簽到1次，就可查1次他人的秘密？“社工庫”到底是什么

百度副總裁女兒“開盒”事件，持續引發公眾對數據安全的擔憂。百度近日連續發表聲明稱，“開盒”信息并非源自百度，而是來自海外某加密聊天軟件。

“開盒”一詞，意為違法獲取并惡意公開他人個人信息。它最初流行于“飯圈”等群體，近年逐漸進入公眾視野。與之緊密相關的，是黑灰產團伙四處兜售的“社工庫”，以及猖獗的數據泄露“黑生意”。

什么是“社工庫”

所謂“社工庫”，全稱是“社會工程學數據庫”。它不是某個特定的應用程序，也不是某個由指定組織建設、維護的數據庫，而是不法分子通過攻擊網站、欺詐用戶等手段獲取大量個人隱私數據，再整合分析、集中歸檔形成的一類資料集統稱。

有網絡安全專家向南都研究員介紹，早年間一些互聯網平臺、行業單位的網絡數據安全保護能力不足，不法分子通過網絡釣魚、木馬病毒、“內鬼”泄密等手段從多個渠道取得大量個人信息。這些信息經過整合處理后，便形成包含個人身份信息、聯系方式、賬號密碼等的“社工庫”，為黑灰產團伙對目標企業或個人實施電信詐騙、威脅恐嚇等提供精準的背景資料。

該專家表示，不法分子竊取的這些個人信息在黑灰產行業內經歷多次交易后，幾乎“人手一份”，難以繼續出售牟利，于是被包裝成“開盒神器”對一般人售賣，榨干最后一分“商業價值”。“你把手機號、微博號、QQ號之類的線索發過去，對方拿著線索在數據庫里搜索，匹配到的個人信息回傳給你，‘開盒’成功，這就是背后的原理。”

“社工庫”在哪里

為了吸引流量、招徠顧客，這些掌握海量個人信息的“社工庫”進入門檻并不高。以此次引發關注的百度副總裁女兒“開盒”事件為例，當事人通過國外手機應用市場下載某款加密聊天軟件，稍加搜索，便可加入某個提供“社工庫”的群組。

筆者也循類似途徑成功加入相關群組。調查發現，只需在群組內添加指定賬號，并按格式向該賬號提供“開盒”對象的姓名/手機號/郵箱/身份證號等任意一條資料，就可以獲得相關個人信息。

“開盒”成本是多少呢？普通用戶每天簽到1次便可兌換1次個人信息查詢機會，通過邀請新用戶等其他方式，也可獲得更多查詢次數。如果想獲得無限次查詢服務，則須支付70枚USDT（一種以1：1匯率與美元掛鉤的虛擬貨幣），折合約507.5元人民幣。

筆者留意到，由于邀請新人入群可以快速獲得積分，換取更多免費的個人信息查詢機會。因此，群組內幾乎每時每刻都有人發送其他“社工庫”群組的邀請碼，拉客“引流”。通過相關邀請碼，筆者先后加入了5個不同“社工庫”群組，其中規模最大的一個已有超9.5萬個用戶，其他群組用戶數量也在1萬到5萬不等。

此外，加密聊天軟件不是“社工庫”及相關個人信息的唯一傳播渠道。調查過程中，研究員在一些互聯網技術交流平臺、個人博客網站也發現有不法分子對外兜售“社工庫”數據，有的甚至還提供短信轟炸、電話轟炸等“配套服務”。

“社工庫”數據從何而來

“社工庫”到底包含哪些數據？經同事授權，研究員按照“社工庫”群組的指引，向指定賬號輸入了同事的手機號碼，隨即便收到一個文本文檔，其中包含同事的姓名、身份證號、住址、個人微博鏈接等大量信息，就連所讀大學的名稱、專業和學號都赫然在列。

另經多次嘗試接觸，某“社工庫”群組管理員向研究員展示了兩張“社工庫”原始數據記錄的截圖。兩張截圖均包含個人姓名、身份證號、手機、郵箱、住址、婚姻狀況等內容；其中一張還附帶個人名下車輛車型、車架號、發動機號等信息；另一張則附帶某知名保險企業的保單記錄，包括保險產品名稱、投保金額、保障期限等。

這些“社工庫”掌握的個人信息為何如此詳細？網絡安全專家解釋，黑灰產團伙會通過整合多個數據源，拼湊出個人“超級檔案”。例如，先通過某些違規手段獲取用戶手機號碼等信息，再與已泄露的數據庫進行比對，實現用戶與泄露數據的一一對應。今年央視3·15晚會曝光的“大數據獲客軟件”，就是通過不法手段海量竊取目標人群的消費習慣、手機號碼等信息。或者，有些用戶在不同網站使用同一套賬戶密碼，黑灰產團伙非法獲取某一網站的用戶賬戶密碼后，以這些密碼嘗試批量登錄其他網站，進而獲取該用戶更多身份信息，這種方式也被稱為“撞庫”。

而隨著近年互聯網平臺企業的安全防護措施不斷完善，“內鬼”泄密逐漸成為數據泄露的主要途徑。2023年8月，北京市高級人民法院曾就侵犯公民個人信息犯罪案件審判情況召開新聞通報會，指出買賣和交換是侵犯公民個人信息犯罪的主要手段；放眼整個犯罪鏈條，內部人員泄露信息是侵犯公民個人信息犯罪的主要源頭。

在數個“社工庫”群組中，研究員還發現：一些不法分子在吆喝著自己是“全網最全數據庫”的同時，還在誠聘“長期合作”的“相關專業人士”。相關廣告大多打出“日入過萬”“快速變現”等宣傳語，誘惑企業關鍵崗位人員加入，并宣稱可一對一指導對方如何規避風險。更有團伙點名提出希望與國內某知名銀行的工作人員“合作”。

“社工庫”為何難治理

“社工庫”的危害不局限于某一國家或某一類別人群。調查過程中，研究員收到多條不法分子兜售不同國家和地區個人信息的廣告。從美國駕照，到印度銀行貸款，再到俄羅斯稅務記錄，全球各地的海量敏感個人信息在黑灰產團伙之間被打包售賣和流轉。

奇安信數據也顯示，2024年全球公開報道的201起數據安全事件中，數據泄露事件為170起，占比高達84.6%，可確認的泄露數據超過122.7TB。

近年來，我國已出臺《中華人民共和國網絡安全法》《數據安全法》《個人信息保護法》等一系列法律法規，警方和網信部門對非法販賣個人信息利劍高懸，業界也持續完善用戶數據安全的“護城墻”。

但網絡安全專家也坦言，不少“社工庫”內的數據經歷多次流轉，可謂“人手一份”，已很難追尋源頭并封堵。此外，不少黑灰產團伙在境外作案，“社工庫”服務器也部署在境外，跨境打擊難度較大。

河南澤槿律師事務所主任付建表示，如果他人在境外侵犯境內法人、自然人信息，則涉嫌犯罪，根據我國刑法保護性原則，同樣可以適用我國法律。鑒于境外信息泄露猖狂，公民可以向公安機關報案，公安機關可通過國際司法協助等途徑開展調查。

侵犯個人信息案件不絕

數字化時代，個人信息保護與數據黑灰產治理是一項長期性、系統性的工程。公開數據顯示，2020年至2023年，全國公安機關累計偵破侵犯公民個人信息違法犯罪案件3.6萬起，抓獲犯罪嫌疑人6.4萬名，其中抓獲電信運營商、醫院、保險公司、房地產、物業、快遞公司等行業“內鬼”2300余名。今年3月18日，公安部門再次通報，2024年共偵破相關案件7000余起，重拳搗毀一批個人信息交易平臺，抓獲一批犯罪嫌疑人，并公布依法打擊侵犯公民個人信息犯罪10起典型案例。

河北維則律師事務所黃遠律師表示，我國《民法典》明確規定，自然人的個人信息受法律保護，任何組織或個人不得侵害。“開盒”行為嚴重侵犯了他人的隱私權、名譽權等多項人格權利，根據具體情節，行為人可能面臨民事賠償、行政處罰，甚至刑事責任。

黃遠律師提到，查詢他人隱私而未公開，該行為本身也游走在法律邊緣，也有潛在違法風險。在查詢過程中，若采用了非法手段，如黑客技術、購買等，同樣構成違法。此外，這種行為違背了道德倫理和網絡規范，為隱私泄露埋下隱患，一旦信息被不當使用或意外泄露，將引發嚴重后果。他強調，隱私權是自然人享有的對其個人的、與公共利益無關的個人信息、私人活動和私有領域進行支配的一種人格權，查詢他人隱私的行為屬于刺探他人隱私，侵害了他人的隱私權，違反了《民法典》的相關規定。