杭州警方破獲非法買賣個人信息案
相信不少人都有這樣的經歷，買了房子，裝修的短信就沒完沒了；買了新車，保險公司的短信就鋪天蓋地。這些短信的背后，是我們個人隱私信息的泄露。那么我們的個人隱私和信息到底是如何被泄露？如何被買賣的呢？日前，杭州警方破獲一起侵犯他人個人隱私案件。
今年3月份，杭州市下沙經濟開發區的一家快遞公司的負責人發現，有人在網上公開買賣他們公司快遞單上的信息，而且銷售量還很大。
報案人李先生：因為這個面單信息我們是不允許，連收垃圾都不好賣的，賣廢紙都不好收的應該全部是燒毀銷毀的。再后來我們公司想了以后，應該是人家盜取的，因為數量也有一萬多張，所以我們就報案。
上萬條快遞信息網上公開叫賣
接到報案后，杭州警方立即展開了調查，調查過程中辦案民警發現，確實在一些公開的網絡論壇和QQ群中，有人在大量兜售快遞面單信息，這些信息以圖片格式存在，面單上除了有快遞編碼之外，還詳細地記錄著收貨和發貨雙方的姓名、手機號碼、聯系地址等個人信息。在進一步了解過程中我們發現，這些信息記錄雖然十分詳細，但是在網上銷售的價格卻非常便宜，一條記錄有收貨人姓名、手機號碼、收貨地址的所謂“有效數據”信息，賣家只要5毛錢。而如果有人愿意以“打包批發”的方式集中購買，一個包含上萬條個人信息的數據包要價也不過幾百元錢。
警方鎖定嫌疑人落腳點實施抓捕
隨著調查的不斷深入，警方發現集中銷售這些個人隱私信息的賣家網名叫“家有頭豬”，經他手銷售的個人信息不僅數量很多，而且更新也很快。經過調查，辦案民警最終確認，這個網名叫“家有頭豬”的嫌疑人姓莫，落腳點在海口市，于是警方立即趕往?？趯@名嫌疑人進行抓捕。當辦案民警找到這名嫌疑人時，他正在處理前一天剛拿到的快遞信息，準備打包出售。在嫌疑人的電腦里，辦案民警發現了大量已經打包好的個人信息，經過分析確認這些信息數據竟然多達1400多萬條。
杭州市下沙經濟開發區公安分局民警徐亦斌：1400多萬條的信息，基本上都是生活中正常都在使用的聯系電話還有住址，那么可以通過這個信息直接找到你，甚至有一些信息更詳細一點的，直接說出你的身份證號碼、你的工作單位、你的學歷，家庭情況，小孩子這些它都能說的出來。
犯罪嫌疑人說，由于他銷售的個人信息準確度高，而且價格又很便宜，所以在網上銷路一直很好。
嫌疑人莫某：很多一買都是買上萬條的，買上萬條，他們做生意，就是比如很多那種都是搞什么電池，生產那種充電寶。比如你買了一個手機，那你是不是想要一個充電寶，他會打電話來推銷他的產品，就是這樣子的。
另外，這名這名嫌疑人說，他手頭的個人信息之所以賣得好，還有一個原因就是這些信息都是新鮮信息。
嫌疑人莫某：新鮮嘛，比如隔了一個月，隔了一年，一年以后不知道您用不用這個電話了，現在買的這個，肯定是您在用這個電話嘛，對不對，然后他們出去就會說這個比較完整，比較新。
嫌疑人利用網站漏洞盜取海量信息
這么大量的公民個人信息，嫌疑人又是從哪獲得的呢？在審訊過程中嫌疑人交代，他都是從一個網名叫“踏實做人”的人那里買來的。這個人手上的快遞信息幾乎每天都會更新，而且要價也相當便宜。
辦案民警隨即對這個網名叫“踏實做人”的嫌疑人展開的調查，然而讓辦案民警沒想到的是，這個“踏實做人”竟然還是個在校學生。嫌疑人告訴記者，他賣的個人信息之所以非常便宜，是因為他獲得這些快遞信息非常容易，甚至可以說幾乎沒有任何成本。
杭州市下沙經濟開發區公安分局民警徐亦斌：本身他是想做網絡安全測試，想為自己今后找工作尋找一些便利，那么在這些測試過程中，他發現了物流公司或者是其他公司的一些安全漏洞。
[page]
部分網站存低級漏洞致信息泄露
辦案民警在嫌疑人的電腦里發現，這里儲存的快遞公司信息不止一家，這名嫌疑人告訴我們，有的網站的數據庫存在一些比較低級的漏洞，比如弱口令漏洞、上傳漏洞等等，而這些漏洞就是他獲取大量個人隱私信息的秘密通道。
嫌疑人：快遞公司有個弱口令，弱口令就是一個很簡單的密碼，然后到那邊之后可以進去它的后臺，有些漏洞它很簡單，但是沒注意。
嫌疑人說，成功通過漏洞進入網站后臺后，還需要上傳一個后門文件，才能獲取到數據庫的訪問權限。
嫌疑人：后門(工具)，后門可以控制整個網站。
記者：那你通過這個后門(工具)把數據庫就能拖出來了是嗎？
嫌疑人：對。就能拖出來。如果清楚這個漏洞，什么都清楚的時候，20秒之內就可以搞定，如果不知道的話，你可能20天都搞不定。
嫌疑人說，成功上傳了這個文件，就相當于掌握了一把開啟網站服務器后門的鑰匙，有了這把鑰匙就能獲得超級權限，控制整個服務器。然后只要找到通往數據庫的路徑，就可以進入數據庫導出自己需要的客戶信息了。
為了能夠持續利用這個后門拖取數據庫里的信息，從而源源不斷地獲取更新數據，嫌疑人在成功植入后門文件后，還想方設法將這個文件隱藏起來，不仔細檢查，會很難發現。
杭州市下沙經濟開發區公安分局民警徐亦斌：他會做一個偽裝，就是說他把上傳進去的那個文件，修改文件創建時間，以及它的文件名修改的會和你系統里自帶的那些文件名比較相似，也就是說你正常情況下是無法察覺的。
專家說，黑客通過漏洞登陸網站后臺，上傳后門工具，繼而控制整個網站服務器，這個操作過程并不復雜，難的是如何在前期測試出網站存在什么樣的漏洞，繼而為己所用。然而在調查過程中，專家告訴記者，像弱口令、上傳漏洞這樣的漏洞其實很初級，但是也并不少見，甚至有些大型網站的后臺登陸密碼就是一個弱口令，而這樣低級的漏洞一旦被黑客利用，網站的安全就會受到威脅。專家告訴記者，這些漏洞在實際操作中只要稍加注意其實是很容易就能避免的。
網絡安全專家唐威：弱口令漏洞的話，我們就可以把這個網站的密碼設置得復雜一點，并且要養成一個定期更改的一個機制就可以了。上傳漏洞也是這樣，我們把這個上傳的這種接口給它封住，或者首先我要經過多層次身份驗證以后，才可以實現這個操作就可以了。
京公網安備 11010502049343號