(網經社訊)網絡黑灰產，也就是網絡里面的黑色和灰色產業(yè)鏈。
浙江省紹興公安局在2018年8月份告破了號稱“史上最大數據竊取案”的案件，有30億條公民信息被竊取，主犯竟然是北京的一家新三板上市公司，作案手法是借助給網絡運營商提供營銷系統(tǒng)服務的機會，直接從運營商服務器中截取用戶的cookie、訪問記錄等關鍵數據，然后利用這些數據為網絡大v提供刷量、加粉等服務，一年的營收能超過三千萬。幾乎在同一時間，還有一個與此相類似的案例就是新聞報道說華住集團旗下包括漢庭、桔子、全季等在內的多家酒店住宿信息被泄露，有線索顯示已經有五億條信息流向了黑市交易。
如此大規(guī)模的數據失竊和泄漏，我們似乎聽上去已經有點習以為常見怪不怪了，因為在過去類似的事件也時有發(fā)生。事實上互聯網在近十幾年里飛速發(fā)展的同時，也造就出一個龐大的黑灰產業(yè)，數據只不過是其中一個組成部分而已。整個網絡黑灰產業(yè)鏈條可以從整體上分成上游和下游兩個部分。上游主要包括：
（1）一些黑客類軟件的研發(fā)，例如木馬和病毒；
（2）身份信息的盜用，包括采用木馬病毒撞庫、向低收入人群收買等方式取得個人信息的所謂“四件套”，也就是銀行卡、身份證、手機卡、網銀u盾。
（3）借助“四件套”注冊獲取各種各樣的網絡賬號?；旧峡梢酝ㄟ^個人信息“四件套”獲得任何平臺的注冊賬號。當然，在黑產業(yè)鏈當中需要海量的注冊賬號，所以要用到機器去自動注冊，這期間還涉及到注冊碼的自動識別等一系列智能化的技術手段。
有了上述提供的戰(zhàn)斗裝備之后，下游就是花樣百出的變現手段，包括：
（1）電信詐騙；
（2）受到委托和指使的網絡攻擊；
（3）盜竊資金；
（4）刷票、刷單、刷榜、刷評論、刷粉絲，流量劫持；
（5）優(yōu)惠券薅羊毛；
（6）垃圾短信及精準營銷等等。
如果再黑一點，那就涉及到了洗錢以及黃賭毒了。所以這樣一個由上游和下游組成的完美契合的產業(yè)鏈究竟有多大規(guī)模呢，南都大數據研究院和阿里巴巴聯合發(fā)布的《2018網絡黑灰產治理研究報告》顯示2017年我國網絡黑灰產規(guī)模已經達到上千億元，而相比之下網絡安全產業(yè)的規(guī)模僅僅450億元。我們常說邪不壓正，但是目前在這個領域暫時是正壓不住邪的。為啥壓不住呢？筆者個人分析有這樣幾點原因：
第一個原因是掌握著大量個人信息的關鍵機構里面出現了“內鬼”。南都研究院的報告里面就統(tǒng)計2016年到2017年5月份，公安機關一共抓獲了5000多個侵犯公民個人信息罪的嫌疑人，而這其中有450多人是“各個行業(yè)”內部人員。這些“各個行業(yè)”主要是銀行、保險、衛(wèi)生、交通、快遞等跟公民信息和隱私密切關聯的行業(yè)。
我們日常生活中也不乏這樣的經歷，買車上完保險之后各大保險公司都給你發(fā)廣告短信，小孩在社區(qū)醫(yī)院打了預防針，馬上各種早教機構給你打電話推銷早教課程。這些恐怕都是“內鬼”導致的結果。
第二個原因是執(zhí)法取證難。網絡上面的黑灰產業(yè)背后都有著諸多隱蔽的技術做支撐，違法行為難以偵查取證和追責。盡管司法解釋已經把侵害公民個人信息罪的入罪門檻定得極低，但是在實踐當中要去追尋這些信息的源頭和渠道是非常困難的，公安機關也只能優(yōu)先處理那些大案、要案，如果全面都開展執(zhí)法的話，偵查力量是跟不上的。
第三個原因是黑灰產業(yè)鏈當中的灰色部分實際上在法律上難以界定，而且那存在著非常強大的客觀市場需求。由于數據、流量等等在網絡世界當中日益具有戰(zhàn)略意義，所以很多相關產業(yè)都游走在法律的邊緣，很難說一定是違法還是一定不違法。而且由于公共數據的開放力度不夠，導致為了開展業(yè)務不可避免的很多公司要通過非正規(guī)的渠道來獲得數據，這期間利益牽扯非常的復雜，立法和司法都難以在一時間給出明確的定論。
網絡黑灰產治理層面也取得了一些突破性的新進展，在這方面首先值得一提的突破就是技術。例如以騰訊安全團隊為代表的態(tài)勢感知技術，通過對黑產的數據分析，挖掘出黑產背后的惡意走向并將其反饋到風控模型，提前進行防控和預警，在實踐當中曾經挖出過一整條的黑產鏈條。當然，要做到這一點前提仍然是要擁有跨平臺的海量數據，目前業(yè)內恐怕只有少數幾家生態(tài)級的公司能夠做到，如果想在行業(yè)里面大規(guī)模的推廣，則有賴于更多的公司一起聯防聯控。此外，包括快速成熟中的區(qū)塊鏈技術也有望在用戶信息和網絡安全方面帶來全局性的突破。
除了技術創(chuàng)新之外，在網絡黑灰產治理領域里面的另外一個突破性進展來自于主管機關的高壓態(tài)勢?！毒W絡安全法》實施以來，公安機關和網信辦正在以越來越密集的執(zhí)法來清理和打擊網絡黑灰產，尤其是近期大數據行業(yè)里面大量的從業(yè)者被警方帶走調查的消息被廣泛報道，全國范圍內對數據黑產的“嚴打”正在展開，看來很多人要因此失去自由了。事實上，網絡黑產影響到的不僅僅是經濟領域，還有國家安全。大量的數據被黑產從業(yè)者帶到了境外或者是在黑市暗網里面交易，顯然都會影響到國家安全，所以公權力機關的嚴打也就不難理解了。
第三個方面的突破當屬公共數據的進一步開放。這個是從源頭來解決問題的一項重要舉措，畢竟如果數據有合法來源誰愿意用非法的。在這方面，《電子商務法》第19條明確了國家推動公共數據共享機制，促進電商經營者依法利用公共數據。而上海市出臺的《公共數據和一網通辦管理辦法》第13條也對公共數據整合、共享和開放作出了具體的規(guī)定。“問渠哪得清如許，為有源頭活水來”，公共數據的活水注入進來，黑產數據的“污水”自然也就被沖刷干凈了。
作為數據或者其他相關業(yè)務的公司法務，免不了跟黑灰產打交道，該如何識別黑灰產業(yè)相關的風險并且做好應對呢，以下幾個原則可以參考：
第一就是盡量獲取一手數據。如果用二手數據，最好做好數據源頭的背景調查，可以同時把合作的這家源頭公司以及他的競爭對手一起做背調。如果它的同類企業(yè)或者競爭對手已經出了事情，例如已經被執(zhí)法機關檢查或者負責人帶走調查，那么就會有比較大的風險了，同時盡可能地去獲取包括用戶在內的三重授權，或者用戶對這些信息的補授權。
第二是務必做好數據安全管理和關鍵人員的管控。包括防范數據的泄露以及內鬼倒賣數據，在數據傳輸的過程當中做好脫敏和安全評估，對外盡量提供數據分析的結果而不是數據本身。
第三是建立自己的風控模型并且實時記錄風控的監(jiān)測效果和異常事件以備日后主管機關檢查。如果自身的研發(fā)能力不夠可以引入第三方的風控體系，當然這個時候要注意要引進可靠的第三方，避免數據的再次泄露和污染。
張延來律師介紹：
網經社電子商務研究中心高級特約研究員、浙江墾丁律師事務所主任律師、專利代理人資格、中國政法大學實踐導師、杭州仲裁委員會仲裁員、墾丁網絡法學院創(chuàng)始人
工作經歷：
浙江大學法律碩士，具有法律和計算機雙專業(yè)學科背景，執(zhí)業(yè)以來完全專注于互聯網法律實務工作，擔任數十家知名一線互聯網公司常年法律顧問，并代理多個代表性互聯網訴訟案件。
立法與學術
曾多次參加網絡相關立法工作，是國家工商總局《網絡交易管理辦法》、杭州市《網絡交易管理辦法》立法小組成員，曾多次參與中國《電子商務法》的立法研討工作。
個人專著《法眼電商》《網絡法戰(zhàn)記筆記》已由法律出版社出版。
