近日，奇富科技旗下信息安全知微实验室(以下简称“实验室”)在反诈分析工作中溯源研究，经过持续监测网络黑产态势，揭秘黑市数据交易链条。实验室称，金融行业因涉及大量高价值用户数据，且靠近交易环节，成为黑产攻击的主要对象，而金融用户信息具有共通性和重叠性，数据泄露会对行业产生系列影响。在数据黑市，不少料商“黑吃黑”，通过撞库、拼凑数据进行买卖交易，并逐渐衍生出新黑灰产业链。
黑灰产偏爱个人信息
据《2022年数据资产泄露分析报告》，从行业分布来看，金融、物流、电商是泄露事件频发的三大行业。金融从业机构在开展业务的过程中积累了海量的高价值数据，这些高价值数据一直都是黑产团伙眼中的“香饽饽”。被泄露的金融数据，涉及银行、证券、保险、借贷等机构和企业的客户信息倒卖，包含客户姓名、身份证号、手机号、出生日期等敏感字段。
该类数据流入黑市后，往往会被下游黑产团伙用于精准营销以及电信诈骗等，例如通过获取客户信息，以短信、手机号等方式联系客户，进行相关业务的精准营销，又或通过冒充公检法工作人员，以配合调查、响应政策等名义，诱导用户进行转账或其他贷款操作。
实验室称，当前在网络平台流转的数据主要来源于两大渠道，一是不合规的短信代理商泄露，二是黑客攻击或渗透，还有少部分为企业内鬼泄露。金融行业在数据安全建设上已经较为成熟，但在第三方合作中，仍有客户信息遭遇泄露或被黑产窃取，给金融行业带来了不小的风险与挑战。
金融数据泄露“一损俱损”
从数据变现的能力和影响来衡量，金融用户信息泄露会在企业、行业、黑产等领域产生一系列影响，无论是对个人的打扰还是整体的威胁都存在一定的风险。实验室指出，在互联网金融行业，个人信息具有共通性。比如A企业泄露了一万条用户信息会直接影响到B企业，假如A企业用户的电话号码泄露了，B企业的用户会直接遭受诈骗或是数据泄露、贩卖的风险。
这与数字化时代个人信息的互通互联相关，个人数据包含了很多维度，每个维度还可以引申出其它信息，比如手机号可以引申到个人的邮箱或是个人的企业账户，甚至是比较机密的信息等。从这个维度上来说，数据泄露会影响到个人、家庭、甚至是国家层面。
“在金融领域，很难规避一家企业信息泄露造成的行业影响，比如说企业遭遇黑客攻击或者是数据传输过程中的问题导致的泄露，会关联很多行业内的其他企业和机构。数据安全是一个行业性的问题，不单是一家企业或机构的问题。” 知微实验室相关负责人表示。
料商拼凑数据“黑吃黑”
个人信息通过第三方、网络技术、黑客、内鬼等渠道流入了数据黑市，并进入了大大小小的各层级代理料商手中。料商，即数据中间商，他们上通数据源头下达数据买家，是地下数据交易市场非常重要的一个角色。个人数据就是通过料商以不同价格在黑市流转。
数据的共通性和关联性也滋生了料商拼凑组装数据的次生黑灰产。为提高精准营销或诈骗的效果，下游黑产团伙往往需要尽可能多地掌握受害者信息，因此料商也会通过拼凑数据进行交易，其中最典型的是新旧数据结合。很多料商掌握了海量的历史数据库，从中可以提取出大量的姓名、手机号、身份证、住址等个人敏感信息。黑产团伙利用某些企业或机构存在安全缺陷的API接口，通过批量扫号攻击的方式，以手机号为关联，将旧数据和新数据进行组合，就可以得到一份全面的数据信息。
还有料商通过撞库、买卖的方式拼凑数据，比如将A企业和B企业的账户或个人信息进行拼装，得到C企业的用户数据信息。因为金融行业数据具有共通性且行业用户基数大，拼装数据凑出用户信息的概率非常高，已成为黑市数据的主要来源。此外，还有料商打着某家大机构、大公司数据的名义出售，实际上是东拼西凑的假冒数据或伪造数据。此类数据经过“二道贩子”清洗加工，适用范围广泛，在黑市也颇为吃香。
数据黑灰产需合力治理
在数据黑产链条上，内鬼、黑客、爬虫软件开发商、清洗者、加工者、料商、买家等寄生于此，催生出一个规模巨大的数据黑市。公开数据显示，黑市数据交易规模已超1500亿，从业者超200万，庞大的数据黑灰产已成为威胁数据安全和个人隐私的毒瘤。
严厉打击非法数据获取行为、加强数据安全能力，从而保护个人隐私、防范电信诈骗和提升社会治安管理成为社会共识。业界普遍认为，打击数据黑市交易，两个核心问题是个人信息保护和数据安全。
围绕这两个问题，我国不断完善相关法律法规，相继出台《数据安全法》、《个人信息保护法》等法律法规，严格打击对非法数据和个人隐私信息的获取行为，并从行政监管等层面落实执法，威慑防范违法犯罪行为。
数字化时代，个人信息保护与数据黑灰产治理是一项长期性、系统性的工程。奇富科技信息安全专家吴业超也从企业方指出，数据流通使用涉及多环节、多合作机构，企业注重自身数据安全管理的同时，也要把控好第三方合作和管理，完善数据全链路监控和管理体系，同时积极探索与监管机构、公安等合作打击治理数据黑灰产。
