數(shù)據(jù)爭奪戰(zhàn)：黑客、內(nèi)鬼與行業(yè)潛規(guī)則

王梓輝

被指泄露并利用了5000萬Facebook用戶數(shù)據(jù)的數(shù)據(jù)公司“劍橋分析”近日被多位爆料人指出，該公司也參與了支持英國脫歐的活動。英國脫歐組織“投給脫歐”前員工沙尼（左）和“劍橋分析”前數(shù)據(jù)分析師克里斯托弗·威利出席活動

失控的數(shù)據(jù)

毫無疑問，馬克·扎克伯格（Mark Zuckerberg）肯定是進(jìn)入2018年之后科技界心情最糟的人之一。此前順風(fēng)順?biāo)腇acebook公司在3月下旬被曝出了嚴(yán)重的用戶數(shù)據(jù)泄露丑聞，截至本文寫作時，F(xiàn)acebook公司股價連日下挫，市值已經(jīng)縮水近1000億美元。短短幾周時間，它就蒸發(fā)了相當(dāng)于一個星巴克公司的市值。

打擊不僅來自于市場。4月4日，美國國會眾議院能源與商業(yè)委員會宣布，F(xiàn)acebook公司創(chuàng)始人扎克伯格已經(jīng)同意于當(dāng)?shù)貢r間11日出席聽證會，就近期Facebook用戶數(shù)據(jù)泄露事件進(jìn)行解釋。一時間，扎克伯格和他一手創(chuàng)立的社交帝國風(fēng)雨飄搖。

導(dǎo)致這一切發(fā)生的原因是幾千萬Facebook用戶個人數(shù)據(jù)的泄露事件。事情的緣起聽上去有些不可思議。3月下旬，據(jù)美國《紐約時報》和英國《衛(wèi)報》等媒體報道，劍橋分析（Cambridge Analytica）這家與Facebook有合作關(guān)系的數(shù)據(jù)分析公司未經(jīng)許可收集了數(shù)萬Facebook用戶的信息資料，對這些用戶的行為模式、性格特征、價值觀取向等各種數(shù)據(jù)進(jìn)行分析，然后有針對性地推送信息和競選廣告，以影響美國選民在總統(tǒng)大選中的投票。而美國總統(tǒng)特朗普就是他們的客戶。在其官網(wǎng)上，他們不僅毫不避諱地列出了這些選舉活動，還寫道：“CA Political重新定義了數(shù)據(jù)與競選之間的關(guān)系。通過更好地了解你的選民，你可以在降低整體成本的同時取得更大的影響力?！痹谝晜€人隱私為紅線的歐美社會，這種行為被視為是不可原諒的錯誤。

但事實上，在國內(nèi)的互聯(lián)網(wǎng)安全圈看來，類似Facebook的信息泄露事件在國內(nèi)早已司空見慣?！斑@樣的事情在國內(nèi)其實是經(jīng)常發(fā)生的，只是國內(nèi)不像國外透明度這么高，全都被披露出來了?！?60企業(yè)安全研究院院長裴智勇對本刊說道。中關(guān)村大數(shù)據(jù)產(chǎn)業(yè)聯(lián)盟秘書長趙國棟則直言：“中國的問題相比Facebook這樣的情況來講，有過之而無不及?！?/p>

一些數(shù)字能從客觀上證明這種說法。根據(jù)《2017政企機構(gòu)信息泄露形勢分析報告》顯示，從2015到2017年，我國每年因網(wǎng)站漏洞導(dǎo)致的信息泄露數(shù)量超過50億條，而這還只是360這一家互聯(lián)網(wǎng)安全公司的統(tǒng)計數(shù)據(jù)，其中泄露的信息85%以上都是用戶的個人信息。今年1月，四川省公安廳召開“向人民報告”網(wǎng)安專場新聞通氣會，會上透露，2017年僅四川省就有250余億條公民個人信息被泄露，這意味著我們每個人平均至少有幾十條個人信息在網(wǎng)絡(luò)上流傳。

因為缺乏足夠的重視，很多類似的信息泄露事件只在媒體上停留少許就被略過，大部分用戶根本無從知曉自己的個人數(shù)據(jù)信息的泄露狀況。

一個簡單的例子很有說服力。《中華人民共和國網(wǎng)絡(luò)安全法》（簡稱《網(wǎng)絡(luò)安全法》）規(guī)定必須要實名制，但實名制又會讓公民的個人信息暴露在危機四伏的網(wǎng)絡(luò)環(huán)境中。中關(guān)村大數(shù)據(jù)產(chǎn)業(yè)聯(lián)盟秘書長趙國棟就向我們抱怨道：之前共享單車特別火的時候，各種單車公司都莫名其妙地成立了，但活下來的可能就一兩家，其他公司都倒閉破產(chǎn)了，但他們一樣搜集了你的大量數(shù)據(jù)，包括你的身份證號、你的手機號、你的銀行信息，這些都被他們拿走了，而他們破產(chǎn)之后還談得上對這些信息的保護(hù)嗎？

這種狀況不僅發(fā)生在創(chuàng)業(yè)小公司，幾千人的大公司也絕談不上足夠安全。去年5、6月份，跨境電商平臺“小紅書”被曝出用戶信息大面積泄露事件，先后有50名受害者因在小紅書上網(wǎng)購后遭遇假冒客服而被騙，累計受騙金額高達(dá)近90萬元。據(jù)報道，這些用戶在小紅書上網(wǎng)購之后，都接到自稱是“小紅書客服”的電話，假冒客服以客戶購買的商品存在質(zhì)量問題而需要退款為由實施詐騙。對此，小紅書公司向媒體回應(yīng)稱，他們了解情況后第一時間進(jìn)行了內(nèi)部驗證與技術(shù)排查，并未發(fā)現(xiàn)近期有批量賬號敏感數(shù)據(jù)泄露現(xiàn)象。

更早，2017年4月，黑客“CosmicDark”在網(wǎng)上售賣從優(yōu)酷竊取約的1億用戶賬號，售價約2000元人民幣。CosmicDark稱，該數(shù)據(jù)庫于2016年被泄，去年才在互聯(lián)網(wǎng)上公開暴露，而直到現(xiàn)在都不清楚這些數(shù)據(jù)庫是如何被竊取的。

“非常糟糕。”這是某知名網(wǎng)絡(luò)安全公司公司研發(fā)總監(jiān)阿吉用來形容國內(nèi)網(wǎng)絡(luò)數(shù)據(jù)安全狀況的詞。而普通用戶對此幾乎毫無還手之力。

與Facebook有合作關(guān)系的“劍橋分析”數(shù)據(jù)分析公司被指未經(jīng)許可收集了數(shù)萬Facebook 用戶的信息資料，圖為“劍橋分析”在倫敦的辦公樓

黑客與內(nèi)鬼

要知道你的數(shù)據(jù)都被怎樣竊取了，你可以簡單地將它們分為兩類：黑產(chǎn)與白產(chǎn)。它們之間的根本區(qū)別就是，黑產(chǎn)是在地下以完全非法的手段進(jìn)行數(shù)據(jù)竊取與交易，而白產(chǎn)則是利用法律的漏洞與不健全在灰色地帶以合法身份進(jìn)行相關(guān)的操作。

在我國，網(wǎng)絡(luò)黑產(chǎn)早已不是一個新的話題了。根據(jù)相關(guān)統(tǒng)計，截至2017年年中，中國網(wǎng)絡(luò)黑產(chǎn)從業(yè)人員已超過150萬，市場規(guī)模高達(dá)千億。通常情況下，你不太容易發(fā)現(xiàn)網(wǎng)絡(luò)黑產(chǎn)的蹤跡。裴智勇告訴本刊，網(wǎng)絡(luò)黑市們通?；钴S在一些普通人不知道的地下網(wǎng)站、專業(yè)QQ群和專業(yè)社區(qū)里，還有一些比較極端的會在暗網(wǎng)上進(jìn)行交易，而這里流通的數(shù)據(jù)就是那些通過黑客竊取、網(wǎng)絡(luò)攻擊等非法行為獲得的數(shù)據(jù)。

“在網(wǎng)絡(luò)安全上面，只有兩種企業(yè)，一種是被黑過的企業(yè)，另外一種是不知道自己被黑的?！卑⒓H為促狹的話中道出的卻是國內(nèi)互聯(lián)網(wǎng)安全的現(xiàn)狀。

“拖庫”是目前黑產(chǎn)上信息來源規(guī)模最大的一種方式。所謂“拖庫”就是指黑客入侵網(wǎng)站，把賬號、密碼等用戶信息相關(guān)的數(shù)據(jù)庫全部盜走的行為，因為這種方式能夠一下子把一個網(wǎng)站大量的信息全部盜走，一般來說比別的方式效率都高。而可怕的是，這種信息大規(guī)模泄露的情況絕不僅僅發(fā)生在那些缺乏自我保護(hù)能力的小公司身上，根據(jù)裴智勇所知的情況，你能想到的國內(nèi)的互聯(lián)網(wǎng)企業(yè)基本都被拖過庫，“比如說BAT，比如說360，都被拖過庫，只是程度范圍不一樣”。

2015年10月，網(wǎng)易郵箱被曝出過億數(shù)據(jù)泄露，泄露信息包括用戶名、密碼、密碼保護(hù)信息、登錄IP以及用戶生日等多個原始信息，影響數(shù)量共近5億條。雖然網(wǎng)易方面拒絕承認(rèn)，但業(yè)界基本公認(rèn)這種情況就是被拖庫了。

除了企業(yè)，事實上，只要一家機構(gòu)的信息出現(xiàn)在互聯(lián)網(wǎng)上，它都有可能被拖庫。而且相比具備一定專業(yè)防護(hù)能力的互聯(lián)網(wǎng)公司，很多政府及民間機構(gòu)毫無防備之力。裴智勇在采訪中告訴本刊，前兩年，他們發(fā)現(xiàn)有一個地方的政府網(wǎng)站在3年內(nèi)被不同的組織拖庫了7次，查出來這個問題之后問該網(wǎng)站負(fù)責(zé)人怎么辦，那位負(fù)責(zé)人覺得這個網(wǎng)站反正也沒有人運維，就把它關(guān)了，但是關(guān)了也沒有解決數(shù)據(jù)泄露的問題。

與地下黑客們“交相呼應(yīng)”的則是企業(yè)內(nèi)鬼。去年7月由電商生態(tài)安全聯(lián)盟發(fā)布的《電子商務(wù)生態(tài)安全白皮書》顯示，內(nèi)鬼類風(fēng)險導(dǎo)致的信息泄露事件占比達(dá)到了49%。騰訊玄武實驗室負(fù)責(zé)人于旸是業(yè)內(nèi)知名專家，他曾經(jīng)透露自己2015年在查看某應(yīng)聘者時，就注意到一位應(yīng)聘者的身份可疑，不僅曾在多家公司連續(xù)跳槽，而且不斷換城市，還存在簡歷造假的情況，最終經(jīng)過調(diào)查發(fā)現(xiàn)該應(yīng)聘者果然是黑產(chǎn)團(tuán)伙成員。“內(nèi)鬼遠(yuǎn)比你們想象的常見。”于旸說道。

去年3月，京東內(nèi)鬼事件就頗引人關(guān)注。該公司前網(wǎng)絡(luò)工程師鄭某在2016年6月加入京東之后，利用職務(wù)之便，越權(quán)非法獲取大量所供職公司的數(shù)據(jù)，然后將之售賣給地下黑產(chǎn)，其中涉及交通、物流、醫(yī)療、社交、銀行等個人信息50億條。當(dāng)時鄭某加入京東還不足半年，尚處于試用期。

更早的時候，支付寶的前技術(shù)員工李某在2010年分多次在公司后臺下載了支付寶用戶的資料，內(nèi)容超過20G。李某隨后伙同兩人將用戶信息多次出售給電商公司、數(shù)據(jù)公司，據(jù)稱3萬條可賣500元。支付寶后來承認(rèn)數(shù)據(jù)被盜，但表示其銷售的數(shù)據(jù)不含密碼、不含核心身份信息，并在調(diào)查后將李某移交公安機關(guān)偵辦。

對于黑客和內(nèi)鬼的危害程度，業(yè)界說法不一。一位曾經(jīng)做過黑客的網(wǎng)絡(luò)安全從業(yè)者對本刊表示，80%的數(shù)據(jù)泄露是企業(yè)內(nèi)鬼所為，黑客和其他方式僅占20%。但裴智勇則認(rèn)為內(nèi)鬼只是偶發(fā)，更多的都是員工違規(guī)操作和外部侵入。但不管是通過何種方式從BAT還是地方政府網(wǎng)站泄露出去的數(shù)據(jù)，大部分都出現(xiàn)在了網(wǎng)絡(luò)黑市上。有知情人士向本刊透露，一般的“網(wǎng)銀四大件”（即姓名、身份證號、電話號碼、賬號密碼）在黑市上的價格大致在5元100條;而如果你愿意花更多的錢，幾百元就能讓你獲得另一個人幾乎全部的信息?！斑^去他住過哪個酒店、去過哪里都能給你查出來，這個人在你面前基本就透明了?！?h3>商業(yè)利益驅(qū)動的行業(yè)潛規(guī)則

黑客與內(nèi)鬼游走在違法的邊緣，他們一旦失手將面臨法律制裁，但如果從每個用戶個人所遺失的信息規(guī)模角度看，商業(yè)利益驅(qū)動的行業(yè)內(nèi)數(shù)據(jù)交易才是用戶避無可避、逃脫不掉的隱私之殤。

從數(shù)據(jù)采集，到數(shù)據(jù)交易，再到對數(shù)據(jù)的挖掘，這一環(huán)環(huán)串起了一個完整的生態(tài)系統(tǒng)，而廣告則是其中的核心。“整個互聯(lián)網(wǎng)行業(yè)的大半部分收入是來自于廣告，大概要到七成到八成左右。”《計算廣告》作者、大數(shù)據(jù)專家劉鵬告訴本刊。事實上，如果你了解互聯(lián)網(wǎng)行業(yè)，你會知道谷歌與Facebook這樣的世界級互聯(lián)網(wǎng)巨頭一年超過80%的收入來自在線廣告業(yè)務(wù)。而廣告則是大數(shù)據(jù)的最典型的應(yīng)用。

一個簡單的例子就能說明數(shù)據(jù)的價值。有一個網(wǎng)站在它的廣告位投放了剃須刀的廣告，這個廣告位賣1萬元，如果能有10萬個用戶看到這個廣告，剃須刀廠商就要給這家網(wǎng)站1萬元。但剃須刀是主要面對男性的產(chǎn)品，女性用戶不是它的目標(biāo)受眾，為此，這家網(wǎng)站又拉來一個化妝品的廣告投給女性用戶。這樣，這家網(wǎng)站找每一個廣告主各收6000元，一共能收入1.2萬元，投入產(chǎn)出比就提高了，多出來的這2000元就是數(shù)據(jù)變現(xiàn)的價值。而這僅僅是一個性別數(shù)據(jù)的價值，如果你能知道更多關(guān)于用戶的信息和購物偏好，你顯然能掙更多的錢，這些錢都是數(shù)據(jù)變現(xiàn)帶來的收益。

為了獲得關(guān)于你足夠多的數(shù)據(jù)，互聯(lián)網(wǎng)公司們想出了幾個辦法。在PC端，各家網(wǎng)站通過代碼來記錄用戶的行為;在移動端，最主要的辦法則是SDK。而在這個時代，移動端毫無疑問是我們所有人數(shù)據(jù)的主要來源。

SDK是Software Development Kit的縮寫，即“軟件開發(fā)工具包”。簡單來說，它是輔助開發(fā)某一類應(yīng)用軟件的相關(guān)文檔、范例和工具的集合。很多APP開發(fā)者為了縮短工作周期與工作量，會將一些固定功能通過接入外部SDK來實現(xiàn)。這些SDK包一方面能夠幫助一款A(yù)PP實現(xiàn)獲取定位、打開攝像頭等基礎(chǔ)功能，另一方面也在你不知道的時候拿走了你很多的個人數(shù)據(jù)。數(shù)據(jù)分析公司友盟+高級產(chǎn)品研發(fā)專家馬巍源曾說過，幾乎所有的APP都會使用SDK，而SDK收集用戶信息的行為非常普遍。這意味著，你授權(quán)APP收集的個人信息被第三方獲取了，而你很可能卻對此毫不知情。

北京網(wǎng)貸協(xié)會數(shù)據(jù)安全專家韓洪慧曾在采訪中提道：“SDK一旦嵌入，如果你注冊登錄了這個APP，并默認(rèn)授權(quán)，所有的行為數(shù)據(jù)都能記錄，它會在不知不覺中扒取手機通訊詳單、聊天記錄、銀行賬號的密碼口令、短信、通訊錄、行動范圍、位置信息等?！薄斑^度采集用戶信息在互聯(lián)網(wǎng)公司很普遍?！壁w國棟則直言道。

而所有這些數(shù)據(jù)信息去哪兒了呢？很大一部分都流向了在線廣告聯(lián)盟。裴智勇為本刊解釋道，很多中小開發(fā)者為了方便自己變現(xiàn)，會加入由大公司牽頭成立的廣告聯(lián)盟，比如國外的谷歌和Facebook，國內(nèi)的BAT等等;加入廣告聯(lián)盟之后，APP中就會嵌入這個廣告聯(lián)盟的SDK包，這個SDK包一方面能把用戶的行為數(shù)據(jù)同步給這個廣告聯(lián)盟，很多APP的數(shù)據(jù)匯集到一起就能對用戶的行為進(jìn)行分析，知道用戶喜歡干什么、想干什么;再者就是廣告聯(lián)盟也會承接很多廣告，這些廣告會發(fā)布到各個聯(lián)盟成員的APP上，產(chǎn)生的收益雙方再來分錢。這就是廣告聯(lián)盟的作用。

除此之外，互聯(lián)網(wǎng)公司的數(shù)據(jù)采買需求也是用戶數(shù)據(jù)流失的一大方向。阿吉告訴本刊，目前很多中小開發(fā)商開發(fā)的APP一直在后臺不停地收集用戶各式各樣的信息，尤其是在安卓平臺上。拿到這些數(shù)據(jù)之后，他們會有兩種處理方式：一種是直接分析這些數(shù)據(jù)，然后把這些分析報告拿出去做一個價值轉(zhuǎn)換;另一種則是直接把它收集到的原始數(shù)據(jù)提供給有這種數(shù)據(jù)需求的公司。而這些數(shù)據(jù)信息甚至已經(jīng)成了這些APP能免費供給用戶使用的價值來源。

趙國棟告訴本刊，像BAT這樣的互聯(lián)網(wǎng)公司，雖然他們自己已經(jīng)有很多很多的數(shù)據(jù)了，但他們依然是采買數(shù)據(jù)的大戶?！斑@些大公司深刻地理解‘?dāng)?shù)據(jù)霸權(quán)的意義和重要性，他們是如饑似渴地獲取更多的數(shù)據(jù)?！蓖ㄟ^不同數(shù)據(jù)之間的互聯(lián)與映射，這些互聯(lián)網(wǎng)公司都具有了描繪出用戶個人畫像的能力，下一步，他們就能針對每個用戶的具體情況做出更有針對性的商業(yè)措施，最終形成具有馬太效應(yīng)的數(shù)據(jù)霸權(quán)。

發(fā)展與制衡

令人沮喪的是，不同于Facebook被輿論圍攻以及各方介入調(diào)查的狀況，我國大部分的數(shù)據(jù)泄露事件因為無法可依，即便是上億條數(shù)據(jù)的交易，由于缺乏司法解釋，往往不了了之。阿吉告訴本刊，在兩三年前，我國根本就沒有任何法律去管理類似事情，直到去年6月1日正式生效的《中華人民共和國網(wǎng)絡(luò)安全法》才給這種混亂局面帶來了一些改變，其中規(guī)定非法獲取、出售公民個人信息最低50條以上即可認(rèn)定為“情節(jié)嚴(yán)重”，達(dá)到入刑的標(biāo)準(zhǔn)。不過，由于技術(shù)的飛速發(fā)展，法律法規(guī)實際上是落后于技術(shù)發(fā)展的，因此在具體實施上仍然面臨很大的挑戰(zhàn)。

上海京衡律師事務(wù)所隋兵律師告訴本刊，目前針對個人信息保護(hù)主要依據(jù)的是《網(wǎng)絡(luò)安全法》第41條，即“網(wǎng)絡(luò)運營者收集、使用個人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則”。合法當(dāng)然是必須的，那么關(guān)鍵就落在“正當(dāng)”和“必要”這兩個概念上了。但由于“正當(dāng)”和“必要”這兩個概念比較寬泛，所以很多公司目前都是在形式上做到所謂的“合法”，然后在“正當(dāng)”和“必要”上面打擦邊球。

今年1月，支付寶發(fā)布年度賬單，最下方的“我同意《芝麻服務(wù)協(xié)議》”一行字不僅字體小，而且默認(rèn)打勾。協(xié)議聲稱，支付寶可以直接向第三方提供用戶相關(guān)信息，并且可以進(jìn)行分析、推送給合作機構(gòu)，以及有權(quán)不支持用戶撤銷第三方的信息查詢授權(quán)。之后被用戶發(fā)現(xiàn)并舉報，支付寶才道歉并修改了默認(rèn)用戶同意的選項?！拔覀€人認(rèn)為這種行為就處于灰色地帶，它用了一種比較隱蔽、用戶可能忽略的方式，但它在形式上做到了獲得用戶授權(quán)的目的?！彼灞f道。

而諸如此類的擦邊球在互聯(lián)網(wǎng)行業(yè)非常普遍。在百度搜索、淘寶這些產(chǎn)品的“隱私協(xié)議”中，你仍然能看到他們列出了“會在第三方有合法、正當(dāng)理由的前提下，與聯(lián)盟成員、合作伙伴及其他受信任的第三方供應(yīng)商、服務(wù)商及代理商共享您的信息”的相關(guān)內(nèi)容。這意味著，當(dāng)用戶在初次使用這些產(chǎn)品時，對其彈出的一個詢問您是否同意的授權(quán)書點擊了“同意”之后，你的信息就被一大堆這些產(chǎn)品的合作方共享了。而我們都知道，幾乎不會有用戶真的認(rèn)真看那些寫滿字符的“授權(quán)書”;即使你認(rèn)真看了，如果你點擊“不同意”，你就無法使用這些產(chǎn)品了。兩相權(quán)衡之下，用戶幾乎沒得選。

在專業(yè)人士看來，這似乎是一個無法被徹底解決的難題。在數(shù)據(jù)已經(jīng)成為互聯(lián)網(wǎng)行業(yè)發(fā)展原動力的情況下，各個公司對數(shù)據(jù)的渴求只會越來越大。從2017年開始，馬云就多次在演講中提到“人類將真正開始進(jìn)入到數(shù)據(jù)時代”的觀點，他也表示“阿里巴巴不是零售公司，是一家數(shù)據(jù)公司”。

去年6月，順豐與阿里菜鳥就因為用戶數(shù)據(jù)的歸屬問題產(chǎn)生了激烈對峙。菜鳥率先指責(zé)順豐在2017年6月1日凌晨關(guān)閉了對菜鳥的數(shù)據(jù)接口;隨后，順豐方面回應(yīng)稱是菜鳥基于自身商業(yè)利益出發(fā)，要求順豐提供與其無關(guān)的客戶隱私數(shù)據(jù)，但順豐拒絕配合，他們給出的理由是，此類信息隸屬于用戶，未經(jīng)用戶許可，無法提供。最終，在國家郵政局的協(xié)調(diào)下，雙方才做出了妥協(xié)。這種級別的對抗也反映了數(shù)據(jù)對雙方的重要性。

作為在線廣告與大數(shù)據(jù)專家，劉鵬就認(rèn)為這其實不是立法問題，反而是一個技術(shù)問題，“立法解決不了網(wǎng)絡(luò)數(shù)據(jù)的使用問題”。阿吉也認(rèn)為目前的現(xiàn)狀就是數(shù)據(jù)使用技術(shù)的發(fā)展遠(yuǎn)遠(yuǎn)超過了法律法規(guī)的完善速度，在這種狀況下，我們很多時候只能依靠互聯(lián)網(wǎng)廠商的自覺性。

在可見的未來，我們也許都將處于這種用戶不得不接受的現(xiàn)狀中。在Facebook事件爆發(fā)之后，百度公司創(chuàng)始人李彥宏在中國高層發(fā)展論壇上就這個問題發(fā)表觀點：“我想中國人可以更加開放，對隱私問題沒有那么敏感。如果他們愿意用隱私交換便捷性，很多情況下他們是愿意的，那我們就可以用數(shù)據(jù)做一些事情?！北M管外界對這個觀點批評聲一片，但回歸現(xiàn)實層面，這也許就是我們不得不接受的現(xiàn)狀。