半佛仙人：幽暗鐮刀：隱私安全下的收割者們
今天，一個時隔一年的國內“史上最大規模的數據竊取案”有了新的進展。
2018年8月，阿里安全協助警方偵破了該案件，事涉7名被告人及一家上市公司瑞智華勝，他們通過競標的方式，先后與全國多地的電信、移動、聯通、鐵通、廣電等運營商簽訂營銷廣告系統服務合同，為運營商提供廣告投放系統的開發、維護，進而拿到了運營商服務器的遠程登錄權限。
拿到權限后，他們把自己編寫的腳本程序植入后臺，當用戶流量經過運營商服務器時，他們可以拿到這些數據，然后就是數據清洗，導出，整理，販賣。
由于腳本直接植入在互聯網運營商的底層，所有使用服務的互聯網公司的用戶數據也未能幸免，全國共有96家互聯網公司的用戶數據被竊取，基本涵蓋大部分大型互聯網公司。
這些數據被用來在網絡領域刷贊刷流量，當初微博大量用戶反饋自己在毫無感知的情況下給一些不認識的賬戶點贊，就源自賬戶數據被人異地登錄操作。
這起案件的背后，是無數黑產的黑色生意在肆意流轉。
1
我們人類是活在地球上的嗎？
是，也不完全是。
在大數據年代，我們每個人其實都是活在地球上的硬盤里的。
這個硬盤非常廣闊，如瀏覽器，APP，手機，電子設備，信用卡等你與外界相連的信息，以及你身邊人的信息，都在里面會被關系網絡串聯在一起。
有一個很流行的六度關系理論說只要通過6個中間人，你就能找到這個世界上的任何一個人。
從這個角度說，數據化時代，硬盤里的我們都是一家人。
硬盤為我們創造了前所未有的生活便利，同時內中也暗藏著一定風險。
有光必有影，光影必相依。
風險制造者往往是試圖從中牟利的數據黑灰產團伙，他們盜取數據、濫用數據等作惡行為，不僅損害了數據產生者和用戶利益，更為重要的是還嚴重擾亂了整個數據產業的正常秩序，也抹黑了整個產業名聲。
他們違法成本極低，因其有不易被發現，且取證難、執法難等特征，一旦發生數據泄漏事件，通常是受害方為其“背鍋”。
通常這種情況，整治處罰的不是數據作惡者。他們依舊會死灰復燃甚至繼續逍遙法外，給行業深埋著更大的風險“炸彈”。
今天這篇文章，我想簡單談談大數據黑產的現狀。
以及數據化之后我們在風中飄揚的人生。
2
世界范圍內，上周數據安全圈子最大的事件是，美國CapitalOne有近1億條客戶數據泄露并被上傳至GitHub中近3個月，這些數據包含近億美國用戶的個人信息，社會安全號碼以及銀行賬號。
CapitalOne在美國的地位大概相當于招商銀行在國內的地位，屬于為用戶提供一站式金融服務的國民級零售銀行。
CapitalOne最出名的業務是信貸風控，國內互金繁榮的時候，非常多的互金高管都是從CapitalOne中歷練出來的，可以說是世界高利貸界的黃埔軍校。
GitHub，現在屬于微軟，雖然表面上是一個論壇，但在全世界程序員的心中有著不可替代的作用，每一個程序員都會在GitHub中與全世界的同行交流，用代碼來證明自己，大概相當于程序員中的微博+微信。
這起事件的嚴重程度，大概相當于招商銀行的用戶數據被人挖出來打包放在了微博上供人隨意下載了3個月，不知道多少黑產笑的嘴都歪了。
2019年8月3號，美國已經有律師事務所對這兩家公司提起了集體訴訟，這是非常嚴重的事件。
而這1億美國人的信息暴露后，如果沒有及時止損報備，等待他們的將是無止境的信息盜用，信用卡盜刷，異常網站注冊，洗錢空殼，甚至高利貸纏身。
他們的人生中，將面臨著無數已知未知的危險。
這種事情會發生在他們身上，也一樣會發生在我們身上。
而且在你們不知道的黑暗中，已經發生了無數次了。
你收到的每一個騷擾信息，每一通詐騙電話，每一個垃圾
.jpg)
黑產無國界，利益無國界。
3
很多讀者經常問我說，是不是國內的大公司們都在縱容著數據黑產，甚至是刻意的去拿用戶的數據賣給黑產？
我得承認，這是很多人潛意識的想法，認為大公司就必然是邪惡的，是天天想著怎么坑人害人的。
但實際上不是，倒不是因為大公司都是正義的人，商業上沒有正義可言。
主要是因為算賬算不過來。
每一家公司，其核心的訴求只有一點，賺錢。
再細一點，合理合法賺到可持續的錢。
越是大的公司，對于合理合法可持續，就越為重視。
當數據泄露后，不說競爭對手拿到的打擊，但就輿論和法律方面的打擊，對于任何一家大公司都是難以承受的后果，這不是賣數據那幾個小錢可以挽回的，大家都非常聰明。
CapitalOne和GitHUB這次面臨的危機如果處理不好，面臨的可能是滅頂之災。
沒有一家大公司不重視自己的數據問題，因為出了問題，不說用戶和法律，監管第一個不會饒了他們，數據底線不容踐踏。
相信我，數據出問題后，大公司要比我們更為慌張，他們慌張自己是不是還有機會繼續賺錢。
隨著國內法律的進一步完善，監管的進一步趨嚴，數據風險對于公司的影響也將越來越大。
4
問題來了，數據是怎么泄露的？
攻擊運營商這樣的操作非常簡單，但是很容易暴露，2018年8月后，就很少有不開眼的人亂來了。
那么為什么我們的隱私還是飄來蕩去？是誰干的？
接下來，我要開始常規得罪利益方了。
當前國內所有黑市上的數據，主要來源有2種，黑產入侵和一些大數據公司的緩存。
先說黑產的技術或者社工（社會工程學）入侵。
一個很經典的案例，國內某以企業信息查詢著名的公司，其數據庫中所有的數據，近期被全被抓出，拿在黑市上賣，20W一份，會砍價的話可以砍到10W元成交，這份數據包含目前所有公開公司信息以及年報，是其業務的核心資產。
黑產是怎么拿到這些數據的？
不是你們想的神奇的傳說中的黑客攻防以及各種電視劇里的攻擊大戰，現實沒有那么多神奇的東西，簡單到你不信。
走到公司樓下的咖啡廳，用腳本工具破解公司WIFI，進入內網，進一步抓到管理員的賬號密碼，然后直接拖庫。
這種都屬于稍微有一點點技術含量（其實也不高，腳本都有各種現成的）的進攻。
更簡單一些的進攻是，例如想要拿到大量用戶的身份地址信息，有人直接物理進攻快遞公司的倉庫，趁人不注意的時候一個U盤插到電腦上（很多偏遠地區的加盟快遞，是沒有嚴格使用加密機器的，我在幫某公司Review風險的時候，曾經指出過這類風險），然后就拿到了各大電商拼了命保護的數據，還都是脫敏的明文數據。
很多大公司很無奈的是，自己做的再完美，也架不住生態伙伴和合作公司豬隊友，現在的黑產們都是要錢，攻擊大公司很麻煩還容易被反追蹤，不如攻擊大公司的合作伙伴。
只要攻破一個能夠調用的接口，就是源源不斷的數據資產。
5
如果說黑產攻擊，算是情理之中的一件事情（他們不干這個就奇怪了）。
那么真正在威脅我們每一個人數據安全的，其實是市面上的各路所謂大數據公司，就是被追捧的那堆所謂數據科技獨角獸們。
很多所謂的大數據公司，本身不產生數據源（例如車輛數據都在車管所，學歷數據都在學信網，手機號信息都在運營商），也不具備數據應用場景（他們自身不做互聯網業務，數據拿來沒用），做的很多事情，本質上就是數據二道販子。
典型的就是在車管所把車輛數據接出來，然后賣給車險公司或者車貸公司，做個中間商賺差價。
很多對外吹得天花亂墜的數據公司，本質上就是各類數據的二道販子，無非是兩頭的角色不同，今天是車管所賣給車貸，明天是車貸賣給保險公司。
但是二道販子，也有一顆想暴富的心，靠主營業務不能實現的話，就動起了歪腦子。
二道販子們每天經手這么多數據，很多公司會悄悄把這些數據緩存下來（注意，這個是明確違法的，法律不允許中間商緩存數據），然后把緩存下來的數據提供給客戶。
舉個例子，假如我是數據公司A，我是賣征信數據的，數據一頭是權威機構，數據另一頭是各種貸款公司BCDE。
一個貸款客戶小張，在B貸款公司申請了一筆貸款，B公司通過數據公司A來調用征信，A會把小張的數據給B的同時，也把小張的數據存了下來。
如果小張又去了C公司借款，C公司恰巧也是A公司的客戶，找A調用征信，則A不需要再花錢從權威機構買了，直接把緩存的數據復制一份提供給C就可以了，成本為0。
這種利用緩存牟利的行為，在當前的大數據公司中非常普遍，畢竟作為數據通道，如果沒有作緩存的話，只靠那點點差價，可能到后面連數據都買不起了，畢竟權威數據源往往都要求代理商高額的預充值。
花1份錢，賣多份數據，這是很多大數據公司的生存之道。
6
當黑產們與這些大數據公司遇到一起的時候，奇妙的化學反應就產生了。
由于市面上的大數據公司太多了，數據總有更便宜的，便宜到惡性競爭的地步，而投資人也不相信很多大數據公司所謂的數據驅動未來的鬼話了，這個行業的非頭部公司已經越來越混不下去了。
所以有的數據公司在準備跑路前，干脆一不做二不休，直接把數據就賣了。
賣這些數據，需要黑產幫忙上黑市，傻乎乎直接明著賣的后果，是進監獄。
2017年6月，某知名上市大數據公司，就因為賣緩存賣的過于赤裸裸，好幾個高管現在還在里面開心的撿肥皂。
即使下定決心賣，也要找個合適的場所賣，所以黑市，就是很好的選擇。
其實也不只是在黑市上賣數據，更多時候，很多大數據公司在黑市上買數據，幾百萬人的，打包好的車輛緩存數據，只賣幾十萬，而且支持先隨機驗證，服務周到，免費包郵。
很多做模型的數據公司，源數據都是在黑市上買的，因為買權威數據實在太貴了，所以還是緩存便宜實惠。
而且做模型的公司，買數據還有一個好處，就是沒有痕跡。
業內模型公司最常見的玩法是，買來的數據存到一臺筆記本電腦中，然后在電腦里訓練模型，最后把訓練好的模型復制出來，電腦直接砸掉，連帶里面的數據一起物理毀滅。
死無對證。
等到后來，已經發展到模型公司和數據公司委托一些黑產去定向的目標公司那里喝咖啡，進行攻擊，價格開的很誘人。
例如做車貸的公司，就非常想要保險公司的車保數據，因為都是優質的客戶，可以直接給授信的那種。
例如做出行生意的公司，就非常想要競爭對手的司機信息，這些車主就是赤裸裸的運力。
有一段時間，整個黑市上飛滿了各種進攻的單子以及價格。
買家不知道是誰，但其實都知道是誰。
這些單子被黑產完成后，數據也被黑產們拿來賣，這些都是帶血的錢。
但所有參與者都樂在其中。
7
我自己從事過很久的反黑產工作，也曾和公安一同進入某些黑產的窩點，親眼見到過普通人的數據是如何被飛來飛去的，那些跳動的字節里，包含著一個人一生的愛恨情仇。
在我看來，打擊的黑產的關鍵，不在于技術升級。
不是說技術不重要，而是說技術在無法實現真正意義上的數據閉環的前提下，能起到的作用是十分有限的。
即使一家公司把自己的數據安全做到了極致，也架不住合作伙伴被攻擊，自己提供給伙伴的接口被濫用，這在整個世界范圍內，都是無解的。
而且實事求是的說，防守方對于進攻方而言，永遠是弱勢的。
就像守門員和前鋒單挑，你永遠不可能完全守住背后的大門，因為進攻方從什么角度攻擊你是未知的。
我認為，打擊黑產的關鍵，不僅僅在于監管大公司，更在于三個維度。
一是監管加大對于大數據公司的亂象監管，收攏所有數據源的一級供應商數量，限制二級供應商的數量
.jpg)
三是建立反數據黑產的人才制度，從各大安全公司的風控和技術里抽調出一批人，專門用于打擊黑產，這批人在數據層面起到的作用會非常大，他們配合警察，產生的效果是疊加的。
讓所有黑產和亂來的數據公司知道，販賣公民個人隱私（不管是買還是賣）必被抓，抓到必被重罰，甚至重點可以放在買家身上，一旦沒有了利益驅使，黑產也沒有動力去做這件事，這是一個更高維度的生態閉環。
就像為什么沒有黑客去進攻銀行一樣，不是銀行技術做的多么好，而是都知道，捅了銀行，等同于自殺。
反黑產的奧義，就在這里。
可喜的是，監管已經意識到了這一點，在往這一步推進了，2019年開始，國內越來越多的頂尖的黑客們都在配合監管參與反黑，抓出了一大批黑產和漏洞，數據黑市里很多ID都不再會亮起。
這條路還有很遠，但我們已在路上。
反黑之路，不由分說。
相關文章
-
-
仙人球花語象征與寓意你知多少？
仙人球即使處在惡劣的環境也能生存，渾身長滿的尖刺看似那樣的不可接近，但是它卻開出了那么美麗的花朵，那么仙人球的花語是什么？仙人球花語象征與寓意又是什么呢？...
2020-07-15 12:03:25 仙人球的花語仙人球的花語是什么仙人球花語象征與寓意 -
世界上最高的仙人掌，巨柱仙人掌最高能長到20米
仙人掌是一種非常耐旱且好養活的植物，一盆小巧可愛的仙人掌，能為你的桌面增添一片綠意。仙人掌品種很多，各種形態也不相同。你知道世界上最高的仙人掌嗎，巨柱仙人掌是可高達20米的超大仙人掌，這是一種非常特別的 ......
2020-07-14 22:56:32 仙人掌世界上 -
中國資金盤模式紛紛出海，國外鐮刀收割全球韭菜
“比特幣錢包”操盤手住宅被憤怒的投資者燒了，來源：南非媒體TimesLIVE文|一本財經，作者|棘輪、比薩自幣圈誕生之日起，騙局就如影隨形。近年來，國內幣圈、盤圈合流，各種幣圈資金盤項目開始以高額利益為誘餌，大肆收割韭菜。隨著時間的推移，人們發現，海外的資金盤操盤手們，也逐漸掌握了這些套路。他們開始為自己的項目包裝出獨特的“模式”，推出“0擼”玩法。他們也照搬中國玩法，租下豪華酒店開宣傳會，運營社...
2020-06-18 08:17:07 資金越南項目 -
怪你過分美麗朱迪晨誰演的 朱迪晨為什么叫仙人掌女孩
《怪你過分美麗》在昨晚已開播，作為女主莫向晚亦敵亦友的經紀人朱迪晨，是由來自江蘇揚州的95后女演員扮演，李牽，是一位新生代演員，在《怪你過分美麗》中飾演經紀人朱迪晨，朱迪晨為什么被稱...
2020-06-09 10:24:54 仙人掌什么叫 -
支付寶螞蟻莊園6月3日：什么動物吃仙人掌都不覺得扎嘴？玩轉支付寶螞蟻莊園最全攻略：讓你成為一個養雞高手！
今天是6月3日，支付寶的螞蟻莊園小課堂再次更新問題，今天的問題是現代安全帽的發明是受到了什么動物的啟發？和小雞寶寶考考你，什么動物吃仙人掌都不覺得扎嘴？[!--empirenews.page--]今天是6月3日，支付寶的螞蟻莊園小課堂再次更新問題，今天的問題是現代安全帽的發明是受到了什么動物的啟發？和小雞寶寶考考你，什么動物吃仙人掌都不覺得扎嘴？[!--empirenews.page--]今天是6月3日，支付寶的螞蟻莊園小課堂再次更新問題，今天的問題是現代安全帽的發明是受到了什么動物的...
2020-06-03 17:08:12 莊園螞蟻答案 -
半佛仙人：流量公益讓所有人變得勢均力敵
前一段時間一組照片在網上廣泛流傳：一個小女孩，在鹵菜店的案板下面上網課，上面是市井人間，下面是黑暗中一點點顯示器的光。網友們被這一幕深深的感動，一些人感慨著“上面是生活，下面是希望”，然后紛紛點點贊轉發。另一些人則為小女孩的境遇感到心痛：孩子只能蜷縮在那么小的地方，光線又暗，萬一視力受損怎么辦？好心人們迅速組織了捐款，要捐給小女孩，讓她可以換一個大一點的學習環境。這樣的事在互聯網上每天都在發生：曝光，吸引到很多關注，然后得到和流量對應的金錢，就這樣改變命運。萬萬沒想到，小女孩的母親卻拒絕了捐款，聲明自己一...
2020-05-26 22:17:29 自己的公益貧困地區半佛仙人 -
什么動物吃仙人掌不覺得扎嘴？駱駝還是非洲鴕鳥？螞蟻莊園今日答案5月25日答題匯總
螞蟻莊園莊園小課堂2020年5月25日的問題是：什么動物吃仙人掌都不覺得扎嘴和夏天給狗狗剃光毛有助于讓狗狗降溫嗎。[!--empirenews.page--]螞蟻莊園莊園小課堂2020年5月25日的問題是：什么動物吃仙人掌都不覺得扎嘴和夏天給狗狗剃光毛有助于讓狗狗降溫嗎。[!--empirenews.page--]螞蟻莊園莊園小課堂2020年5月25日的問題是：什么動物吃仙人掌都不覺得扎嘴和夏天給狗狗剃光毛有助于讓狗狗降溫嗎。[!--empirenews.page--]螞蟻莊...
2020-05-25 16:19:38 莊園仙人掌毛發 -
非洲鴕鳥還是駱駝吃仙人掌都不覺得扎嘴？螞蟻莊園5月25日答題答案 2020小雞寶寶答案匯總
2020年5月25日螞蟻莊園小課堂的答案是什么呢?小雞寶寶考考你2020年5月25日的問題是【什么動物吃仙人掌都不覺得扎嘴】和【小雞寶寶考考你，夏天給狗狗剃光毛，有助于讓狗狗降溫嗎】。[!--empirenews.page--]2020年5月25日螞蟻莊園小課堂的答案是什么呢?小雞寶寶考考你2020年5月25日的問題是【什么動物吃仙人掌都不覺得扎嘴】和【小雞寶寶考考你，夏天給狗狗剃光毛，有助于讓狗狗降溫嗎】。[!--empirenews.page--]2020年5月25日螞蟻莊園小課堂...
2020-05-25 16:19:12 狗狗仙人掌駱駝 -
螞蟻莊園5月25日答案 什么動物吃仙人掌都不覺得扎嘴？支付寶螞蟻莊園今日題目答案
螞蟻莊園莊園小課堂2020年5月25日的問題是：什么動物吃仙人掌都不覺得扎嘴和夏天給狗狗剃光毛有助于讓狗狗降溫嗎。...
2020-05-25 12:27:18 仙人掌莊園答案
| 留言與評論（共有 0 條評論） |
