你接到的每一通贷款电话都不是意外 | 黑皮手册015
大家好，我是田静。
今天新来的实习生吐槽，他们学校某个班的学生信息集体被泄露，全班的微信都被一个考研培训机构的老师加了个遍。
这样的事件已经发生过多次
在中国，信息泄露仿佛已经变成了常态。
今年4月，一份外卖送餐信息被挂到网上售卖。这份信息中，涉及五千个外卖用户，包含地址、电话、姓名等，每条信息售价不到一毛。
中国互联网协会数据显示——63.4%的网民通话记录、网上购物记录遭到泄露，78.2%的网民个人身份信息也被泄露，包括姓名、身份证号和工作单位。
因为这些信息泄露，我们的生活面临了很多麻烦和危险。
数据被泄露之后，大多会被利用到下面这几方面：电话销售、电话诈骗、垃圾短信、被注册网站等。
因此每个人都会遇到下面这些情况：
当你每天挣扎着爬起来的时候，搞电话推销的朋友们，也开始了一天的工作。
他们通常是，贷款、保健品、保险、理财、股票、房地产中介从业人员，因为这些行业是个人信息主要的购买者。
刚到公司，他们拿到厚厚一叠资料，里面是一天要打的电话名单，开始一个个拨出去。
在点外卖的时候，你会接到他们打来的口音很重的电话：
「你好，我们是银行无抵押贷款，您需要贷款吗？」
「你好，最近有炒股的计划吗，我们给你推荐一个股票大师。」
「最近买房吗？我们有优质房源，还可以提供优惠的贷款。」
……
你问，「你怎么知道我电话的。」
他们总有理由搪塞过去。
你心里骂一句粗话然后挂掉了，继续点外卖。
这类电话营销，就是最常见的个人信息被泄露流通的地方。
通常一份电话数据会被反复转手，因此你可能会接到来自全国各地口音的贷款电话。
通常这些电销名单都来源信息黑市
吃了午饭，正打算休息，一阵电话响起。
那边跟你很熟练地打招呼，你不知道这人是谁，问他。
「猜猜我是谁？」他说。
你想你朋友不多，不会是某个以前的朋友吧，然后随便猜了一个。
「你是王某某吗？」
「是啊。」
你疑惑，「没想到真是你呀，你怎么换号码了。」
「我换号了，这不打电话给你吗。」
寒暄一阵之后，他约你见面吃饭。
这种电话诈骗被称为「猜猜我是谁」。
口音一般都是南方的，先冒充熟人，再相约聚会，然后中途出事故，最后提出要求汇钱。也有假装嫖娼被抓，不想外人知道，找你筹钱出狱。
在实施诈骗之前，你的个人信息对方早就有底。这些信息都相当精准，诈骗集团会据此编造出迷惑性较高的诈骗场景，设计情节，提高诈骗成功概率。
猜猜我是谁的版本差不多类似
其实你早知道对方是骗子，只是想寻对方开心。打完电话，你笑出猪叫，打算睡午觉。
一串短信突然袭击了你，你烦恼。
打开一看：「我们是卖高端复刻包的，国际大牌奢侈品代工都在中国……」
你想呕吐。
你一天会接到很多垃圾短信。
「澳门菠菜公司，介绍朋友娱乐月赚百万佣金…..」
「淘会员，亲，您的网购率好评超过90%，恭喜获得官方内部补贴资格…..」
「路易威登官方授权正品，官方限时限量1折。」
这些都是你的信息被泄露之后会遇到的各种事儿，但你可能也不在乎，顶多就是有点烦。
中国人对隐私问题的态度挺开放，也没那么敏感
忙完一天的工作，你终于下班了。
躺下休息，闭上眼睛。
但你不知道的事儿，正在发生。
有人拿你的个人信息，在各种网站批量注册成为用户，进行刷单套现、诈骗、返现等新型网络犯罪。
有人通过购买你的个人信息，制作你的身份证件，开办手机卡，通过网上申请信用卡，激活后透支消费。这种事可能要等到银行追债的时候，你才会知道。
这些都是随时可能引燃的炸弹。
我们总是心存侥幸，通常的做法也只是：把一些骚扰电话拉进黑名单。
我们很难追根究底，这些信息到底是如何泄露的。
网上已经有很多技术大拿做过很多的来源挖掘，而我作为一个不懂任何技术的IT小白用户，并不打算从技术上去做剖析。
我做了个尝试，看看我这样的小白，在网上购买一份泄露的信息有多容易，这些信息又是从哪儿来的。
▌黑客
我在网上找到很多黑客论坛，这些论坛鱼龙混杂，有技术交流，还有的提供各种黑客软件、资料，以及数据。
在逛论坛的时候，我看到一个帖子，他贴出了某买票网站的数据。
这些数据详细到身份证、邮箱、密码都有，令人不寒而栗。而这些都只是他放出的一部分，他在论坛上寻找大买家。
我假装要购买数据，和他聊起来，他叫「雷哥」，显然他看不上我这样的客户，磨磨唧唧又不买。
雷哥是个90后，他告诉我现在90后黑客已经占了一半以上，不过并不像大家想的那么赚钱，有一半人一年赚不到10万，赚百万的更是凤毛麟角。单纯只干黑客的并不多，更多是兼职，有活儿了才做。
雷哥说大单子偶尔也有，几万块钱，有些公司会找他们去窃取数据，有些还是知名公司叫他们做的。
当我问起那些大批量泄露的用户数据时，雷哥说赚钱的都是中介，人脉都在他们手里。他们收了数据再把数据倒手几次，一份数据赚好几份的钱。
我问他既然这么赚钱，为啥不去干中介。他给我发了个大笑的表情，「黑客好玩，我舍不得我的技术，如果我去干中介，钱是多了，可我没时间研究黑客。」
▌信息中介商
我在网上寻找这些信息中介商。为了防止被人说成是教学贴，具体过程我就不细细展开了。
我通过搜索某些关键字眼，找到了一些信息贩卖的群。
我观察了下这几个群，然后发现群主都是同一个人。
我申请进群，但被群主拒绝了。
过了一会，我收到一个好友申请，是群主个人号。
他的昵称叫「子安」，我向他询问有没有信息可以卖。
他问我要做什么的。
为了和这些信息中介商套近乎，表明都是一条道上的，同行好搞事儿，于是我就说「我是做电信诈骗的，有没有北京高校学生的名单？」
电信诈骗曾经导致几个大学生自杀，因此臭名昭著，没想到他急了，骂了我一顿，「你是骗子，滚蛋，操。」然后把我拉黑了，原来做黑产的还有鄙视链。
我的套路失败了
我换了个小号，又重新加上了他。
我假装是保险人员，需要一份客户拜访名单，他问我需要什么区域的。
确定是北京之后，他给我发了一张截图。
这份信息全是来自「个人信用贷」，内容包括姓名、电话、还有住宅地址，具体到哪一个房间。
很快，我们谈到了价格，他说「500一万条，5万条以上按300一万条算，十万以上200一万条，再多的话还能更优惠。」
为了验证真伪，我告诉他，「你再给我截中间页码的给我看看，不然要是你给我这几条是真的，其他全是假。」
「几十万条呢，骗你干嘛。」
我翻了翻他给我的截图，「这些号码都是比较老的，有没有年轻一点的，我主要针对年轻人，毕业三五年那种。」
随后他又给我发了一份数据，信息来自IP地址，内容包括电话、IP和移动设备。
为了交易安全，对方也考虑得很清楚，「在微信转账，分批交易，先付500发2万条，后付500发3万条，这样你也不用担心。」
随后我问他，是否有带身份证的，他说没有，「不出的。」
我说「不会出去搞事的，就是做个工资税单。」
怕我不信，他要求我录个公司视频。
「你做这行不清楚吗，买这些信息哪有把自己公司暴露的？」
他松口了，他手上有个人征信拿到的资料，600块一百条。
自此我和「子安」这位信息中介商搭上了线，为了从他手里套到信息来源，我和他打起了游击战，我总结了一下我拿到手的这些信息都是从哪儿泄露的。
▌个人征信信息
小到办理一张信用卡，大到贷款买房、买车，都是靠个人信用报告来获得。
据《一本财经》报道，工商、身份信息、车辆、房产、电商交易、银行这些数据最吃香，也是征信行业必备的底层数据。
在个人信用贷异军突起的这两年，个人的信息泄露尤其严重。
而数据的来源有俩部分，其中一部分不用说，就是来自内鬼。这部分的来源比例要高于黑客。
另一部分是有数据的政府部门和机构，他们下面都会有一两家代理商，可供需要数据的企业，申请接口。一旦有人通过接口调取过数据，就会在接口本地缓存下来，黑客就攻击这些数据。
除了黑客这种方法，还有人会使用一些软件，窃取数据。
有一些个人征信app，号称可以「直连央行征信系统」，只要在手机上下载软件就能查询个人征信记录。
但用户使用时，需要手机和验证码注册，进行身份验证。 这些app，会获取用户手机隐私，包括位置、电话号码、访问摄像头，甚至包括读取短信和通讯记录等。
通过这些涉及个人信息的操作，确实可以查询到的央行征信报告。
这份征信报告记载了个人通讯方式、住址、婚姻状况、职业信息、银行贷款记录、信用卡透支记录等详细信息。
这些最需要保护的个人隐私，就被app轻而易举地留存使用。
▌网络广告页面抓取
我拿到的数据，有一部分是网络页面广告抓取的，包含电话，地区，通讯商。
「能点击推广的图片，基本都是意向客户，接通率高。」信息中介商这么告诉我。
最典型的来源就是，色情网站的弹窗广告、p2p网站的广告。
大致流程是：犯罪公司建了十来个免费色情网站，要访客证明他们已满18岁，才能进入；为了看色情片，很多人就注册了账号，数据就被窃取了，这对黄色网站来说，是一个双倍加成的获利方式。
所以千万不要随便点击垃圾广告页面，也别轻易点那些色情小广告，那都是钓鱼的，忍不住注册你就被记录了。
▌网站数据
比如大家关心的快递信息，是怎么泄露的。
快递公司跟签约快递员、电商购物网站、购物用户自己，都可能是泄露的来源。
快递企业官方信息管理系统出现漏洞，会被黑客批量去「拿」数据，但也有直接是内部人员流出来的。
电商网站同样会泄露信息，2016年京东50亿条公民信息被泄露。犯罪者长期跟盗卖个人信息的犯罪团伙合作，盗取公司的个人信息数据，并通过各种方式在互联网上贩卖。
看到网上这些泄露数据的新闻，我们基本已经无从躲避。
自从你连接上了互联网，那么你基本上也就有被泄露的风险，除非你连银行卡都没有，生活在乡下自给自足。
▌Wifi窃取
根据新京报的调查，一些生产WiFi探针的公司，会收集用户手机的Mac地址，Mac地址就像手机的ID身份证。
这些公司通过跟电信运营商合作，拿到手机对应的手机号。
有的会接入百度、腾讯等公司的大数据库，对大量用户进行用户画像，甚至直接提供用户的微信。
根据记者调查：「犯罪团伙每天派出一名员工携带设备到写字楼转一圈，采集写字楼里员工和老板的手机信息。此后只要是上班时间，就通过后台向写字楼所有人手机里弹出广告，业务人数大大增加。」
除了出售大数据的黑市之外，市面上还存在大量的私家侦探。
这满足了这些人的胃口：想人肉搜索的，想查男朋友开房信息的，抓小三的等等。
但这些私家侦探给出的信息是真是假？
我朋友就买过相关的服务，他在一个群里加了一个说可以查开房信息的，想查一下相亲对象的情况。
他告诉我，那个侦探一开始给出的价格是，「开房记录、网购地址、户籍地址等一周之内的记录200，一个月的300，半年的600，先付定金100。」
他转了账，侦探的说辞变了，变成了单项收费，「网购地址260，开房记录300，户籍地址480。」
半小时后侦探查好资料，要他交尾款400然后发资料过来，这位朋友肯定不干。
看他生疑，侦探也急了「我不是骗子，也从来没有骗过任何一个人。骗你我早就把你删了。」
朋友也生气了，「少来，你他妈倒是发一些过来我验验。」
经过拉锯，这位朋友付200让他先发开房资料，其他的等验过了再发。
等付完200，侦探又变了说法，要他再付200才给发。
直到最后他说如果不付的话，交易结束，资料销毁，退款一半。这么一看，这个人还是值得信任的，愿意退款。
这位朋友选择再次相信他，告诉他「不想查了，快退款吧」。
然后侦探就把他拉黑了。
所以我奉劝朋友们，切勿打歪主意，很可能成了骗子的盘中餐。
市面上虽然存在一些人，通过各种渠道能够获得开房信息、实时位置监控等，但更多的是像这样的骗子，骗完就拉黑。
上面这个案例，基本上代表了「私家侦探」这个行业的常态，能调查就调查（通常都是非法调查），调查不到就做一份假数据糊弄。
「私家侦探」在我国是不合法的，任何个人和组织没有经过授权是不能调查他人的。
针对信息贩卖的法律规定：非法获取、出售或提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上的即入罪。
虽然这个法律的裁定门槛很低，但公民对信息泄露的法律意识依然很薄弱，很少会去维权。
我们依然会接到各种骚扰电话，收到垃圾短信，但我们依然会发出这样的天问，这些信息都哪儿泄露的。
只要在网上留下信息，那么就有可能在某个环节被泄露，这是我们在数据时代的悲惨遭遇。
这是个人无法阻止的，总不能不去网上购物、网络社交吧。
对了，上周有朋友找到我，说想在女孩别怕投广告。我先给她打了剂预防针：我对广告的要求有点严格，产品不过关、我不认同的，都不接。
聊了之后，我觉得还行。这个东西是必需品，还能帮大家省不少钱。重点是，品牌够硬，我用了好多年了。
它叫：淘宝。
这次，我联合「淘宝」，给大家发一批双十一红包。
1.在「手机淘宝」首页搜索框输入密码「女孩别怕田静」，就能得到一个天猫双十一当天全场通用大红包。
2. 红包金额为随机分配，多少主要看命，最大红包是1111元的。
3. 从今天到11月1日当天，每人每天能领取3个红包。
4. 红包使用时间【双十一当天】：2018年11月11日00：00：00~2018年11月11日23：59：59
5. 还有，这红包可叠加使用，1笔订单最多可以用10个红包叠加抵用。
大致规则就是这样。领多少钱看命了，每天刷淘宝的时候顺便领一下，祝大家运气满分。
因为微信改版
很多人会错过推送
给女孩别怕点上星标吧
往期文章推荐：
参考资料：
1.杭州两名专查婚外情的私家侦探获刑：大半年偷拍五百段视频.澎湃新闻
2.数据黑产调查：猖獗内鬼、黑客师徒与「灰色暴发户」.36氪
3.外卖送餐信息被指在网上售卖 万条信息售价800元.新京报
4.与黑产作战，起底大数据黑产.灰产圈
5.揭秘：黑客究竟对你的「被盗数据」做了什么？.REEBUF
6.个人隐私被「盗走」央行「封杀」代查个人征信APP.人民网
7.关于快递信息泄露的那些事儿.知乎日报
8.京东前员工涉50亿条公民信息泄露案.新京报
9.遭泄露的个人信息都拿去被干什么.文化江湖
10.高校学生信息泄露是怎么回事？这些信息被谁泄露拿去干什么用.海峡网
11.华住疑似1.23亿条用户信息泄露背后的黑市有多黑？.凤凰网
12.现代科技沃土滋养下的数据黑市和网络犯罪.钛媒体