2016年9月23日,工信部、中国人民银行、公安部、最高法院、最高检察院、银监会等六部门联合发布《关于防范和打击电信网络诈骗犯罪的通告》(以下简称《通告》)。这则通告,正式打响了针对电信网络诈骗的“全民狙击”战。
8月,仅媒体曝光的电信诈骗案件就有至少4起。山东女孩徐玉玉被骗走9900元学费后心脏骤停,不幸离世;山东大学生宋振宁被骗猝死;广东省揭阳市惠来县准大学生蔡淑妍自杀;清华大学一名教授被骗1760万元。
山东徐玉玉、宋振宁,广东蔡淑妍,清华大学教授......多起事件均来自校园,为何校园电信诈骗如此高发?校园电信诈骗案为何屡屡得手?事实上,这些案件的发生,有着共同的几个关键词:网络隐私泄露、电信通道、银行支付。
一时间,通信、银行的监管政策被推到风口浪尖,如何从源头上掐断犯罪的传播渠道、支付手段两条补给线,是舆论关注的核心。《通告》中宣告了“国家行动”的六记“重拳”:自首从宽、坚决拔钉、加速实名、清理银行账户、严保个人信息安全、监管问责,从而将通信、银行业纳入狙击战战团,在源头上进行防范与监管。
然而,这只是开启“全民行动”的第一步,虚拟空间安全问题远远超出人们的想象,诸多业内专家均提到,短信诈骗越来越精准,防不胜防,必须加强个人信息立法。
学生信息最易泛滥
据中国互联网协会发布的数据显示,63.4%的网民通话记录、网上购物记录等信息遭泄露;78.2%的网民个人身份信息曾被泄露,包括姓名、家庭住址、身份证号及工作单位等。多则上亿条用户信息被泄露,少则也有几万条。
徐玉玉事件的犯罪嫌疑人陈文辉,选择以学生为目标,从2016年6月起在网上以每条0.5元的价格购买了数万条山东籍高考考生的个人信息,信息内容包括学生姓名、学校、家庭住址和联系电话。而这些学生的信息在网上泛滥,成本最低,获取根本没难度。
他的信息来源上线——18岁的杜天禹,据相关媒体报道,杜天禹于4月利用安全漏洞侵入了“山东省2016高考网上报名信息系统”网站,下载了60多万条山东省高考考生信息,高考结束后开始在网上非法出售。
而这种个人信息贩卖的生意,在网上早已司空见惯,杜天禹仅是其中之一。
有关调查发现,在网上,100元可以买到2000个电话信息、300元能买10000个电话信息,10万个电话信息卖到1200元,20万个电话信息卖到1800元。还有人声称出售个人全套信息,从身份证复印件、家庭成员、户口本复印件、到网络账户名都在其中,全套信息的价格是每套3元。
在这样的网络中,徐玉玉不幸成为网络诈骗的目标,2016年8月19日,徐玉玉接到自称教育局的电话称她可以领到2600元助学金,于是一步一步走进诈骗者的圈套,最终被骗走父母为她辛苦积攒的学费9900元,21日,徐玉玉报案后回家路上伤心欲绝,郁结于心,最终导致心脏骤停,无力回天。
1760万元被骗事件的背后
徐玉玉、宋振宁、蔡淑妍的事件令人心痛,而仔细回顾清华大学教授被骗1760万元的事件细节,则是发人深思的教训。
这位53岁的清华大学教授卖了房,刚刚回到家就接到了诈骗电话,称她漏缴各种税款等。更重要的是,骗子显然掌握了卖房信息,“网签合同的编号是多少,各种交易中很细节的一些信息,骗子都能说得头头是道”。第六届上海市信息安全活动周开幕演讲中,复旦大学教授杨珉透露了该事件的更多细节。
据内部信息了解,该受害人与诈骗电话通话的时间并不短。教授是2016年7月23日下午4点多接到诈骗电话,而当天下午即有系统检测出该诈骗电话,警方联系提醒该教授,第二天,警方的虚假网址系统又被检出,于是,警方再次打电话让其丈夫劝阻,前后至少3个电话都未能阻止教授的一意孤行,警方的示警电话一再被拒:“这事你们不用管了。”最后,8月30日,该教授才报案称被骗了1760万元。
而我们上网稍作了解,也能发现,2014年武汉也曾发生同样的诈骗事件,同样的手法,同样的套路,遭遇诈骗的武汉一国企财务部部长黄某,在5小时内分十多次将1700万元公款转到骗子的账户。
根据权威数据,电信诈骗已经形成完整的黑色产业链,其从业人数超过160万人,诈骗“年产值”达1152亿元。
尽管事后人们都认为诈骗手法并不高明,然而,利用社会工程学原理的网络诈骗骗到的并不仅仅是普通人,有时连电信专家也能中招。
复旦大学杨珉教授也举了信息安全业内专家受骗的例子,曾有一名业内专家的手机被带有木马病毒的短信击中,向多名好友发送一条信息,短信内容为“我是某某某,这是我帮你拍的一个小视频”,并附上一个链接。一夜之间,这名专家的多名好友(不乏安全业内专业人士)点击链接,造成财物损失。
除了社会工程学的电信诈骗手段以外,一些高新技术手段也被不断采用。目前有7种技术手段使用频率较高,范围较广:一是伪基站,二是木马病毒,三是改号软件,四是钓鱼网站,五是“猫池”,六是诈骗Wi-Fi,七是“黑盒”。
针对此,腾讯安全的相关负责人李旭阳认为切实可行的方案是,从警方,运营商,银行侧通过大数据的方式,识别出诈骗行为,从而物理上阻断诈骗。一些企业研发出的技术方案,在试点的地区,部署在运营商网络的系统对电信诈骗进行物理隔绝,从警情数据来看,涉案金额可以下降70%~80%。
然而,面对“信息安全背后是一个地下社会,一个江湖的形成”这样的形势,防范网络安全显然需要更多的解决方案。
图片由“易安在线”提供,绘画支持:潘浩子
个人隐私数据泄漏难堵源头
复旦大学信息网络安全研究室的一组研究数据表明,在针对谷歌应用商城的17425个应用分析中发现,有35个类别都会收集用户隐私。针对用户账号这类的隐私数据收集,比例较高的主要是社交应用,跟天气相关的App等;针对地理位置的隐私信息,在天气、出行、搜秀这些App当中比例比较高;而支付类的应用无疑则是隐私收集的高地,无一例外地收集用户各类个人隐私数据。
“人们时常习惯于享受应用软件带来的便利,往往不在乎它的风险。甚至很多人并不知道软件装上之后意味着什么?”杨珉教授还提到,国内有关部门曾针对300多款常用软件进行了检测,60%涉及个人隐私数据泄漏的问题,而且这些软件都是一些常用软件,没有哪个杀毒软件会将它列入黑名单。
而通过8月集中爆发的电信诈骗事件来看,值得关注的是,高校校园师生正在成为个人信息泄露的重灾区。内蒙古某高校曾有一位学生提到自己因为好奇,用简单的密码“123456”就进入了该校教学管理系统的后台,学校教师的各类信息、学生的学习成绩一览无余。高校信息管理系统重建设轻管理的现象,依然存在。
有调查表明,目前高校各类应用系统存在诸多安全漏洞,尤其学校在安全防护措施上重视不够,使得大量的师生数据处在漏洞威胁之中。
然而,在高校校园网络交流群中,关于防护技术的讨论似乎也走到一个“死胡同”。大连理工大学于广辉主任认为:“基于特征值方法的各种学习、改善,只能治标不治本。我们还是希望能够有更好的方法,比如行为分析、背景流量分析、应用白名单等方法防护,但目前还没看到合适的产品。”
在高校网络管理员群中普遍认为,高校缺的不是技术,缺的是把安全责任落实到位的管理机制。
清华大学CCERT郑先伟提出管理应是更重要的环节,建议对数据库的使用进行严格规范化管理,他认为:“数据库用户权限需严格限制,查询的就只给查询权限,越权或是频率太高都不行。
基础权限控制需要由数据库厂商进行,应用毕竟只是在它的基础上来做的。需要数据库厂商和应用开发多协调。”他建议,今后高校校园信息化的工作第一步是资产评估,“重要的资产必须严格按照要求来做”。
“谁收益,谁担责。”杨珉教授表示,加强网络信息安全监管除了个人用户须加强信息安全意识,扎紧篱笆防狼之外,尤其要明确责任主体。
个人网络信息立法呼之欲出
9月底国家网络安全宣传周活动上,中国工程院院士、武汉大学副校长李建成认为,清华大学教师被骗、宋振宁案等见诸媒体的各类诈骗,暗藏庞大的个人隐私泄露。但“数据开放”和“信息安全”是一枚硬币的正反两面,他建议,法律为根本,管理和技术为支撑,“网络空间安全法亟待出台,网络空间安全管理规章条例也亟待出台,法律和技术在大数据、信息安全方面是同等重要的”。
据了解,目前《网络安全法》已经进入二次征求意见稿,和初稿相比,已经发生了很大变化。预计国家将在年底推出《网络安全法》。《网络安全法》发布以后,在具体实践中,还需要更多细则。同时,互联网生态复杂,网络安全仅仅是其中一个角度,要把互联网工作做好,还需要更好的法律环境。
“谁收益,谁担责。”杨珉教授表示,加强网络信息安全监管除了个人用户须加强信息安全意识,扎紧篱笆防狼之外,尤其要明确责任主体。监管部门要在法规的层面上强化责任主体意识。数据由谁拿去,谁就要对确保数据安全负法律主体责任。
此外,提升信息安全治理还要强化立体的全方位测控,惩治犯罪,必须破除地域和部门的界限,建立由公安部门牵头,银行、电信运营商等共同参与的反电信网络诈骗中心,形成协作共享和快速反应联动机制。
高校各类应用系统存在诸多安全漏洞,尤其学校在安全防护措施上重视不够,使得大量的师生数据处在漏洞威胁之中。
联系客服