家表示有人專門負責收集,自己也是從別人那里買來再賣的。

△黑產賣家售賣的個人信息,包括身份證號及照片等。截圖
開“外掛”軟件進行人臉識別
無論是真人錄制視頻還是照片動態化處理,在完成App人臉動態驗證的重要工具就是手機和外掛軟件。
新京報記者通過向黑產賣家詢問得知,從二手交易平臺上花費200余元就可以買來某品牌二手R9手機,然后將刷機包植入到手機中。
部分App平臺在人臉識別驗證過程中,屏幕會變成紅、黃、藍三種顏色,以此驗證臉部的亮光,但使用相關外掛軟件,也可以完成驗證。
“給手機刷機的目的就是獲得手機操作的更多權限。”對于照片動態處理后通過人臉識別驗證的原理,有兩名黑產賣家表示,當App需要通過攝像頭進行人臉驗證時,用手遮擋攝像頭,手機“外掛”就會啟動,通過修改相關數據和設置,將提前做好的動態人臉視頻導入到App中,便完成認證。
“真人錄的視頻通過率肯定高,照片處理的話要看天賦,不能保證你每一次驗證都能通過,要看你制作的人臉動態視頻是否細致。如果第一次驗證失敗,就多驗證幾次,后面可能就會通過。”一名黑產賣家表示,盜用他人信息進行App賬號注冊和驗證屬于違法行為,且國家打擊力度較大,所以自己只賣軟件和教學,并不會直接操作。
按照這名黑產賣家的提示,新京報記者花費500余元購買了一部安卓手機和一套動態處理軟件及教學,黑產賣家附送30套身份證正反面照片和手持身份證照片。
在實際體驗過程,按照黑產賣家的說法,使用刷過機的某品牌R9手機,將處理后的人臉動態視頻保存在這部手機上,并打開App進行用物品遮擋攝像頭,使攝像頭處于黑屏狀態,便可順利通過安全驗證。
新京報記者使用該方法,在探探及智聯招聘等平臺上,都通過了人臉識別。
探探客服工作人員向新京報記者表示,如果發現個人身份信息被盜用認證,只能用戶發現后向平臺反映,之后用戶需要向平臺提供本人的身份信息進行審核,審核通過后平臺會對已經認證賬號進行封禁處理。對于探探平臺人臉識別認證漏洞問題,他們將會把情況向上進行反饋。
智聯招聘、陌陌等平臺的客服人員均表示,對虛假的人臉識別目前沒有很好的應對措施,之后會對該情況反饋處理。

△一名黑產商販售賣真人人臉識別視頻,喊價150元一套。截圖
律師:私自販賣人臉信息屬于違法行為
個人信息販賣后被非法使用的案例并不少。
在中國裁判文書網上,一起關于人臉識別驗證的刑事判決書顯示,從2018年7月份開始,被告人張某、余某等人以牟利為目的,使用其購買的公民個人身份信息注冊支付寶賬號,并使用軟件將公民頭像照片制作成公民3D頭像,從而通過支付寶人臉識別認證。
通過這種方式來獲取支付寶提供的邀請注冊新支付寶用戶的相應紅包獎勵(包括邀請新人紅包、通用消費紅包、花唄紅包等),而每個新注冊支付寶至少可以獲取28元收益。截至案發,該團伙非法收集近2000萬條公民身份信息,共使用他人公民個人身份信息注冊成功至少547個通過人臉識別認證的實名支付寶賬戶,獲利4萬元。
北京云嘉律師事務所律師趙占領表示,人的臉部特征信息是能夠直接識別特定自然人的真實身份的信息,屬于個人信息范疇,如果未經用戶同意買賣個人信息是違法行為甚至是犯罪行為。
據《民法典》規定,公民對個人信息享有民事權利,未經本人同意非法收集買賣他人信息會構成民事侵權。另外《刑法修正案(九)》規定了侵犯公民個人信息罪。買賣高度敏感的個人信息達到一定數量,符合司法兩高的司法解釋中所規定的立案標準的行為就涉嫌刑事犯罪。在這個過程中,無論買方還是賣方都涉嫌構成侵犯公民個人信息罪。
自然人的個人信息被他人非法買賣之后,用于一些違法甚至犯罪行為,那么他對此并不承擔法律責任。但需要舉證去證明個人信息是被他人非法獲取并盜用的。個人信息方面的刑事案件比較多,公安機關每年都會抓獲大量侵犯公民個人信息的犯罪嫌疑人。
如何保護我們的臉?
如何讓個人信息在發揮價值的同時又不被非法獲取或利用,如何明晰人臉識別技術的應用邊界,如何通過立法和監管更有效地保護我們的臉,讓我們不再為“顏面何存”而憂……這些都是亟須關注和解決的問題。
《民法典》提出合法、正當、必要三原則
大數據時代,個人信息被譽為“新時代的石油”。而人臉信息是高度敏感的個人信息,人臉識別技術就是基于人的臉部特征信息及其不可更改的特性進行身份核驗的一種生物識別技術。這一技術還具有無接觸、交互性強、高效迅速、符合人類識別習慣等優勢。
當前,人臉識別技術愈加成熟,應用場景逐漸廣泛,成本也在不斷降低,一個個本具生命體征的人便轉化成了一串串代碼,面臨著被替代、被冒用的風險。
中國社科院大學互聯網法治研究中心執行主任劉曉春指出,個人信息泄露的風險是不容忽視的。人臉識別技術在現階段并不算成熟,很多人臉采集的主體沒有嚴格的安全措施要求和技術測試,有時使用照片或者一段視頻就可以被識別,存在密碼泄露、賬戶盜用的風險。
今年3月,清華大學教授勞東燕就在園區門禁問題上繃緊了謹慎的弦,因她所居住的小區實施安裝人臉識別門禁計劃,她特地寫了法律函寄到物業公司和居委會以引起他們對“人臉識別潛在風險”的注意。最終,小區在“刷臉”進出方式之外,增加了刷門禁卡、手機等方式。
此前,關于保護個人信息的專門立法一直未出臺,以至于“強制刷臉是否合規合法”的問題步入到相對尷尬的境地之中,于今年實現落地的《民法典》在一定程度上填補了這一領域的空白。
一方面,它規定了個人信息的處理原則和條件。要求處理個人信息的,應當遵循合法、正當、必要原則,不得過度處理。另一方面,它也明確了個人信息主體的權利,即自然人可以向信息處理者查閱或者復制其個人信息,有權提出異議并請求及時采取更正等必要措施,發現信息處理者違反法律、行政法規的規定或者雙方的約定處理其個人信息的,有權請求信息處理者及時刪除。
但《民法典》中的相應規定在適用過程中仍存諸多難題。勞東燕認為,保護個人信息不只是“同意”的問題,除了得到個人授權外,個人信息在保管和使用方面都應該得到明確,“《民法典》只能做比較概括性的規定,未來還需要有一些細節性的規范。”
中國信息安全研究院副院長左曉棟表示,由于人臉識別技術應用場景很多,所以還需要專門的文件予以規范,“例如,什么叫人臉識別技術應用的‘合法正當必要’?這需要專門作出規定。”
中國電子技術標準化研究院網安中心測評實驗室副主任何延哲也指出,人臉識別特殊的場景需要在法律法規中得到細化,“合法、正當、必要”三原則雖然能把所有的個人信息保護的事情涵蓋,但這樣的原則通常比較籠統,所以有一些企業在應用人臉識別的時候,可能會鉆一些空子,變得更傾向于商業利益,而不是傾向于個人消費者的權益。
仍需對人臉識別不同場景進行規范
2020年10月13日第十三屆全國人大常委會第二十二次會議對《個人信息保護法(草案)》進行了初次審議。九天之后,中國人大網公布《中華人民共和國個人信息保護法(草案)》并對其公開征求意見。
相較于《民法典》而言,《個人信息保護法(草案)》深入總結了《民法典》《網絡安全法》等法律法規和《個人信息安全規范》等國家標準的實施經驗,更加具體地規定了個人信息保護的原則,將個人信息保護實踐中行之有效的做法和措施上升為法律規范。同時,后者還做好了與前者的銜接工作,也就實踐中出現的個人信息保護新問題、新場景進行了必要的規制和留下彈性的空間。
但部分條文仍有待進一步探討和調整。對此,劉曉春表示,目前而言,《民法典》、《網絡安全法》、《消費者權益保護法》和即將出臺的《個人信息保護法》所構建的法律體系已經相對完備,但需要針對具體的領域,比如金融、生物信息識別、人臉識別等不同場景進行整治,從而清晰地指引具體實踐操作。
同時,她還認為,人們對人臉信息被收集之后因保護不周而被泄露的擔憂在當前更多的是一種猜測,到目前為止沒有證據顯示人臉的濫用和泄露形成了一種明顯的趨勢。因此在風險可控的情況之下,信息采集、處理、保護得當,人臉識別作為一種身份驗證的手段,不能被當作“洪水猛獸”。
在她看來,個人信息售賣的黑色產業鏈才是對個人信息威脅最大的部分,以黑客的犯罪活動為代表的個人信息買賣,已經成為一種產業鏈。暗網中出售個人信息的行為被稱做黑產灰產,犯罪分子會在侵害個人信息的基礎上進行詐騙或者傳播違法內容。
2019年以來,人臉識別技術在不斷更新迭代的同時,人臉信息泄露并被違法售賣的事情也有增無已。近期,上海檢方公訴的一起涉案金額超5億元的虛開發票案就牽出了非法人臉識別案。
在此案中,犯罪嫌疑人先從他處以30元每個的價格購買他人的高清頭像和身份證信息,之后利用“活照片”App對高清頭像進行處理,讓照片“動起來”,形成包括點頭、搖頭、眨眼、張嘴等動作視頻然后利用特殊處理的手機“劫持”攝像頭,在人臉認證環節時,手機攝像頭不會啟動,系統獲取的是之前做好的視頻。系統會認為是本人在攝像頭前,最后通過認證,完成“皮包公司”注冊,用于為他人開具增值稅普通發票。據犯罪嫌疑人交代,其破解的App類別非常廣泛,涉及政務、安防、金融、支付、生活消費等用戶量巨大的App。每單的破解價格從25元到300元不等。
由此來看,人們在App的使用中同樣面臨著個人信息泄露的風險。何延哲指出,App的應用中一是存在保護意識薄弱的問題,安全措施不到位,該加密的沒有加密,該做訪問設置的沒有做訪問設置;另一方面就是App本身存在的過度收集個人信息的問題。
因此,從攝像頭、手機等硬件設備到所配備的收集管理軟件都需要依法進行把關,從而防范信息泄露、財產損失、身份冒用等問題。
何延哲稱,在App治理方面,需要通過檢測、評估和整改這一系列的措施來彌補“規則尚不明晰”的缺陷,“但這是全球范圍內進行數據治理的共同挑戰,考驗的是監管部門的智慧。”
國外案例是否適應中國國情還需探討
2020年2月,谷歌公司遭到集體訴訟,訴訟稱其Google Photos服務使用的面部識別技術在未經許可的情況下收集了用戶的面部印記數據,同年,微軟公司也因相似原因遭到集體訴訟。不久,谷歌、微軟、亞馬遜三名科技巨頭又被指控違反了美國伊利諾伊州的《生物識別信息隱私法》。
《生物識別信息隱私法》早在2008年10月3日就已在伊利諾伊州誕生,這個州是美國第一個規范生物識別信息收集的州,該法律禁止私立公司收集生物識別數據,除非書面告知用戶正在收集或存儲哪些數據、收集和使用數據的具體目的和儲存時間、并獲取用戶的同意。
自 2019 年至今,美國已有舊金山、薩默維爾、奧克蘭等十幾個城市通過地方條例禁止政府機構使用人臉識別技術。
除美國外,人臉識別的案例也分布在加拿大、瑞典、印度等地。各個國家也為此擬定或出臺了專門的法案法規。例如,加拿大《數字憲章實施法案2020》中包含的《消費者隱私保護法》和《個人信息和數據保護法庭法》、瑞典的《犯罪數據法》、印度的《個人數據保護法案(草案)》等等。
國外的法案能切實在我國推行實施嗎?對此左曉棟表示,相對而言,美國部分州頒布的法律很嚴格,這代表了一種對生物特征識別技術應用的立法態度。但這類規定過于嚴格,至于它是否適合中國國情的政策,還需要在實踐中探討,不宜對人臉識別技術應用“一刀切”。
專家建議:用行政監管的手段引導技術向善
劉曉春指出,在美國眾多個人信息泄露訴訟案中,受害者可以采取集體訴訟來起訴企業,但目前在我國并沒有集體訴訟制度,個人訴訟仍然存在很大障礙。其中關鍵因素就是在取證方面,主體需證明網站、平臺、小區收集了人臉數據且造成損害,取證的過程比較難,成本比較高,需要技術性,普通人可能不太具備取證所需的專業能力。所以人臉信息被盜用并對個人利益造成損害,在沒有產生實際損害的基礎上,個體很難有動力去起訴。
劉曉春提到,杭州“人臉識別第一案”中,起訴人的起訴目的帶有公益性質,起到了弘揚社會責任感的示范作用,超越了個案的意義。但這種案例無法大量復制,民眾若想要發起集體訴訟,訴訟制度本身無法提供匹配的支持。
“雖然個人無法提起集體訴訟,但可以通過公益訴訟,如消費者保護協會提起訴訟,檢察院提起檢察公益訴訟,從而實現司法保護的能動作用,推動實踐發展。”劉曉春表示。
此外,在國內外的法律中,法定的賠償制度是很難證明損害金額的。人臉識別技術帶來的損害無法被確定,就中國的具體情況而言,《民法典》的內容作為主要的賠償依據,但法律上沒有更有針對性的相關規定。劉曉春認為,長遠來看,我們現在仍要繼續推動人臉信息的相關立法,補足生物識別監管合規要求的空缺,推動技術標準的制定,建構完善的侵害認定的司法規則。
總而言之,針對于國內外案例和法案探討如何保護“我們的臉”的問題,多位專家建議,除了立法,在執法層面也要針對個人信息泄露的事實現狀進行針對性的執法。
此外,在企業層面還需強化企業自律,在個人信息獲取和使用時遵循合法、正當、必要三原則;同時,提升企業在大數據環境下的網絡安全防護技術;以及規范應用隱私條款,為用戶刪除數據、注銷賬戶提供渠道,明確告知用戶爭議解決機制等。
最后,在個人層面。一方面,要注意留存大數據殺熟、動態定價、價格操縱和個人信息泄露的相關證據;另一方面,應了解我國個人信息保護的相關法律,一旦發現個人信息泄露和違法使用的行為,也能立即向相關監管部門舉報或者到法院起訴,依法維護好自身權益。
何延哲表示,整體而言,現在還是摸著石頭過河,但希望技術應用能夠有利于經濟發展,也有利于社會進步,所以我們需要通過行政監管的手段引導技術向善,堅持好安全發展相統一的原則。
原標題:人臉識別黑產:真人認證視頻百元1套 如何保護我們的臉?
值班主任:顏甲

