這是半佛仙人的第99篇原創(chuàng )
0
今天，一個(gè)時(shí)隔一年的國內“史上最大規模的數據竊取案”有了新的進(jìn)展。
2018年8月，阿里安全協(xié)助警方偵破了該案件，事涉7名被告人及一家上市公司瑞智華勝，他們通過(guò)競標的方式，先后與全國多地的電信、移動(dòng)、聯(lián)通、鐵通、廣電等運營(yíng)商簽訂營(yíng)銷(xiāo)廣告系統服務(wù)合同，為運營(yíng)商提供廣告投放系統的開(kāi)發(fā)、維護，進(jìn)而拿到了運營(yíng)商服務(wù)器的遠程登錄權限。
拿到權限后，他們把自己編寫(xiě)的腳本程序植入后臺，當用戶(hù)流量經(jīng)過(guò)運營(yíng)商服務(wù)器時(shí)，他們可以拿到這些數據，然后就是數據清洗，導出，整理，販賣(mài)。
由于腳本直接植入在互聯(lián)網(wǎng)運營(yíng)商的底層，所有使用服務(wù)的互聯(lián)網(wǎng)公司的用戶(hù)數據也未能幸免，全國共有96家互聯(lián)網(wǎng)公司的用戶(hù)數據被竊取，基本涵蓋大部分大型互聯(lián)網(wǎng)公司。
這些數據被用來(lái)在網(wǎng)絡(luò )領(lǐng)域刷贊刷流量，當初微博大量用戶(hù)反饋自己在毫無(wú)感知的情況下給一些不認識的賬戶(hù)點(diǎn)贊，就源自賬戶(hù)數據被人異地登錄操作。
這起案件的背后，是無(wú)數黑產(chǎn)的黑色生意在肆意流轉。
1
我們人類(lèi)是活在地球上的嗎？
是，也不完全是。
在大數據年代，我們每個(gè)人其實(shí)都是活在地球上的硬盤(pán)里的。
這個(gè)硬盤(pán)非常廣闊，如瀏覽器，APP，手機，電子設備，信用卡等你與外界相連的信息，以及你身邊人的信息，都在里面會(huì )被關(guān)系網(wǎng)絡(luò )串聯(lián)在一起。
有一個(gè)很流行的六度關(guān)系理論說(shuō)只要通過(guò)6個(gè)中間人，你就能找到這個(gè)世界上的任何一個(gè)人。
從這個(gè)角度說(shuō)，數據化時(shí)代，硬盤(pán)里的我們都是一家人。
硬盤(pán)為我們創(chuàng )造了前所未有的生活便利，同時(shí)內中也暗藏著(zhù)一定風(fēng)險。
有光必有影，光影必相依。
風(fēng)險制造者往往是試圖從中牟利的數據黑灰產(chǎn)團伙，他們盜取數據、濫用數據等作惡行為，不僅損害了數據產(chǎn)生者和用戶(hù)利益，更為重要的是還嚴重擾亂了整個(gè)數據產(chǎn)業(yè)的正常秩序，也抹黑了整個(gè)產(chǎn)業(yè)名聲。
他們違法成本極低，因其有不易被發(fā)現，且取證難、執法難等特征，一旦發(fā)生數據泄漏事件，通常是受害方為其“背鍋”。
通常這種情況，整治處罰的不是數據作惡者。他們依舊會(huì )死灰復燃甚至繼續逍遙法外，給行業(yè)深埋著(zhù)更大的風(fēng)險“炸彈”。
今天這篇文章，我想簡(jiǎn)單談?wù)劥髷祿诋a(chǎn)的現狀。
以及數據化之后我們在風(fēng)中飄揚的人生。
2
世界范圍內，上周數據安全圈子最大的事件是，美國CapitalOne有近1億條客戶(hù)數據泄露并被上傳至GitHub中近3個(gè)月，這些數據包含近億美國用戶(hù)的個(gè)人信息，社會(huì )安全號碼以及銀行賬號。
CapitalOne在美國的地位大概相當于招商銀行在國內的地位，屬于為用戶(hù)提供一站式金融服務(wù)的國民級零售銀行。
CapitalOne最出名的業(yè)務(wù)是信貸風(fēng)控，國內互金繁榮的時(shí)候，非常多的互金高管都是從CapitalOne中歷練出來(lái)的，可以說(shuō)是世界高利貸界的黃埔軍校。
GitHub，現在屬于微軟，雖然表面上是一個(gè)論壇，但在全世界程序員的心中有著(zhù)不可替代的作用，每一個(gè)程序員都會(huì )在GitHub中與全世界的同行交流，用代碼來(lái)證明自己，大概相當于程序員中的微博+微信。
這起事件的嚴重程度，大概相當于招商銀行的用戶(hù)數據被人挖出來(lái)打包放在了微博上供人隨意下載了3個(gè)月，不知道多少黑產(chǎn)笑的嘴都歪了。
2019年8月3號，美國已經(jīng)有律師事務(wù)所對這兩家公司提起了集體訴訟，這是非常嚴重的事件。
而這1億美國人的信息暴露后，如果沒(méi)有及時(shí)止損報備，等待他們的將是無(wú)止境的信息盜用，信用卡盜刷，異常網(wǎng)站注冊，洗錢(qián)空殼，甚至高利貸纏身。
他們的人生中，將面臨著(zhù)無(wú)數已知未知的危險。
這種事情會(huì )發(fā)生在他們身上，也一樣會(huì )發(fā)生在我們身上。
而且在你們不知道的黑暗中，已經(jīng)發(fā)生了無(wú)數次了。
你收到的每一個(gè)騷擾信息，每一通詐騙電話(huà)，每一個(gè)垃圾廣告，背后都有黑產(chǎn)的功勞。
黑產(chǎn)無(wú)國界，利益無(wú)國界。
3
很多讀者經(jīng)常問(wèn)我說(shuō)，是不是國內的大公司們都在縱容著(zhù)數據黑產(chǎn)，甚至是刻意的去拿用戶(hù)的數據賣(mài)給黑產(chǎn)？
我得承認，這是很多人潛意識的想法，認為大公司就必然是邪惡的，是天天想著(zhù)怎么坑人害人的。
但實(shí)際上不是，倒不是因為大公司都是正義的人，商業(yè)上沒(méi)有正義可言。
主要是因為算賬算不過(guò)來(lái)。
每一家公司，其核心的訴求只有一點(diǎn)，賺錢(qián)。
再細一點(diǎn)，合理合法賺到可持續的錢(qián)。
越是大的公司，對于合理合法可持續，就越為重視。
當數據泄露后，不說(shuō)競爭對手拿到的打擊，但就輿論和法律方面的打擊，對于任何一家大公司都是難以承受的后果，這不是賣(mài)數據那幾個(gè)小錢(qián)可以挽回的，大家都非常聰明。
CapitalOne和GitHUB這次面臨的危機如果處理不好，面臨的可能是滅頂之災。
沒(méi)有一家大公司不重視自己的數據問(wèn)題，因為出了問(wèn)題，不說(shuō)用戶(hù)和法律，監管第一個(gè)不會(huì )饒了他們，數據底線(xiàn)不容踐踏。
相信我，數據出問(wèn)題后，大公司要比我們更為慌張，他們慌張自己是不是還有機會(huì )繼續賺錢(qián)。
隨著(zhù)國內法律的進(jìn)一步完善，監管的進(jìn)一步趨嚴，數據風(fēng)險對于公司的影響也將越來(lái)越大。
4
問(wèn)題來(lái)了，數據是怎么泄露的？
攻擊運營(yíng)商這樣的操作非常簡(jiǎn)單，但是很容易暴露，2018年8月后，就很少有不開(kāi)眼的人亂來(lái)了。
那么為什么我們的隱私還是飄來(lái)蕩去？是誰(shuí)干的？
接下來(lái)，我要開(kāi)始常規得罪利益方了。
當前國內所有黑市上的數據，主要來(lái)源有2種，黑產(chǎn)入侵和一些大數據公司的緩存。
先說(shuō)黑產(chǎn)的技術(shù)或者社工（社會(huì )工程學(xué)）入侵。
一個(gè)很經(jīng)典的案例，國內某以企業(yè)信息查詢(xún)著(zhù)名的公司，其數據庫中所有的數據，近期被全被抓出，拿在黑市上賣(mài)，20W一份，會(huì )砍價(jià)的話(huà)可以砍到10W元成交，這份數據包含目前所有公開(kāi)公司信息以及年報，是其業(yè)務(wù)的核心資產(chǎn)。
黑產(chǎn)是怎么拿到這些數據的？
不是你們想的神奇的傳說(shuō)中的黑客攻防以及各種電視劇里的攻擊大戰，現實(shí)沒(méi)有那么多神奇的東西，簡(jiǎn)單到你不信。
走到公司樓下的咖啡廳，用腳本工具破解公司W(wǎng)IFI，進(jìn)入內網(wǎng)，進(jìn)一步抓到管理員的賬號密碼，然后直接拖庫。
這種都屬于稍微有一點(diǎn)點(diǎn)技術(shù)含量（其實(shí)也不高，腳本都有各種現成的）的進(jìn)攻。
更簡(jiǎn)單一些的進(jìn)攻是，例如想要拿到大量用戶(hù)的身份地址信息，有人直接物理進(jìn)攻快遞公司的倉庫，趁人不注意的時(shí)候一個(gè)U盤(pán)插到電腦上（很多偏遠地區的加盟快遞，是沒(méi)有嚴格使用加密機器的，我在幫某公司Review風(fēng)險的時(shí)候，曾經(jīng)指出過(guò)這類(lèi)風(fēng)險），然后就拿到了各大電商拼了命保護的數據，還都是脫敏的明文數據。
很多大公司很無(wú)奈的是，自己做的再完美，也架不住生態(tài)伙伴和合作公司豬隊友，現在的黑產(chǎn)們都是要錢(qián)，攻擊大公司很麻煩還容易被反追蹤，不如攻擊大公司的合作伙伴。
只要攻破一個(gè)能夠調用的接口，就是源源不斷的數據資產(chǎn)。
5
如果說(shuō)黑產(chǎn)攻擊，算是情理之中的一件事情（他們不干這個(gè)就奇怪了）。
那么真正在威脅我們每一個(gè)人數據安全的，其實(shí)是市面上的各路所謂大數據公司，就是被追捧的那堆所謂數據科技獨角獸們。
很多所謂的大數據公司，本身不產(chǎn)生數據源（例如車(chē)輛數據都在車(chē)管所，學(xué)歷數據都在學(xué)信網(wǎng)，手機號信息都在運營(yíng)商），也不具備數據應用場(chǎng)景（他們自身不做互聯(lián)網(wǎng)業(yè)務(wù)，數據拿來(lái)沒(méi)用），做的很多事情，本質(zhì)上就是數據二道販子。
典型的就是在車(chē)管所把車(chē)輛數據接出來(lái)，然后賣(mài)給車(chē)險公司或者車(chē)貸公司，做個(gè)中間商賺差價(jià)。
很多對外吹得天花亂墜的數據公司，本質(zhì)上就是各類(lèi)數據的二道販子，無(wú)非是兩頭的角色不同，今天是車(chē)管所賣(mài)給車(chē)貸，明天是車(chē)貸賣(mài)給保險公司。
但是二道販子，也有一顆想暴富的心，靠主營(yíng)業(yè)務(wù)不能實(shí)現的話(huà)，就動(dòng)起了歪腦子。
二道販子們每天經(jīng)手這么多數據，很多公司會(huì )悄悄把這些數據緩存下來(lái)（注意，這個(gè)是明確違法的，法律不允許中間商緩存數據），然后把緩存下來(lái)的數據提供給客戶(hù)。
舉個(gè)例子，假如我是數據公司A，我是賣(mài)征信數據的，數據一頭是權威機構，數據另一頭是各種貸款公司BCDE。
一個(gè)貸款客戶(hù)小張，在B貸款公司申請了一筆貸款，B公司通過(guò)數據公司A來(lái)調用征信，A會(huì )把小張的數據給B的同時(shí)，也把小張的數據存了下來(lái)。
如果小張又去了C公司借款，C公司恰巧也是A公司的客戶(hù)，找A調用征信，則A不需要再花錢(qián)從權威機構買(mǎi)了，直接把緩存的數據復制一份提供給C就可以了，成本為0。
這種利用緩存牟利的行為，在當前的大數據公司中非常普遍，畢竟作為數據通道，如果沒(méi)有作緩存的話(huà)，只靠那點(diǎn)點(diǎn)差價(jià)，可能到后面連數據都買(mǎi)不起了，畢竟權威數據源往往都要求代理商高額的預充值。
花1份錢(qián)，賣(mài)多份數據，這是很多大數據公司的生存之道。
6
當黑產(chǎn)們與這些大數據公司遇到一起的時(shí)候，奇妙的化學(xué)反應就產(chǎn)生了。
由于市面上的大數據公司太多了，數據總有更便宜的，便宜到惡性競爭的地步，而投資人也不相信很多大數據公司所謂的數據驅動(dòng)未來(lái)的鬼話(huà)了，這個(gè)行業(yè)的非頭部公司已經(jīng)越來(lái)越混不下去了。
所以有的數據公司在準備跑路前，干脆一不做二不休，直接把數據就賣(mài)了。
賣(mài)這些數據，需要黑產(chǎn)幫忙上黑市，傻乎乎直接明著(zhù)賣(mài)的后果，是進(jìn)監獄。
2017年6月，某知名上市大數據公司，就因為賣(mài)緩存賣(mài)的過(guò)于赤裸裸，好幾個(gè)高管現在還在里面開(kāi)心的撿肥皂。
即使下定決心賣(mài)，也要找個(gè)合適的場(chǎng)所賣(mài)，所以黑市，就是很好的選擇。
其實(shí)也不只是在黑市上賣(mài)數據，更多時(shí)候，很多大數據公司在黑市上買(mǎi)數據，幾百萬(wàn)人的，打包好的車(chē)輛緩存數據，只賣(mài)幾十萬(wàn)，而且支持先隨機驗證，服務(wù)周到，免費包郵。
很多做模型的數據公司，源數據都是在黑市上買(mǎi)的，因為買(mǎi)權威數據實(shí)在太貴了，所以還是緩存便宜實(shí)惠。
而且做模型的公司，買(mǎi)數據還有一個(gè)好處，就是沒(méi)有痕跡。
業(yè)內模型公司最常見(jiàn)的玩法是，買(mǎi)來(lái)的數據存到一臺筆記本電腦中，然后在電腦里訓練模型，最后把訓練好的模型復制出來(lái)，電腦直接砸掉，連帶里面的數據一起物理毀滅。
死無(wú)對證。
等到后來(lái)，已經(jīng)發(fā)展到模型公司和數據公司委托一些黑產(chǎn)去定向的目標公司那里喝咖啡，進(jìn)行攻擊，價(jià)格開(kāi)的很誘人。
例如做車(chē)貸的公司，就非常想要保險公司的車(chē)保數據，因為都是優(yōu)質(zhì)的客戶(hù)，可以直接給授信的那種。
例如做出行生意的公司，就非常想要競爭對手的司機信息，這些車(chē)主就是赤裸裸的運力。
有一段時(shí)間，整個(gè)黑市上飛滿(mǎn)了各種進(jìn)攻的單子以及價(jià)格。
買(mǎi)家不知道是誰(shuí)，但其實(shí)都知道是誰(shuí)。
這些單子被黑產(chǎn)完成后，數據也被黑產(chǎn)們拿來(lái)賣(mài)，這些都是帶血的錢(qián)。
但所有參與者都樂(lè )在其中。
7
我自己從事過(guò)很久的反黑產(chǎn)工作，也曾和公安一同進(jìn)入某些黑產(chǎn)的窩點(diǎn)，親眼見(jiàn)到過(guò)普通人的數據是如何被飛來(lái)飛去的，那些跳動(dòng)的字節里，包含著(zhù)一個(gè)人一生的愛(ài)恨情仇。
在我看來(lái)，打擊的黑產(chǎn)的關(guān)鍵，不在于技術(shù)升級。
不是說(shuō)技術(shù)不重要，而是說(shuō)技術(shù)在無(wú)法實(shí)現真正意義上的數據閉環(huán)的前提下，能起到的作用是十分有限的。
即使一家公司把自己的數據安全做到了極致，也架不住合作伙伴被攻擊，自己提供給伙伴的接口被濫用，這在整個(gè)世界范圍內，都是無(wú)解的。
而且實(shí)事求是的說(shuō)，防守方對于進(jìn)攻方而言，永遠是弱勢的。
就像守門(mén)員和前鋒單挑，你永遠不可能完全守住背后的大門(mén)，因為進(jìn)攻方從什么角度攻擊你是未知的。
我認為，打擊黑產(chǎn)的關(guān)鍵，不僅僅在于監管大公司，更在于三個(gè)維度。
一是監管加大對于大數據公司的亂象監管，收攏所有數據源的一級供應商數量，限制二級供應商的數量，并且對于出庫的數據，打上特定的標識，讓泄露在黑市上的數據都能找到源頭。
二是加大對于數據犯罪的懲罰力度，雖然現在已經(jīng)是可以判刑了，但是懲罰力度還沒(méi)有真正達到讓人恐懼的地步，要讓侵犯數據隱私的人和公司意識到，只要涉及隱私，投入產(chǎn)出比是1比黑洞。
三是建立反數據黑產(chǎn)的人才制度，從各大安全公司的風(fēng)控和技術(shù)里抽調出一批人，專(zhuān)門(mén)用于打擊黑產(chǎn)，這批人在數據層面起到的作用會(huì )非常大，他們配合警察，產(chǎn)生的效果是疊加的。
讓所有黑產(chǎn)和亂來(lái)的數據公司知道，販賣(mài)公民個(gè)人隱私（不管是買(mǎi)還是賣(mài)）必被抓，抓到必被重罰，甚至重點(diǎn)可以放在買(mǎi)家身上，一旦沒(méi)有了利益驅使，黑產(chǎn)也沒(méi)有動(dòng)力去做這件事，這是一個(gè)更高維度的生態(tài)閉環(huán)。
就像為什么沒(méi)有黑客去進(jìn)攻銀行一樣，不是銀行技術(shù)做的多么好，而是都知道，捅了銀行，等同于自殺。
反黑產(chǎn)的奧義，就在這里。
可喜的是，監管已經(jīng)意識到了這一點(diǎn)，在往這一步推進(jìn)了，2019年開(kāi)始，國內越來(lái)越多的頂尖的黑客們都在配合監管參與反黑，抓出了一大批黑產(chǎn)和漏洞，數據黑市里很多ID都不再會(huì )亮起。
這條路還有很遠，但我們已在路上。
反黑之路，不由分說(shuō)。
聯(lián)系客服
