(網(wǎng)經(jīng)社訊)網(wǎng)絡黑灰產(chǎn)，也就是網(wǎng)絡里面的黑色和灰色產(chǎn)業(yè)鏈。
浙江省紹興公安局在2018年8月份告破了號稱“史上最大數(shù)據(jù)竊取案”的案件，有30億條公民信息被竊取，主犯竟然是北京的一家新三板上市公司，作案手法是借助給網(wǎng)絡運營商提供營銷系統(tǒng)服務的機會，直接從運營商服務器中截取用戶的cookie、訪問記錄等關鍵數(shù)據(jù)，然后利用這些數(shù)據(jù)為網(wǎng)絡大v提供刷量、加粉等服務，一年的營收能超過三千萬。幾乎在同一時間，還有一個與此相類似的案例就是新聞報道說華住集團旗下包括漢庭、桔子、全季等在內(nèi)的多家酒店住宿信息被泄露，有線索顯示已經(jīng)有五億條信息流向了黑市交易。
如此大規(guī)模的數(shù)據(jù)失竊和泄漏，我們似乎聽上去已經(jīng)有點習以為常見怪不怪了，因為在過去類似的事件也時有發(fā)生。事實上互聯(lián)網(wǎng)在近十幾年里飛速發(fā)展的同時，也造就出一個龐大的黑灰產(chǎn)業(yè)，數(shù)據(jù)只不過是其中一個組成部分而已。整個網(wǎng)絡黑灰產(chǎn)業(yè)鏈條可以從整體上分成上游和下游兩個部分。上游主要包括：
（1）一些黑客類軟件的研發(fā)，例如木馬和病毒；
（2）身份信息的盜用，包括采用木馬病毒撞庫、向低收入人群收買等方式取得個人信息的所謂“四件套”，也就是銀行卡、身份證、手機卡、網(wǎng)銀u盾。
（3）借助“四件套”注冊獲取各種各樣的網(wǎng)絡賬號。基本上可以通過個人信息“四件套”獲得任何平臺的注冊賬號。當然，在黑產(chǎn)業(yè)鏈當中需要海量的注冊賬號，所以要用到機器去自動注冊，這期間還涉及到注冊碼的自動識別等一系列智能化的技術手段。
有了上述提供的戰(zhàn)斗裝備之后，下游就是花樣百出的變現(xiàn)手段，包括：
（1）電信詐騙；
（2）受到委托和指使的網(wǎng)絡攻擊；
（3）盜竊資金；
（4）刷票、刷單、刷榜、刷評論、刷粉絲，流量劫持；
（5）優(yōu)惠券薅羊毛；
（6）垃圾短信及精準營銷等等。
如果再黑一點，那就涉及到了洗錢以及黃賭毒了。所以這樣一個由上游和下游組成的完美契合的產(chǎn)業(yè)鏈究竟有多大規(guī)模呢，南都大數(shù)據(jù)研究院和阿里巴巴聯(lián)合發(fā)布的《2018網(wǎng)絡黑灰產(chǎn)治理研究報告》顯示2017年我國網(wǎng)絡黑灰產(chǎn)規(guī)模已經(jīng)達到上千億元，而相比之下網(wǎng)絡安全產(chǎn)業(yè)的規(guī)模僅僅450億元。我們常說邪不壓正，但是目前在這個領域暫時是正壓不住邪的。為啥壓不住呢？筆者個人分析有這樣幾點原因：
第一個原因是掌握著大量個人信息的關鍵機構里面出現(xiàn)了“內(nèi)鬼”。南都研究院的報告里面就統(tǒng)計2016年到2017年5月份，公安機關一共抓獲了5000多個侵犯公民個人信息罪的嫌疑人，而這其中有450多人是“各個行業(yè)”內(nèi)部人員。這些“各個行業(yè)”主要是銀行、保險、衛(wèi)生、交通、快遞等跟公民信息和隱私密切關聯(lián)的行業(yè)。
我們?nèi)粘Ｉ钪幸膊环@樣的經(jīng)歷，買車上完保險之后各大保險公司都給你發(fā)廣告短信，小孩在社區(qū)醫(yī)院打了預防針，馬上各種早教機構給你打電話推銷早教課程。這些恐怕都是“內(nèi)鬼”導致的結果。
第二個原因是執(zhí)法取證難。網(wǎng)絡上面的黑灰產(chǎn)業(yè)背后都有著諸多隱蔽的技術做支撐，違法行為難以偵查取證和追責。盡管司法解釋已經(jīng)把侵害公民個人信息罪的入罪門檻定得極低，但是在實踐當中要去追尋這些信息的源頭和渠道是非常困難的，公安機關也只能優(yōu)先處理那些大案、要案，如果全面都開展執(zhí)法的話，偵查力量是跟不上的。
第三個原因是黑灰產(chǎn)業(yè)鏈當中的灰色部分實際上在法律上難以界定，而且那存在著非常強大的客觀市場需求。由于數(shù)據(jù)、流量等等在網(wǎng)絡世界當中日益具有戰(zhàn)略意義，所以很多相關產(chǎn)業(yè)都游走在法律的邊緣，很難說一定是違法還是一定不違法。而且由于公共數(shù)據(jù)的開放力度不夠，導致為了開展業(yè)務不可避免的很多公司要通過非正規(guī)的渠道來獲得數(shù)據(jù)，這期間利益牽扯非常的復雜，立法和司法都難以在一時間給出明確的定論。
網(wǎng)絡黑灰產(chǎn)治理層面也取得了一些突破性的新進展，在這方面首先值得一提的突破就是技術。例如以騰訊安全團隊為代表的態(tài)勢感知技術，通過對黑產(chǎn)的數(shù)據(jù)分析，挖掘出黑產(chǎn)背后的惡意走向并將其反饋到風控模型，提前進行防控和預警，在實踐當中曾經(jīng)挖出過一整條的黑產(chǎn)鏈條。當然，要做到這一點前提仍然是要擁有跨平臺的海量數(shù)據(jù)，目前業(yè)內(nèi)恐怕只有少數(shù)幾家生態(tài)級的公司能夠做到，如果想在行業(yè)里面大規(guī)模的推廣，則有賴于更多的公司一起聯(lián)防聯(lián)控。此外，包括快速成熟中的區(qū)塊鏈技術也有望在用戶信息和網(wǎng)絡安全方面帶來全局性的突破。
除了技術創(chuàng)新之外，在網(wǎng)絡黑灰產(chǎn)治理領域里面的另外一個突破性進展來自于主管機關的高壓態(tài)勢?！毒W(wǎng)絡安全法》實施以來，公安機關和網(wǎng)信辦正在以越來越密集的執(zhí)法來清理和打擊網(wǎng)絡黑灰產(chǎn)，尤其是近期大數(shù)據(jù)行業(yè)里面大量的從業(yè)者被警方帶走調(diào)查的消息被廣泛報道，全國范圍內(nèi)對數(shù)據(jù)黑產(chǎn)的“嚴打”正在展開，看來很多人要因此失去自由了。事實上，網(wǎng)絡黑產(chǎn)影響到的不僅僅是經(jīng)濟領域，還有國家安全。大量的數(shù)據(jù)被黑產(chǎn)從業(yè)者帶到了境外或者是在黑市暗網(wǎng)里面交易，顯然都會影響到國家安全，所以公權力機關的嚴打也就不難理解了。
第三個方面的突破當屬公共數(shù)據(jù)的進一步開放。這個是從源頭來解決問題的一項重要舉措，畢竟如果數(shù)據(jù)有合法來源誰愿意用非法的。在這方面，《電子商務法》第19條明確了國家推動公共數(shù)據(jù)共享機制，促進電商經(jīng)營者依法利用公共數(shù)據(jù)。而上海市出臺的《公共數(shù)據(jù)和一網(wǎng)通辦管理辦法》第13條也對公共數(shù)據(jù)整合、共享和開放作出了具體的規(guī)定?！皢柷牡们迦缭S，為有源頭活水來”，公共數(shù)據(jù)的活水注入進來，黑產(chǎn)數(shù)據(jù)的“污水”自然也就被沖刷干凈了。
作為數(shù)據(jù)或者其他相關業(yè)務的公司法務，免不了跟黑灰產(chǎn)打交道，該如何識別黑灰產(chǎn)業(yè)相關的風險并且做好應對呢，以下幾個原則可以參考：
第一就是盡量獲取一手數(shù)據(jù)。如果用二手數(shù)據(jù)，最好做好數(shù)據(jù)源頭的背景調(diào)查，可以同時把合作的這家源頭公司以及他的競爭對手一起做背調(diào)。如果它的同類企業(yè)或者競爭對手已經(jīng)出了事情，例如已經(jīng)被執(zhí)法機關檢查或者負責人帶走調(diào)查，那么就會有比較大的風險了，同時盡可能地去獲取包括用戶在內(nèi)的三重授權，或者用戶對這些信息的補授權。
第二是務必做好數(shù)據(jù)安全管理和關鍵人員的管控。包括防范數(shù)據(jù)的泄露以及內(nèi)鬼倒賣數(shù)據(jù)，在數(shù)據(jù)傳輸?shù)倪^程當中做好脫敏和安全評估，對外盡量提供數(shù)據(jù)分析的結果而不是數(shù)據(jù)本身。
第三是建立自己的風控模型并且實時記錄風控的監(jiān)測效果和異常事件以備日后主管機關檢查。如果自身的研發(fā)能力不夠可以引入第三方的風控體系，當然這個時候要注意要引進可靠的第三方，避免數(shù)據(jù)的再次泄露和污染。
張延來律師介紹：
網(wǎng)經(jīng)社電子商務研究中心高級特約研究員、浙江墾丁律師事務所主任律師、專利代理人資格、中國政法大學實踐導師、杭州仲裁委員會仲裁員、墾丁網(wǎng)絡法學院創(chuàng)始人
工作經(jīng)歷：
浙江大學法律碩士，具有法律和計算機雙專業(yè)學科背景，執(zhí)業(yè)以來完全專注于互聯(lián)網(wǎng)法律實務工作，擔任數(shù)十家知名一線互聯(lián)網(wǎng)公司常年法律顧問，并代理多個代表性互聯(lián)網(wǎng)訴訟案件。
立法與學術
曾多次參加網(wǎng)絡相關立法工作，是國家工商總局《網(wǎng)絡交易管理辦法》、杭州市《網(wǎng)絡交易管理辦法》立法小組成員，曾多次參與中國《電子商務法》的立法研討工作。
個人專著《法眼電商》《網(wǎng)絡法戰(zhàn)記筆記》已由法律出版社出版。
