從盲騙到“精準(zhǔn)”詐騙

靖力

相較于以往的“盲騙”，精準(zhǔn)詐騙的最大特征便是掌握了目標(biāo)對象的大量個人信息，詐騙劇本都是契合詐騙對象設(shè)定的

日前，一段視頻在網(wǎng)上迅速走紅，視頻記錄了某高校一名教授在“新生防騙培訓(xùn)”上講課的片段：“中國四大表演院校知道嗎？北影、中戲、上戲、南未。南未就是南方口音未知號碼騙子學(xué)院?！睂W(xué)生嘩然。教授又說：“你們也許會說，老師你講防騙沒用，我連大學(xué)都考上了，騙子小學(xué)都沒畢業(yè)，能騙得了我嗎？你要這么想，就離上新聞不遠(yuǎn)了?！?/p>

一段時間以來，各類政府工作計劃里、各地學(xué)術(shù)研討會議上、各家閑談議論中，“精準(zhǔn)詐騙”成為高頻詞匯，反復(fù)被討論著。

引發(fā)各界對“精準(zhǔn)詐騙”強烈關(guān)注的重要節(jié)點是山東徐玉玉案的曝光。8月21日，山東省臨沂市羅莊區(qū)女孩徐玉玉被詐騙電話騙走上大學(xué)的全部學(xué)費后，難過不已，導(dǎo)致心臟驟停離世。事件揭開了“精準(zhǔn)詐騙”的冰山一角：山東警方將詐騙徐玉玉的犯罪團(tuán)伙抓捕歸案后發(fā)現(xiàn)，正是因為徐玉玉申請助學(xué)金的信息被泄露，詐騙團(tuán)伙才得以知道徐玉玉的姓名、住址和學(xué)校，因此徐玉玉才完全相信了對方的虛假身份，進(jìn)而被騙。

無獨有偶，8月下旬，清華大學(xué)一名教授被騙走1760萬元。據(jù)悉，這名教授當(dāng)天上午剛剛賣了一套房子，房款剛剛到賬，回家就接到詐騙電話，稱其在買賣房產(chǎn)過程中漏繳稅款。詐騙團(tuán)伙甚至說出了該教授賣房網(wǎng)簽合同的編號，這些信息讓該教授相信了對方。

在眾多的電信網(wǎng)絡(luò)詐騙犯罪中，“精準(zhǔn)”詐騙被視為成功率最高、最令人無法防范的詐騙犯罪。360首席反詐騙專家裴智勇將“精準(zhǔn)詐騙”定義為通過深入利用用戶個人信息實施的詐騙。這類以掌握準(zhǔn)確的個人信息為基礎(chǔ)、編織合乎目標(biāo)對象的情節(jié)的騙術(shù)讓人防不勝防?！皬倪^去的‘盲騙，到現(xiàn)在的‘精準(zhǔn)詐騙，詐騙成功率越來越高，也越來越令人難以防范?！?/p>

一騙一個準(zhǔn)的“精準(zhǔn)”詐騙

從8月下旬至今，徐玉玉案引發(fā)的持續(xù)喧囂仍未停歇。中央以及各地政府持續(xù)開展著嚴(yán)打電信詐騙的行動，揭開了電信詐騙手法變遷的新趨勢。

10月17日，公安部召開打擊電信網(wǎng)絡(luò)詐騙犯罪電視電話會議，據(jù)了解，今年1月到9月，全國共破獲電信網(wǎng)絡(luò)詐騙案件7.7萬起，查處違法犯罪人員4.3萬名，打掉各類詐騙團(tuán)伙6200余個，搗毀詐騙窩點6900余個。

裴智勇表示，這種詐騙與前些年流行的“盲騙”不同的是，“盲騙”并不掌握或者少量掌握目標(biāo)對象的個人信息，僅用某種固定的騙局進(jìn)行“廣撒網(wǎng)”式的詐騙，某個目標(biāo)對象恰好契合騙局的設(shè)定，便容易被騙，而對于多數(shù)人，“盲騙”起不到任何作用；而“精準(zhǔn)詐騙”則是充分掌握了目標(biāo)對象的個人信息，根據(jù)個人信息擬定騙局進(jìn)行詐騙，幾乎所有目標(biāo)對象都是契合騙局設(shè)定的，這種方式的詐騙效率很高。

“盲騙”的效率有多低？10月11日，河南省博愛縣法院公開判決了一起詐騙案，兩名江西籍被告人利用偽基站設(shè)備群發(fā)詐騙短信，從3月6日開始，開車從福建到甘肅，又從甘肅到陜西、河南，耗時半年前后共計發(fā)送詐騙短信48.8萬條，直至被警方抓獲，沒有一個人受騙。

而“精準(zhǔn)”詐騙的成功率就高多了。僅在徐玉玉案被曝光的不到一周的時間里，臨沂市便又有兩起性質(zhì)相同的大學(xué)生被騙案被報道，其中一名臨沭縣的大二學(xué)生宋振寧也與徐玉玉一樣心臟驟停，不幸離世。宋振寧接到的電話是來自“公安”的，稱其銀行卡被人透支了6萬多元。一開始宋振寧還有點懷疑，但隨后對方說出了他的銀行卡信息和身份信息，最終給對方匯去了2000元。另一名被騙大一女生則先后接到“快遞公司”、“銀行客服”、“公安局辦案人員”的電話，稱其涉嫌洗錢，需要往指定賬戶匯款證明收入來源合法，還準(zhǔn)確說出了她的身份證號碼、銀行賬戶等個人信息，最終被騙。

連以互聯(lián)網(wǎng)安全見長的互聯(lián)網(wǎng)公司大佬們也未能幸免。9月20日，360公司董事長周鴻祎在2016網(wǎng)絡(luò)安全技術(shù)高峰論壇上也表示，自己曾經(jīng)收到過精準(zhǔn)詐騙的短信，例如“周鴻祎這是你孩子的成績單”，并加上一個鏈接，或者“周鴻祎這是我們一塊出去玩的照片，請看一看”等。

信息泄露：一靠內(nèi)鬼 二靠黑客

精準(zhǔn)詐騙的猖獗，使人們將目光投向了個人信息的保護(hù)問題上。裴智勇認(rèn)為，個人信息的大量泄露，是精準(zhǔn)詐騙得以成功的基礎(chǔ)。而個人信息的源頭，則是國家機關(guān)或者金融、電信、交通、教育、醫(yī)療等單位的相關(guān)崗位。

“一些組織和個人，違反職業(yè)道德和保密義務(wù)，將這些消費者信息數(shù)據(jù)竊取后出售牟利?！苯K省南京市玄武區(qū)檢察院偵監(jiān)科科長周穎表示，在警方查獲的個人信息泄露源頭中，有電信公司、快遞公司、銀行等企業(yè)工作人員，也有醫(yī)院、學(xué)校、工商部門人員。

10月初，北京市豐臺區(qū)法院公布了一起中國聯(lián)通公司員工肖某利用工作便利，非法獲取并出賣公民個人信息的案件，涉案個人信息多達(dá)12.9萬條。肖某在聯(lián)通公司負(fù)責(zé)數(shù)據(jù)挖掘方面的工作，有機會接觸到大量用戶的個人信息。通過網(wǎng)絡(luò)，肖某將包含姓名、手機號碼、家庭住址、身份證號碼在內(nèi)的個人信息共12.9萬條賣給別人，同時還有“裸號”，即只有姓名和電話號碼的個人信息十萬余條，也賣給了別人，獲利近10萬元。

一般來說，能夠掌握大量個人信息的相關(guān)崗位在招聘時，都會與員工簽訂保密協(xié)議，協(xié)議中也會明確寫明信息泄露的違法犯罪后果，但在巨大的經(jīng)濟利益的誘惑下，許多員工仍然會選擇鋌而走險。

10月16日，四川省綿陽市警方破獲了一起公安部掛牌督辦的“5·26侵犯公民個人信息案”，案件中，竟然還有一名銀行行長參與了個人信息交易。5月下旬，綿陽市警方發(fā)現(xiàn)有人在網(wǎng)上非法獲取公民個人征信報告，并出賣牟利。調(diào)查后發(fā)現(xiàn)，犯罪嫌疑人鄧某以每條信息80元至200元不等的價格販賣公民個人征信信息，但他只是一名中間商。隨后，鄧某的上家胡某、吳某等人也被警方抓獲。警方繼續(xù)追查，發(fā)現(xiàn)信息泄露的源頭在銀行內(nèi)部，有人將銀行征信系統(tǒng)的查詢賬號以8萬元的價格對外出售。7月，警方查明源頭后，將出售查詢賬號的湖南省邵陽市某縣農(nóng)商銀行一支行行長夏某抓獲。

除了靠內(nèi)鬼買個人資料，通過技術(shù)手段竊取個人信息也是詐騙收購信息的一大源頭。

一名不愿意透露姓名的烏云網(wǎng)網(wǎng)絡(luò)安全專家告訴記者，從平臺上近幾年發(fā)布的各種漏洞信息來看，只要你在使用電腦和手機，個人信息的泄露幾乎不可避免?！靶畔⑿孤侗容^嚴(yán)重的，包括金融、保險、房地產(chǎn)企業(yè)的系統(tǒng)后臺，還有許多實名注冊的購物、交友網(wǎng)站。一些網(wǎng)站站源代碼泄露，黑客便能夠直接訪問數(shù)據(jù)庫，想要什么樣的數(shù)據(jù)可以直接揀??；還有一些存在命令執(zhí)行漏洞，也可能泄露大量個人信息；此外，還有通過木馬植入等方法破壞保密系統(tǒng)，竊取個人信息的?！边@名網(wǎng)絡(luò)安全專家告訴記者。

裴智勇接受記者采訪時表示，網(wǎng)絡(luò)漏洞是不可避免的，安全修復(fù)只能大大降低漏洞發(fā)生的幾率，但漏洞一直都會在?！暗菗?jù)我們統(tǒng)計，95%以上的網(wǎng)站一年以上都不進(jìn)行修復(fù)。”裴智勇認(rèn)為，國內(nèi)許多企業(yè)仍然缺乏對網(wǎng)絡(luò)安全運營的重視。而就目前的立法來看，法律只規(guī)定了非法出售、非法獲取個人信息的懲處，對于“不盡職”的企業(yè)并沒有相關(guān)規(guī)制，例如對網(wǎng)站的修復(fù)周期并沒有明確規(guī)定。這些情況使得企業(yè)有一種心理，一旦個人信息泄露被用于詐騙，也并非自己直接損害用戶，用戶也無法取證狀告網(wǎng)站或進(jìn)行理賠。

7月中旬，票務(wù)網(wǎng)站大麥網(wǎng)遭“撞庫”事件引起了許多人的關(guān)注。大麥網(wǎng)遭“撞庫”后，部分用戶個人信息被竊取，導(dǎo)致全國多地39名用戶被騙，損失金額達(dá)147.42萬元，單人受騙金額最高近10萬元。

有受騙者稱，她先是接到大麥網(wǎng)客服號碼打來的電話，對方稱由于誤操作，不慎給她的賬戶升級了VIP，如果不取消，當(dāng)晚就會從銀行卡中扣款。隨后該“客服”準(zhǔn)確說出了她的身份證號碼、手機號碼、所購演出票的信息等，打消了她的疑慮，最終被騙數(shù)千元。

精準(zhǔn)詐騙利益鏈

10月初，重慶市巴南區(qū)警方部署行動，千里迢迢從北京將一名涉嫌侵犯公民個人信息罪的網(wǎng)站負(fù)責(zé)人梅家棟抓獲歸案。據(jù)巴南區(qū)檢察院偵監(jiān)科檢察官唐佩玉介紹，該案涉及個人信息買賣的至少5個層級，涉案嫌疑人多達(dá)53人。

該案的核心人物李詩是一名買賣個人信息的二道販子，他從上家陸海龍、魯飛等人手中購買個人信息，絕大多數(shù)轉(zhuǎn)賣給了最末端的銷售員，也有少部分賣給其他二道販子繼續(xù)流轉(zhuǎn)。而魯飛的個人信息都來源于梅家棟開辦的“酷我信息網(wǎng)”。梅家棟在“酷我信息網(wǎng)”中設(shè)計了一套信息流轉(zhuǎn)的規(guī)矩：網(wǎng)友通過購買網(wǎng)站虛擬貨幣“巴豆”來支付下載信息的費用，發(fā)布信息可以獲得“巴豆”，每一次交易，梅家棟要提成10%的“巴豆”作為服務(wù)費。

接受記者采訪時，李詩坦白，個人信息按詳細(xì)與否、嶄新與否價格不一，最貴的能賣到幾元一條，最便宜的一分不到，一手信息最貴，而2010年以前的信息一般就只能捆綁當(dāng)添頭了。QQ群、微信群，目前是個人信息最主要的交易市場。李詩坦白，誰需要哪個行業(yè)、哪個地域的個人信息，只需要在群里吼一嗓子，自然有人搭腔，隨后便轉(zhuǎn)入私聊，完成交易。

在個人信息的黑市里，那些關(guān)乎每個人隱私的個人信息，就像流水線上出來的產(chǎn)品，通過層層轉(zhuǎn)手，最后落到銷售人員手中，落到詐騙人員手中。

個人信息流轉(zhuǎn)到詐騙團(tuán)伙手中，是信息泄露最為嚴(yán)重的后果之一。比如在徐玉玉案等精準(zhǔn)詐騙的案件中，個人信息的泄露成了詐騙團(tuán)伙成功施騙的關(guān)鍵。徐玉玉案中，犯罪嫌疑人杜天禹竊取、售賣個人信息，鄭賢聰負(fù)責(zé)扮演教育局工作人員，陳文輝則負(fù)責(zé)冒充財政局工作人員，鄭金峰負(fù)責(zé)提取詐騙款。整個流程一氣呵成。

“一條條信息的泄露，一道道防線的失守，一次比一次更嚴(yán)重的傷害，整個社會都在追問：是誰讓騙子可以按圖索驥，實現(xiàn)精準(zhǔn)詐騙？”信息管理專家、《數(shù)據(jù)之巔》作者涂子沛撰文感嘆。

雖然有大量個人信息的助推，但詐騙團(tuán)伙自身的精細(xì)化、專業(yè)化發(fā)展也是防詐騙越來越難的原因。

比如湖州市吳興區(qū)檢察院查辦的7起電信詐騙案件中。有負(fù)責(zé)整個犯罪團(tuán)伙的運作、購買客戶資料和詐騙技巧、統(tǒng)計業(yè)績的團(tuán)伙頭目。還有客服對購買的客戶資料進(jìn)行分類，將“潛在客戶”分流至業(yè)務(wù)組，業(yè)務(wù)員則負(fù)責(zé)具體打電話進(jìn)行詐騙。還有審單人員負(fù)責(zé)核對快遞單號，與被害人確認(rèn)收貨地址和聯(lián)系方式，通過快遞物流公司和“關(guān)聯(lián)賬戶”將詐騙款流入自己賬戶。

個人信息立法是防騙關(guān)鍵

采訪中，許多專家不約而同地表示，相較于以往的“盲騙”，精準(zhǔn)詐騙的最大特征便是掌握了目標(biāo)對象的大量個人信息。

北京大學(xué)電子商務(wù)法律發(fā)展研究基地主任、法學(xué)教授劉凱湘表示，需從立法上認(rèn)可“個人數(shù)據(jù)信息權(quán)”，保護(hù)公民的人格權(quán)，才能有效保護(hù)公共利益。

中國人民大學(xué)副校長、法學(xué)院教授王利明也表示，當(dāng)務(wù)之急是應(yīng)當(dāng)在正在制定的民法典中明確規(guī)定個人信息權(quán)，任何人不得非法獲取個人信息，更不得非法出售或者提供個人信息，對信息泄露者應(yīng)當(dāng)視其情節(jié)輕重，追究其法律責(zé)任。王利明建議，應(yīng)當(dāng)以個人信息權(quán)為基礎(chǔ)，應(yīng)當(dāng)制定專門的個人信息保護(hù)法，解決個人信息保護(hù)的多個問題。

“不是所有的個人和機構(gòu)都可以收集個人信息，特別是大規(guī)模地收集個人信息。任何機關(guān)和個人在收集他人個人信息時，都應(yīng)當(dāng)遵循合法性原則，保證收集的主體和手段必須合法。同時，個人信息收集必須要符合特定目的，例如，銀行收集的個人信息只能限于銀行內(nèi)部使用，房屋中介收集的個人信息只應(yīng)在交易過程中收集，交易后應(yīng)當(dāng)銷毀，而不能在此目的之外使用相關(guān)信息?！蓖趵鞅硎尽?/p>

此外，王利明認(rèn)為，還應(yīng)當(dāng)保證個人信息所有人的知情同意原則，對一些重要信息的收集，特別是關(guān)系個人核心隱私信息的收集，必須取得本人的同意，并且應(yīng)當(dāng)向被收集者告知信息的收集目的、用途和使用期限等。同時，應(yīng)當(dāng)明確個人信息收集的范圍以及個人信息收集后的妥善保管責(zé)任。在個人信息的查詢規(guī)則方面，一旦有關(guān)機關(guān)收集個人信息后，并不意味著任何人都有權(quán)查詢，因為有些個人信息屬于個人的私密信息，應(yīng)當(dāng)受到法律保護(hù)。最后，是要明確侵害個人信息權(quán)利的責(zé)任?！澳壳埃械臋C構(gòu)大面積收集個人的信息，導(dǎo)致個人信息的大面積泄露，這些主體的責(zé)任并不明確。立法應(yīng)當(dāng)明確侵害個人信息權(quán)利的責(zé)任，如果確實是機構(gòu)的原因?qū)е滦畔⒋竺娣e泄露，則機構(gòu)應(yīng)當(dāng)依法承擔(dān)相應(yīng)的責(zé)任；如果是機構(gòu)的工作人員私自泄露了個人信息，除該個人應(yīng)當(dāng)承擔(dān)責(zé)任外，機構(gòu)視具體情節(jié)也可能需要依法承擔(dān)責(zé)任?！蓖趵鹘ㄗh。

事實上，王利明所呼吁的《個人信息保護(hù)法》，從2003年開始，國務(wù)院就委托有關(guān)專家開始起草了，2005年，《個人信息保護(hù)法》專家建議稿完成并提交了國務(wù)院審議。但時至今日，該法始終未能出臺。

國外有首席隱私官

因為缺乏專門法律，目前我國與個人信息保護(hù)相關(guān)的法律規(guī)定便只能散見于各類法律之中。例如在我國的《民法通則》、《民事訴訟法》、《保險法》、《行政訴訟法》中都有對個人隱私予以保護(hù)的法律規(guī)定，而直接規(guī)定對個人信息的保護(hù)的，卻只有刑法中的規(guī)定。剛剛施行的刑法修正案（九）第253條規(guī)定，“違反國家有關(guān)規(guī)定，向他人出售或者提供公民個人信息，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴(yán)重的，處三年以上七年以下有期徒刑，并處罰金。違反國家有關(guān)規(guī)定，將在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息，出售或者提供給他人的，依照前款的規(guī)定從重處罰。竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規(guī)定處罰?！?/p>

對于立法上存在的問題，北京大學(xué)法學(xué)院教授梁根林認(rèn)為，從刑法角度看，立法其實已經(jīng)作了非常嚴(yán)格的規(guī)定，目前執(zhí)法中出現(xiàn)了立案難、取證難、管轄難等問題，在等待進(jìn)一步立法的同時，應(yīng)讓法律真正有效地得到實施。

執(zhí)法體系薄弱的問題也是精準(zhǔn)詐騙難以防范的原因。通信業(yè)專家項立剛表示，打擊精準(zhǔn)詐騙目前面臨的最大問題是執(zhí)法體系比較薄弱：“犯罪分子已經(jīng)是網(wǎng)絡(luò)化、高效率、低成本、精細(xì)分工，而執(zhí)法系統(tǒng)還是屬地管理、網(wǎng)格化、低效率、高成本。所以許多詐騙數(shù)額并不巨大的詐騙案基本無法解決。面對低成本、高收入的詐騙誘惑，騙子們怎能放棄這塊肥肉呢？”

采訪中，一些專家介紹，在對公民個人信息保護(hù)這方面，歐盟、美國的一些做法值得借鑒。早在1995年，歐盟就制定了世界上最嚴(yán)格的個人數(shù)據(jù)保護(hù)規(guī)定，歐盟法院確認(rèn)公民享有一項新的權(quán)利——遺忘權(quán)。公民在網(wǎng)絡(luò)上留下的痕跡，有權(quán)要求網(wǎng)站將其刪除。而美國跟歐盟的個人信息保護(hù)模式不同，美國強調(diào)的是違法成本。據(jù)相關(guān)機構(gòu)的統(tǒng)計，在美國，只要泄露信息的事件發(fā)生一次，企業(yè)就會有15%左右的客戶流失，違法成本代價極高，也約束企業(yè)不敢違法。

涂子沛表示，美國聯(lián)邦政府下轄有70多個部委直屬機構(gòu)，絕大多數(shù)不僅設(shè)立了首席數(shù)據(jù)官，還設(shè)立了首席隱私官?！敖ㄗh工信部成立一個專門的個人隱私保護(hù)局，職責(zé)就是制定相關(guān)個人信息保護(hù)的政策，打擊因為個人信息泄露導(dǎo)致的詐騙行為，未來的各級政府，都應(yīng)當(dāng)有個人信息保護(hù)的工作部門?！蓖孔优娼ㄗh。