本文将包括两个部分:

  • 发布《隐私泄露卧底报告》后作者被人肉报复打击的自述
  • 继续揭露灰色产业中“恶俗圈”(人肉文化)与供给方“社工库”的来龙去脉

被人肉的作者

在上一篇 《微博泄露事件卧底调查报告》 中,本文作者通过亲自体验泄露数据的灰产业务,揭示了个人敏感信息确实被暴露的现实,也得到了很多朋友阅读转发支持。

不过因为作者本人急于赶稿,导致手机号被暴露在外,因此在 24 小时内也遭到了揭露对象的疯狂报复(圈内黑话叫 “出道” ):作者手机号、真实姓名、身份证正反面均被散播在 3 万人 Telegram 灰产群组中。

“隐私泄露案”作者被公然人肉的幕后!

虽然作者这次记得打码了,但是因为真实身份已被公开(出道)。不过更有趣的是后续几个报复行为:

黑市“众筹”悬赏作者的全家户籍

“隐私泄露案”作者被公然人肉的幕后!

目前还未涉及到亲友,不过作者已打好招呼,坐等连累全家!

通过短信、电话等手段骚扰

“隐私泄露案”作者被公然人肉的幕后!

组团打击作者

迷惑行为大赏如下:恶俗小鬼们通过联谊和资源互换,预期对作者达成高效、高精准报复行为的目的,对作者动机(吸引流量)的失败大肆嘲讽(手动狗头

“隐私泄露案”作者被公然人肉的幕后!

令人惊讶的是,在 20 多天前的 3 月 1 日,《网络信息内容生态治理规定》刚刚开始实施,但是“恶俗圈”仍然如此明目张胆——规定明确了网络信息内容服务使用者和生产者和平台不得开展网络暴力、人肉搜索、深度伪造等违法活动。

既然个人隐私已经牺牲了,那我就“自我出道”:

本人姓名佟林,户籍天津人。

目前北漂创业,从事于 Web3.0 的数据隐私保护解决方案,因此对数据保护、公民隐私等议题十分热衷

经常发表不专业观点

沿着此次被人肉攻击的脉络,我会继续揭露隐私交易生态的故事:

“人肉”的历史, 被灰产利用的“恶俗圈”

概述:

  • 恶俗圈只是个小众圈子,其手段之一叫做“人肉”,利用“人肉”素材可以对被害者实现精神、舆论上的更大打击,并以此为乐
  • “人肉”行为不仅仅发生在恶俗文化中,还产生于仇恨报复、网络暴力、地下侦探产业等,但是不以此为生计而是以此为荣的,恐怕只有“恶俗小鬼”们了。

恶俗圈是一个以在网上故意引战、挑事的一个小众圈子,简称恶俗,也称 ESU。他们以在网上到处搞事以及用非法途径人肉他人来取乐。

人肉的过程被恶俗圈戏谑为“出道”(参考韩国艺人),他们在网上用非法手段人肉他们所看不爽的目标的个人信息,人肉出对方的姓名、地址、电话号码甚至是身份证信息与户籍照,并且将这些信息全部发布、公开在网上。

恶俗系的出道活动随着恶俗狗经验的增加和网络环境的变化经历了以下几个时期:

上古时期:贴吧的暴民

远在 80 后、90 后人人皆知的帝吧年代,李毅吧中就已经出现了大量通过高级搜索来获得受害者信息、并上传到网络上公开的“私刑”。当时的网友会对有黑点的公众人物展开人肉攻击,典型案例如李毅、春哥等,甚至成为了“大众文化”。

这种通过消耗时间和搜索技术就能给人带来“正义”的幻觉,让网友们陶醉于其中——我竟能使高不可攀的明星被弄的气急败坏,臭名远播!当然是我有蓝猫我自豪。并且因为网络的匿名性,即使做错事都很难受到惩罚,卸下心理负担个人更能肆无忌惮。此与校园暴力有异曲同工之妙。

在百度贴吧文化疯狂模仿帝吧后,网络暴民们开始对看不上的普通人使用“私刑”:比如不仅罗玉凤本人被全网嘲讽,“罗玉凤吧”内也开始使用各种迫害手段。比如 p 图受害者、av 上、尸体上、动物上,p 到莲蓬上,怎么恶心怎么来;黄色网站,sm 网站,纷纷挂上了受害者的 p 图和个人信息等 ......

“隐私泄露案”作者被公然人肉的幕后!

对于受害者来说,这些个人信息由于年代久远或者是位于较为偏僻的小众网站,所以很难被当事人所预防。互联网初级阶段的人们对网络安全的概念极其淡薄,且网络观念也与现在不同,所以有很多人愿意将自己的个人信息和照片等放在网上用于社交。这些信息的来源也多种多样:

  • 提供实名社交的门户网站,比如人人网(后因法律要求全部实名化)
  • 时间跨度较长的大型中文社区,比如贴吧。在此时代,通过高级搜索也有几率能够查到电话号码。
  • 高频率社交软件,QQ 空间一般会提供大量信息,而雷霆系早期很多就靠这种方式人肉受害者。
  • 早期注册的网站,后来被荒废。比如一些 flash 网站、垂类论坛门户、小游戏等,随着互联网的淘汰,这些公司虽然停止了服务,但是数据流入了黑市
  • 学校、单位放在网上的信息,比如学校的学员名单、奖励名单,单位的新闻稿等

在上古时代,这些隐私泄露手段虽然攻击性也不能算很高,但是由于这些信息的获取本身并不触犯法律(来源于受害者自己公开的信息),所以使用这种方式被出道的人,很难通过法律途径维权。

近代时期:社交媒体人肉

在 2010 年后,随着社交媒体如微博、知乎的兴起,以及海外 MEME 文化传入,恶俗文化开始演变。比如音 MAD,其实就是一种具有恶俗化的潜质的造梗文化,全面传入国内之前也已经通过一系列复杂的演进过程基本完成了主流文化合并。

在 10-15 年期间,随着“公知”带起“抨击政府政治正确”风气,全网开始普及人肉手段。因为此段时期“监督公权力”,是符合社交媒体暴民们将人肉搜索合理性的重要理由之一,标志性事件比如:

  • 2008 年的天价烟事件,被人肉者:周久耕
  • 疑似猥亵女童事件,被人肉者:林嘉祥
  • 2011 年红十字会事件,被人肉者:郭美美
  • 2012 年的名表事件,被人肉者:杨达才

“隐私泄露案”作者被公然人肉的幕后!

但随着时间的推移,类似的案例越来越少(官员越来越低调),也因此网络道德审判中,人肉搜索的公义性也在下降——一个原来被网友广泛支持的审判工具,现在变成了群体间为主观好恶互撕的武器!

在“恶俗圈”,他们想用“出道”摧毁自己看不顺眼的公众人物,比如多次通过臭名昭著的“恶俗维基”煽动舆论组织对 B 站 up 主的攻击。

不仅仅在小众圈子,“明星出道”频率更多:如刘慈欣被起底事件,张艺兴被人肉事件,恶俗文化渗透到了更多人,新一代 00 后小鬼沾染上了恶俗文化的“快乐”。

2019 年 5 月 1 日,有网友称发现了疑似《三体》作者刘慈欣的贴吧小号,ID 为 shipship。因此,有好事者从该账号发布的一些言论中找到了一些所谓“有问题”的言论,以此来抨击刘慈欣的人品,不仅大谈“刘慈欣人设崩塌”,而且进行了更进一步的人肉搜索。对刘慈欣的声誉造成了不小的污名化(对于不了解真相的大众来说)

据微博消息,就在近期“新型冠状病毒”全民抗疫的关键时期,“吹哨人”李文亮医生的妻子居然也遭到别有用心的“人肉”!

“隐私泄露案”作者被公然人肉的幕后!

技术跃进:黑产与社工库

大家可能发现,上古时代的“人肉”多是受害者自己公布在社交媒体的丑照、MEME 语言等,但是近期的“人肉”基本上可以被恶俗圈直接暴露身份证照片、甚至户口本!为什么?

随着网络实名制被国家普及,恶俗系发展出了很多社会工程学手段来迫害受害者,而专门从事社会工程学并将所得信息进行售卖的产品被称为黑产。通过黑产数据出道,也演变了更多手段:

  • 利用门户网站漏洞获取信息:这种方式能获得的信息多种多样。如早期百度贴吧的 ip 地址可以通过接口查出准确地址,从而获得恶俗受害人的大致家庭住址范围
  • 手机号绑定(黑话“查绑”):2010 年中国手机实名制之后,手机每个号都有对应真身。而 APP 的账号系统由原来的“昵称 ID 主导”演化成了“手机号主导”,因此通过手机号按图索骥查出真身更加容易:比如支付宝账户,可以通过帐户名(通常是手机号码或者邮箱)验证对方的真实姓名,通过填写姓氏来确认转账人身份。
  • 社工库(黑话“裤子”):黑产的数据库是在各大网站或者国家内部网络偷盗得来的数据。有些数据库是直接静态存放在某个服务器上,由服务器主人提供查询服务,这种也被成为社工库。
  • “内鬼”:此类数据来自于政府或互联网公司的内部提供数据,这些一般是在上班时间偷偷用职务之便访问相关数据。提供这两类服务的统称为“路子”。这些服务是有偿的,且市场极其不透明。

黑产类提供的数据种类相当丰富,包括以下:

  • 从门户网站扒下来的用户名和密码,从而为盗号提供方便。等级较高的攻击者有能力通过网站漏洞直接获得受害人的密码,水平低的可以从社工库中得到较为老旧的密码(黑话“老密”)。他们在获得账号密码后可得到大量个人信息并进行下一步迫害。
  • 账户的绑定实名信息(黑话“查绑”)。例如贴吧,QQ 等社交平台绑定的手机号,或者实名认证信息。有时这条路径也是可逆的,即通过手机获得在特定门户的账号。
  • 社交相关的人际关系信息,这种最典型的便是群库:可以提供微信或者 QQ 在一段时间受害者加过的所有群的数据,甚至群昵称! 通过这个手段,人肉者可以得知 受害者早期加入的组织,例如班级,公司,也能通过群昵称得到实名,还能通过向群内其他成员套话得到受害人更多信息。
  • 手机号相关的实名信息,可以通过一些金融软件提供的接口进行验证。如果前者失效也可以查阅通讯类的数据库获得相关信息。也可以通过相关数据库获得公民实名信息名下的手机号,简称“名下”。类似的也能从实名信息得到名下的金融信息,例如信用值和银行账户信息。
  • 公安系统相关的实名信息,包括户籍以及户口本。我们不排除既有执法“内鬼”提供服务的可能性,也有可能是早期公安相关的数据库中获得。这种便是臭名昭著的出户籍,出户籍一词也成为新时代恶俗小鬼耀武扬威的话语。(比如作者本次被人肉出了身份证照片)
  • ip 地址,由于中国是动态 ip 地址,所以在中国 ip 的用处远远没有上面这些信息杀伤性大。
  • 其他社会活动信息,例如开房记录、交通出行轨迹等。

恶俗头子一般是掌握了所谓路子并能有效垄断的人,一般是自己拥有若干“社工库”。恶俗小鬼通过头子得到的数据用来耀武扬威,这也是当今恶俗系主要的运营模式。进入到黑产时期后,只要手上握有黑产并垄断就能获得恶俗中的话语权,这点有助于形成恶俗系中森严的等级制。

可笑的是,“小鬼”们自己也需要花钱去向“头子”/“大神”购买数据,而对于垄断了黑产话语权的“头子”们来说,虽然恶俗圈的 GMV (交易额)不高,但是鼓励此类文化相当于发展客户文化,被执法机构查到的多是“小鬼”,有靶子送钱,岂不美哉?

“隐私泄露案”作者被公然人肉的幕后!

普通人如何减少“人肉”危害?

正如上篇文章(导火索)所述,大部分人并不知道自己的隐私、密码数据已经被暴露一览无余了。但是通过习惯养成,还是可以一定程度上减少危害:

  • 尽量少用同一个网名。因为这会给黑产将这些账号联系起来的机会。同样的网名,可以被用来进行索引。当恶俗头子得到了这些信息后,通过账号申诉系统盗取此人一系列社交账号——哪怕中间的字打码了,根据其他信息都很有可能推理出全部
  • 尽量少使用同一个密码或密码关键词:假设你的同一个密码用在不同的几十几百个账号上,这样哪怕你将 qq 密码改了,不代表同一个密码所有网站都记得改,从而有可能被这个老密码登录旧账号痛失自己留在那个账号上的绑定个人信息。个人 qq 邮箱可以作为很多社交软件的账号使用,因此经常会出现一个 qq 密码被人得知一系列账号全部失去的情况。
  • 使用强密码管理工具,如:1Password。为你的账号开启二步验证(谷歌验证)也确可以提高很多安全性。
  • 在互联网上伪造多个身份:这点目前在实名制普及下,已经不好用了。但是外网可以多多益善。
  • 通过各种工具检查自己是否已泄露:如已知的社工库或渠道,或第三方服务(检查自己的帐号是否泄漏的工具):https://rework.tools/node/privacy-password/
  • 注册多个邮箱,有时也可使用一次性邮箱,目的是断开账号其中的关联
  • 谨慎地分享位置信息:少用朋友圈发定位!黑产不仅仅可以通过定位形成线索,他们还可通过你的照片找出位置!人们在拍照时候如果开了位置,则会记录在照片的 Exif 信息中。把照片分享到微博,转发给朋友,别人也可以通过 Exif 信息看到你的地理位置。
  • 如一定要在公开的网络冲浪,建议使用一定的加密服务。如:Maskbook
  • 输入密码前请切换输入法至你更信任的品牌!加密货币世界的人们可不敢在搜狗输入法里填入私钥

而从根本来说,如要降低全民隐私数据泛滥,比如被“恶俗圈”这种群体无差别攻击的现象,最有利的三个方向是:

  • 执法能力提升。做到常规化、自动化,这里我不专业,不细说。
  • 中心化数据流转方式优化。硅谷公司做的稍微好一些,涉及到个人隐私信息的业务会严格按照《数据使用手册》进行流转,但是这也避免不了程序员泄密或删库(具体搜索关键词“程序员删库,10 亿市值蒸发”)
  • 需求端不显著的情况下鼓励科技创新:目前新型的密码学、信息安全领域的科技创新,有望在数据库结构、业务系统去中心化等方向上解决这一问题,但是还需“需求端”给力(公民隐私意识提升,要求互联网公司保障权利),才会有资本、政府支持。

白天已到,恶俗小鬼、黑产圈该醒了。新一轮打击报复会是如何呢?

套用明末杨濂的绝笔:刀砍东风,于我何有哉?大笑!

希望大家转发支持!

参考资料

本文内容一定程度上参考了反恶俗文化斗士“量子恶俗克星”的内容,特此致谢!

来源链接:mp.weixin.qq.com