1500 元買下你的通話記錄和實時定位！安全專家：我知道誰賣了你

本文作者：知情人士

2017-02-17 15:16

導語：三位知情人士對此進行了“不負責任”的猜測。

話說，這種黑市調查行動，必先“出賣”同事的信息。

2月16日，央視新聞頻道報道了記者親身體驗購買個人信息服務，揭秘個人信息泄漏黑市狀況的新聞。

先來還原下主要情節(jié)：

1.經過同事小王的授權，2月4日中午12點06分，記者把小王的手機號提供給了網(wǎng)名為“孤星淚”的賣家，要求查詢小王的身份信息，對方的要價是220元。

2.下午2點56分，對方發(fā)來了一張截圖，上面有小王的照片、身份證號碼、戶籍所在住址、民族、所屬派出所等，經過核對，與小王的身份信息完全一致。隨后，對方表示還可以查詢其他關聯(lián)信息，包括出入境信息、名下機動車信息和違法犯罪記錄等。記者提出要查詢小王名下的車輛信息，僅過了二十分鐘，對方就發(fā)來了信息截圖，內容包括車輛的型號、車牌號、車架號、發(fā)動機號等，完全屬實，這一次的要價是50元。

3.記者隨后要求查詢小王的“淘寶”送貨地址，對方要價130元，網(wǎng)上付款兩個小時后，對方給記者發(fā)來了小王所有“淘寶”購物的送貨地址，包括畢業(yè)前的學校地址和送貨現(xiàn)在的實際住址，小王確認全部符合實情。

4.QQ群里出售的個人出行軌跡中，包括滴滴打車記錄，每一張出行記錄清單的要價是55元。記者向一名信息販子提供了小王的手機號碼，兩個小時后，對方發(fā)來了一張滴滴打車清單，時間顯示為2016年11月份到2017年1月份，內容包括這三個月內小王每次打車的詳細記錄，從哪里上車，從哪里下車，上下車的時間精確到秒，包括取消的訂單也全部記錄在內，小王把這張截圖里的出行記錄和自己手機里的打車記錄進行了對照。

……
5.記者向網(wǎng)名為“水中取火”的信息販子支付了1500元，要求查詢小王的手機通話記錄。第二天，記者被告之通話記錄已經拿到，對方發(fā)來了一張截圖，上面是2016年9月到2017年2月份共6個月的通話記錄，在總計一千多個通話記錄中，詳細記錄著每次通話的來電與去電號碼，通話時間、通話時長以及每次通話的話費。

以上引文信息均引自央視網(wǎng)報道。最后，在該文中，記者還試了手機定位服務，也成功了。

從上述可知，身份信息、打車信息、淘寶信息、通話記錄及定位信息均一覽無遺。那么，央視記者從該黑市獲得的這些信息是如何被泄露的？

雷鋒網(wǎng)編輯與安全圈相關專業(yè)人士取得了聯(lián)系，請他們就央視上述報道中出現(xiàn)的截圖和材料進行了一些“不負責任”的推理與分析。

首先，擺上最重要的幾點猜測：

1.身份信息如何獲得的？

從相關截圖看，這是某有關權威部門的系統(tǒng)截圖，所以，你懂的。

2.打車記錄如何拿到?

可能途徑一：內鬼作案；

可能途徑二：黑產人員通過打車軟件漏洞獲取了后臺數(shù)據(jù)。

3.淘寶記錄如何被泄露？

通過撞庫等手段直接獲取了淘寶賬號登錄。

4.語音通信詳單、手機定位信息如何被拿到？

可能途徑一：利用黑客手段使用運營商的接口；

可能途徑二：內鬼。

匿名人士一

雷鋒網(wǎng)：1.手機定位是如何做到的？

匿名人士一：這是運營商基站數(shù)據(jù)定位，應該是運營商和不可說的相關部門的系統(tǒng)。

雷鋒網(wǎng)：2.也就是說，有人和內部人士串通嗎？除了這種方法，有沒有可能通過一些入侵手段實現(xiàn)？

匿名人士一：不排除這種可能，那么多人都在賣，而且很穩(wěn)定，所以內鬼的可能性較大，主要是里面有明確的不可說的相關部門的系統(tǒng)截圖。

雷鋒網(wǎng)：3.意思是，話單、定位，包括打車，都是內部人士搞的數(shù)據(jù)嗎？

匿名人士一：是的。打車紀錄看去來像后臺數(shù)據(jù)，淘寶那個看起來還像是社工庫搞定了淘寶賬號，因為登陸的是收貨地址管理界面截圖。

匿名人士二

里面有幾個問題，這么密集的數(shù)據(jù)泄露肯定不完全是黑客入侵數(shù)據(jù)導致的，政府監(jiān)管側的問題很大，假如說戶籍在基層派出所可以查詢到，那么手機號碼的定位、打車等數(shù)據(jù)那肯定不是這么低級別可以查得到。國家肯定有要求并會對這些互聯(lián)網(wǎng)公司的數(shù)據(jù)進行監(jiān)管，監(jiān)管部門的問題比較大。