700元就可買到同事行蹤？安全專家：屬實！你不知道的還有這些

12月12日，南方都市報的一篇文章《恐怖！南都記者700元就買到同事行蹤包括乘機開房上網吧等11項記錄》在朋友圈刷屏了，里面描述了一些恐怖的調查現象：幾百塊錢就可以買到某個人被泄露的全套個人信息，四大銀行存款記錄、手機實時定位、手機通話記錄……都可以查到，甚至可以進行手機定位，“服務最到位”的是，還有第三方軟件為這樣的服務提供擔保。

雷鋒網編輯不禁想到，兩個月前，去安全企業白帽匯公司采訪時，白帽匯安全研究人員告訴編輯：“你想不想查一下自己被泄露的信息？”編輯一驚，這都有？！該安全研究人員表示，是的，以他們長期潛伏黑灰產群的經驗來看，很多社工庫都可以查到個人被泄露的信息。

于是，在看到這篇文章后，編輯火速與白帽匯的安全研究人員聯系，確認該文的一些事實，并知道了一些“了不得”的事情。

1.700塊錢買到全套資料有可能嗎？黑產是有統一的數據庫嗎？

白帽匯安全團隊：是的，完全有可能。但是，黑產是否有統一的數據庫，這個不確定，黑產為了做全套資料，不排除會到處搜集資料，整合成一個比較齊全的庫。

2.住宿、航班、銀行開戶、網吧上網各種記錄一應俱全，這是不是意味著泄露的源頭就是酒店、訂票網站……？

白帽匯安全團隊：這倒不一定。比如，你可能從很多網絡渠道訂過車票，是誰泄露的，真不好說。就算拿到泄露的數據庫資源，也很難溯源。除非把這個原始數據庫留了下來，才能可能讓被泄露的廠商確認，這是他的數據庫。但是，一般會而言，黑產拿到數據庫后會進行脫敏、加工，這樣就很難找到泄露源頭。另一原因是，目前監管不得力，誰都敢做信息泄露這件事情，很多信息泄露的情況是——內部人員把數據拿出來賣。

3.報道里提到：“一個名為“分布式查詢”的文檔里，記錄了該同事自2011年4月以來的旅館住宿記錄、常住人口記錄、暫住人口記錄和網吧上網記錄，另一個“人員基礎信息—×××”文檔中則是火車記錄、航班記錄、銀行開戶核查記錄、駕駛證記錄、駕駛證違章記錄、機動車登記記錄等。”看到這些，感覺很震驚，在信息泄露上還有什么更讓人震驚的案例嗎？

白帽匯安全團隊：我一點都不震驚。現在市面上確實有這些信息賣，很容易做到。而且，個人信息泄露，一定是有的，信息泄露發生在你進入互聯網的一瞬間，只要你在互聯網上填寫了個人信息，如曾經訂過機票、填寫過地址、電話……不要懷疑，一定會有。

我感覺也沒什么更恐怖了，第一次看到信息泄露后會很震驚，第二次就會習以為常，而且有些公司之間還會進行數據交易和買賣。

雷鋒網還注意到，這篇報道提到“南都記者決定再換個同事的手機號碼，查一下其手機定位情況，前述工作人員表示僅可查詢聯通號碼的手機定位，查詢時間為半小時，收費是600元。南都記者提供手機號碼并付款半個多小時之后，對方發來了定位信息的圖片，內含地圖、經緯度信息(精確到小數點后六位)，與記者同事所在的位置完全一致。”

這是如何發生的？一位匿名人士提醒編輯：“你有沒有注意到，工作人員表示僅可查詢聯通號碼的手機定位，這意味著是否是其中一家電信運營商的接口被黑產利用了？值得探究。”

在該報道中，還提到了社工庫。白帽匯安全團隊幫助編輯找到了其中一個社工庫的可用網址，如圖所示：

編輯嘗試了一把，輸入自己的 QQ 號后，果然看到了曾經用過的密碼信息。另外，這個社工庫頁面還顯示，可以提供別的“高級搜索”，比如，開房信息，但需要匯款成為會員。

最后，比較悲劇的是，在編輯嘗試了輸入身份證號查詢后，發現白帽匯的安全研究人員發來提醒——千萬不要輸入身份證號，不然這個社工庫會進一步綁定你的查詢信息，編輯知道后心情如圖所示。

雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。