【商业异闻】个人信息，谁在贩卖？

社工库一般是存储非法所得的个人信息（一般也包括敏感信息）的数据库。通常会基于数据库做出一些接口，来提供信息查阅（收费或免费）服务。其实呢，大家（非安全人士）能比较容易接触到的社工库，一般都是一些比较落后的只能拿来检测信息泄露的社工库。

大家好，这里是约翰异闻录。

我是作者老John。

今天就带大家了解一下社工库这个小东西～我们知道，我们的各种数据信息，很多就大大咧咧的放在互联网上了。比如注册一些小网站，什么手机号噢姓名身份证号噢就直接填上了；除此之外，一些经常做账号交易的同学，可能最重要的手持身份证照片都在网上传来传去。这些敏感信息其实都是可能被泄露滴。

起源：信息是怎么泄露出去的？

我们的信息是怎么泄露出去的呢？主要是三点原因：

1. 保存了你信息的网站被攻击脱库：很多攻击者通过渗透小型不安全网站（或者一些挖到过高危洞的SNS站），拿到数据库中的数据。当然，如果数据做过合理滴加密的话，风险会更小一些。这些数据被整理出来，就变成了网络黑市中的抢手资源。

2. 内鬼：一部分公司的员工或者一些机构的恶意人员，会在内部窃取数据或者留门，把用户信息流出去。

3. 网站的业务逻辑漏洞导致信息可以用合理合法的方法暴露出去。这种比较常见，我给大家举个例子：“把想要调查的人的手机号添加到通讯录里，然后在各大APP里添加通讯录好友，就能暴露出该手机号的各种社交账号”

噫，好危险…

这些数据经过清洗，统一格式封装入库，以便之后能顺藤摸瓜的找到互联网中的某个人的信息。

这就是社工库。

看了这个社工库的制作过程，我们应该很容易推理出：以信息获取难易程度、信息的新鲜度和信息本身的价值，可以把社工库分出个三六九等来～

1. 比如以一个国家个人深层信息、公安信息为主的信息社工库。其对于坏蛋们来说简直是奇珍异宝，简直是蟹黄堡的秘方。这类的社工库一般秘密存在，在坏蛋们之间闭环传播，只对内部坏蛋赋能，对外部同行都不肯透露一个字，又怎能面向普通人呢？就像其他回答说的那样，如果真有人说自己有多牛逼的社工库还宣称只要50，那他八成是想骗钱去肯德基疯狂星期四。

2. 普通的关联性社工库。这种比较常见，一般是“手机号映射SNS账号体系”或者“核心SNS账号映射手机号”。如果这人网上冲浪有够随意的，qq聊天第一步就是跟别人透露自己的个人信息，那这种人，还有可能找到“SNS账号映射身份证号、银行卡号”的信息。

3. 还有最常见的，单一映射社工库，就是我们常说的“康康自己今天信息泄露了没”的那种库。一般是非常非常古老的数据，可能也不盈利，也没人维护。良心的话练个广告都没有。如果在这种地方测试出自己信息没被泄露，可别真信了，这种地方也就图一乐，真要辨别信息泄露，就看看自己手机的垃圾短信拦截，如果他空空如钱包，那你才能真滴高枕无忧呢（当然，最好在高枕无忧之前，把钱包先填满…）。

商业化：社工库黑产们的恰饭与思考

相信大部分朋友曾接触过的社工库，都是web类型。但随着世界风云变化时光日月如梭，web3把每一个互联网人推到一夜暴富的风口浪尖。黑产桑也不例外，他们开始选择那些能绕开web2时代监管束缚的工具与平台，识图过安稳的舒心恰烂钱的日子。

很多人就盯上了一些伪web3平台。然后，黑产桑利用平台开放的api，编写出了一个个活灵活现的社工库机器人。

——这种机器人编写简单，不需要考虑UI，只需要服务器与接口与简单合理的运维。

用户只需要选择机器人暴露出的一些方法，就能使用社工库。当然啦，得给钱～

可是呢，这出现了一些问题。

用户的支付意愿不强，支付流程逻辑不够严密：能上网找到社工库的，可都是冲浪高手，懂得科学与魔法的人中龙凤。你让他们为了好奇心大方掏钱？he tui，我看你像钱。就算迫不得已想用钱买服务，我也怕你是骗子啊。你是谁家的小谁啊我这么信你？你怎么证明你不是骗子？

产品使用场景单一：用户只有在想使用“社工库”这个工具，用完就走了。你可能风风火火的折腾一番，结果用户连个掌声都没留下。

产品本身的特殊性导致只能选择冷启动：怎么，你一个黑产还想打广告？还想在哪里写刷墙广告？你顶多在一些偏门偏角的地方拿小号水军宣传宣传，还得小心尽职尽责的管理员把你账号封了。你唯一能做的，就是和“澳门赌场”们抢点广告位。

这些问题，困扰了社工库黑产们，也困扰了大部分网络黑产们。但老John发现，天无绝人之路，老天爷饿不死瞎家巧，凡是杀不死黑产滴，都只会让黑产们更加强大。他们经过痛苦摸索痛定思痛痛风结石之后，决定运用互联网思维来——增加场景、丰富商业生态，由表及里的改造自己的社工库商业模式。

增加场景：嘿，小哥。你不上网冲浪嘛，来来来，加入我们“社工库粉丝群”，里面有聊币的有吹牛13的，还有一边聊币一边吹牛13的，还有各种资源只有你想不到没有我们做不到，快来来来……什么？你不进？你进来我给你免费社工库机器人儿的使用次数…

丰富商业生态：你不不愿意付钱嘛。没关系，你来我们群，拉十个人我就让你免费用，成不？拉群就行，你不用花一分钱。拉进来，给他们引流，引到“澳门xx群”去，噢或者给引到咱们刚弄的“羊毛群”。啊对，就是那种，10瓶冰露打完折只要你10块那种。想加内部群不，xx元，加的话给你顶级的内鬼社工库噢……

由表及里的支付环节改造：支付问题不是黑产桑们头疼的嘛？他们拍了很久的脑袋，做了一个背叛祖宗的决定——他们要做黑产界的支x宝。他们利用虚拟货币，用视频、远程等方式教人购买使用虚拟货币，以实现端到端的支付同路，完成逻辑闭环…

好家伙，整的大工程噢。这心思都放上班上面，绩效咋不也得翻几番…

亡羊补牢：怎么避免信息泄露？

我想，这才是大家最关心的问题。我认为，想避免自己太多的数据被搞到社工库上面，关键就是要降低自己网上的信息密度。要做到如下几点：

• 尽量使用固定登录方法，例如微信登录

• 不用的账号及时注销，虽然用处不大，但聊胜于无。

• 不在公开的地方透露自己的手机号、身份证号，甚至是qq号。

• 关注相关的热搜，比如学习通事件等，及时修改密码或进行注销

• 非必要SNS账号，在泄露后可以选择注销重新注册（要换个手机号）。

• Last but not least，相信国家，相信反诈APP。

关注约翰异闻录，

带你剖析商业模式背后的灰色逻辑。