本文介绍了百度副总裁女儿“开盒”事件引发的公众对数据安全的担忧。文章详细解释了“社工库”的概念，即不法分子通过攻击网站、欺诈用户等手段获取的大量个人隐私数据的统称。此外，文章还介绍了“社工库”的传播途径、数据来源、危害以及为何难以治理。最后，文章强调了个人信息保护的重要性，并指出这是一项长期性、系统性的工程。
百度近日发布声明，称“开盒”信息并非源自百度，而是来自海外某加密聊天软件。“开盒”是指违法获取并恶意公开他人个人信息，逐渐进入公众视野。
“社工库”是非法获取的个人隐私数据的统称，包括个人身份信息、联系方式、账号密码等。这些通过非法手段获取的信息被包装成“开盒神器”对一般人售卖。
网络安全专家解释，黑灰产团伙会通过整合多个数据源，拼凑出个人“超级档案”，如手机、邮箱、住址等信息的泄露和匹配。
全球各地的海量敏感个人信息在黑灰产团伙之间被打包售卖和流转，治理难度因数据多次流转、跨境作案等原因而加大。
我国已出台一系列法律法规保护个人信息，侵犯个人信息行为可能面临民事赔偿、行政处罚，甚至刑事责任。查询他人隐私的行为同样可能违法，并有潜在风险。
本文自南都。
采写 | 南都研究员 李伟锋 袁炯贤
百度副总裁女儿“开盒”事件，持续引发公众对数据安全的担忧。百度近日连续发布声明称，“开盒”信息并非源自百度，而是来自海外某加密聊天软件。
“开盒”一词，意为违法获取并恶意公开他人个人信息。它最初流行于“饭圈”等群体，近年逐渐进入公众视野。与之紧密相关的，是黑灰产团伙四处兜售的“社工库”，以及猖獗的数据泄露“黑生意”。
什么是“社工库”
所谓“社工库”，全称是“社会工程学数据库”。它不是某个特定的应用程序，也不是某个由指定组织建设、维护的数据库，而是不法分子通过攻击网站、欺诈用户等手段获取大量个人隐私数据，再整合分析、集中归档形成的一类资料集统称。
有网络安全专家向南都研究员介绍，早年间一些互联网平台、行业单位的网络数据安全保护能力不足，不法分子通过网络钓鱼、木马病毒、“内鬼”泄密等手段从多个渠道取得大量个人信息。这些信息经过整合处理后，便形成包含个人身份信息、联系方式、账号密码等的“社工库”，为黑灰产团伙对目标企业或个人实施电信诈骗、威胁恐吓等提供精准的背景资料。
该专家表示，不法分子窃取的这些个人信息在黑灰产行业内经历多次交易后，几乎“人手一份”，难以继续出售牟利，于是被包装成“开盒神器”对一般人售卖，榨干最后一分“商业价值”。“你把手机号、微博号、QQ号之类的线索发过去，对方拿着线索在数据库里搜索，匹配到的个人信息回传给你，‘开盒’成功，这就是背后的原理。”
“社工库”在哪里
为了吸引流量、招徕顾客，这些掌握海量个人信息的“社工库”进入门槛并不高。以此次引发关注的百度副总裁女儿“开盒”事件为例，当事人通过国外手机应用市场下载某款加密聊天软件，稍加搜索，便可加入某个提供“社工库”的群组。
南都研究员也循类似途径成功加入相关群组。调查发现，只需在群组内添加指定账号，并按格式向该账号提供“开盒”对象的姓名/手机号/邮箱/身份证号等任意一条资料，就可以获得相关个人信息。
“开盒”成本是多少呢？普通用户每天签到1次便可兑换1次个人信息查询机会，通过邀请新用户等其他方式，也可获得更多查询次数。如果想获得无限次查询服务，则须支付70枚USDT（一种以1:1汇率与美元挂钩的虚拟货币），折合约507.5元人民币。
南都研究员留意到，由于邀请新人入群可以快速获得积分，换取更多免费的个人信息查询机会。因此，群组内几乎每时每刻都有人发送其他“社工库”群组的邀请码，拉客“引流”。通过相关邀请码，南都研究员先后加入了5个不同“社工库”群组，其中规模最大的一个已有超9.5万个用户，其他群组用户数量也在1万到5万不等。
此外，加密聊天软件不是“社工库”及相关个人信息的唯一传播渠道。调查过程中，南都研究员在一些互联网技术交流平台、个人博客网站也发现有不法分子对外兜售“社工库”数据，有的甚至还提供短信轰炸、电话轰炸等“配套服务”。
“社工库”数据从何而来
“社工库”到底包含哪些数据？经同事授权，南都研究员按照“社工库”群组的指引，向指定账号输入了同事的手机号码，随即便收到一个文本文档，其中包含同事的姓名、身份证号、住址、个人微博链接等大量信息，就连所读大学的名称、专业和学号都赫然在列。
另经多次尝试接触，某“社工库”群组管理员向南都研究员展示了两张“社工库”原始数据记录的截图。两张截图均包含个人姓名、身份证号、手机、邮箱、住址、婚姻状况等内容；其中一张还附带个人名下车辆车型、车架号、发动机号等信息；另一张则附带某知名保险企业的保单记录，包括保险产品名称、投保金额、保障期限等。
