揭穿“开盒”事件背后的“社工群”

近期，百度副总裁谢广军的女儿公开他人隐私信息一事引发关注。3月19日，百度声明称开盒信息非源自百度，而是来自海外非法收集个人隐私信息的数据库。记者调查发现，加入违法出卖个人信息的群后，可按格式搜索个人信息，查询费用为包月500元，永久无限查询2000元。业内人士、律师就个人数据的保护、维权给出方法。

“开盒”一词，意为违法获取并恶意公开他人个人信息。它最初流行于“饭圈”，“百度副总裁13岁女儿‘开盒’”事件后迅速进入公众视野。

随这一词汇共同浮出水面的，还有猖獗的数据泄露“黑生意”。

3月19日晚，针对“谢广军女儿开盒”事件，百度在官方微信公众号发布声明表示，事件相关信息并非来源于百度，公司任何职级员工及高管均无权限触碰用户数据。

百度强调，数据并非从该公司泄露，但通过海外社交媒体平台“Telegram”电报群的社工库，即可低成本甚至免费查询个人信息。对此，《每日经济新闻》记者调查发现，在上述平台的某电报群内，进群即可体验个人信息“查档业务”，包月无限下载为500元人民币，永久无限查询只需2000元。记者还注意到，该社群已有超过5万名用户。

奇安信的数据显示，个人信息是数据泄露和黑产交易涉及的最主要数据类型。2024年，我国境内政企机构共发生个人信息泄露风险事件112起，涉及个人信息数据266.9亿条。

近年来，国家也陆续出台一系列相关法律法规，保障数据安全。

河南泽槿律师事务所主任付建向《每日经济新闻》记者表示，如果他人在境外侵犯境内法人、自然人信息，则涉嫌犯罪，根据我国刑法保护性原则，同样可以适用我国法律。鉴于境外信息泄露猖狂，公民可以向公安机关报案，公安机关可通过国际司法协助等途径开展调查。不过，我国警察在境外没有执法权，只能通过司法协助进行。

近日，百度副总裁谢广军的女儿因追星争议与其他网友发生争执，遂将他人隐私信息发布至微博账号上，此事引发网友关注。随着舆论发酵，此前有网友质疑，谢广军女儿发布的他人隐私信息是从百度处泄露。

谢广军现任百度副总裁，记者去年3月时获悉，谢广军当时负责百度智能云千帆大模型平台、大数据平台等多领域的产品设计和研发工作。他在百度任职超16年，曾任百度系统部、百度基础架构部、百度金融云等多个重要团队的负责人。2021年，谢广军晋升为副总裁。

百度在声明中表示，公司内部实施了数据的匿名化、假名化处理，数据存储和管理也实行严格隔离和权限分离，任何职级的员工及高管均无权限触碰用户数据。百度安全部门反复调取了相关日志，并查验当事人权限。结果表明，开盒信息并非源自百度。其次，经过调查，开盒信息来自海外一个通过非法手段收集个人隐私信息的数据库。相关调查过程已取证，并得到公证机关公证。

百度还称，网上流传的“当事人承认家长给她数据库”的截图为不实信息。事件发酵期间，社交媒体上还出现了大量文案高度雷同的造谣内容。针对相关网络谣言，百度已向公安机关报案。

之前，谢广军、百度安全负责人陈洋先后针对此事作出回应。

陈洋提到，在查证过程中，发现海外的Telegram电报群里有很多的社工库，通过这种社工库，可以去查询一些人的信息，而且好多信息都是免费的。陈洋称，经随机测试发现确实可以查。

图片来源：百度百科截图

18日晚，记者从相关人士处获得的一份资料显示，百度的用户数据管理遵循“可用不可见”原则：所有字段经过假名化加密，且不同部门仅能访问业务必需的最小数据集。例如用户手机号会被替换为随机编码、地址信息会分解为三级独立字段存储。即便是系统管理员，也无法通过单一权限还原完整的个人信息。百度采用的“权限沙箱”机制，要求任何数据调取必须通过跨部门审批。2024年审计报告显示，该系统曾拦截超过10多万次黑客攻击和非常规访问请求，其中包括高管权限异常操作。

19日，中国政法大学副教授朱巍在接受《每日经济新闻》记者采访时表示，在《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》出台后，任何平台对数据的管控——包括在技术上和制度上，都非常严格。朱巍分析说：“一般副总裁这个级别，想拿到涉及高度敏感信息的数据，我觉得是比较难的，即便他想拿，可能制度上、基础上绕不开，而且有迹可查。”

或受此事影响，百度原定于3月20日举行的百度AI开放日科技沙龙活动已宣布推迟，谢广军原计划出席该沙龙。

百度将数据泄露源头指向海外Telegram电报群的社工库。那么，什么是“社工库”？

谷安天下安全牛分析师张琰珺向《每日经济新闻》记者介绍，“社工库”的全称是“社会工程学数据库”，这是一种非法收集并整理了大量个人隐私信息的数据库。因Telegram加密性强、安全性高，难以被破解，该平台上存在大量色情、赌博、诈骗信息，这些信息慢慢演化成为黑产（指黑色产业链）的一部分，“社工库”就在其中。

值得注意的是，所谓掌握海量个人信息的“社工库”其实并没有太高的进入门槛。

《每日经济新闻》记者调查发现，加入相关“查档业务”的搜索群后，按格式在群内任意发出姓名/手机号/邮箱/身份证号等资料，就可以搜索到相关个人信息。

所谓的“查档业务”涉及范围很广：从开房记录到个人户籍信息，再到名下车房情况，还包括三网定位、车辆轨迹等。而如此敏感的个人信息就这样被打包为“查档业务”公开售卖。

记者入群后收到的内容 图片来源：手机截图

查询费用是多少呢？1积分查一次。普通人进群后可以先用免费的积分体验，积分用完后需要进行充值。“包月无限下载”的价格为500元人民币，包季度为1000元，永久无限查询只需2000元。记者还注意到，该社群当月有超过6万名用户。

“病毒式传播”是电报群群组得以生存的方式。除充值获取积分外，通过每日在群内打卡签到、邀请新人入群的方式均可获得积分。记者注意到，群友通过留言邀请人数达到一定额度，甚至可以获得现金奖励。

记者在群内看到的信息 图片来源：手机截图

因此，各个群组内每时每分都有人刷屏。除查询个人信息外，还有人发布其他群组的“广告”拉客“引流”。记者在天网社工库中，就点进了另一个名为“情报局查档”的群组。“情报局查档”公告称，截至3月17日更新数亿电话、身份证表信息。

除了机器人查询外，群内还有高级人工查询，可以获得更为敏感的个人信息，比如花150元就可以获得某人“大头照”“户籍地”。

这些社工库为何能掌握如此详细的个人信息？

“知道创宇”公司产品负责人张永波在18日告诉《每日经济新闻》记者，海外黑灰产组织会通过整合多个数据源，拼凑出个人“数字档案”。例如，先通过某些违规App获取用户手机唯一的硬件编码，即IMEI/MEID（国际移动设备识别码），再用这个编码在已泄露的数据库中进行比对。又例如，有的用户在许多网站中使用同一套账户密码，黑灰产组织利用这点，非法入侵一些合法网站拿到这些用户的账户密码，之后以这些密码尝试批量登录其他网站，进而获取该用户更多身份信息，这种方式也被称为“撞库”。

19日，360公司安全专家向《每日经济新闻》记者表示，海外信息窃取的技术手段多样且隐蔽，从网络钓鱼到供应链攻击，再到暗网数据交易。案例显示，这些技术手段不仅威胁个人隐私，还可能对企业和国家安全造成严重影响。防御需要技术、管理和教育多管齐下，才能有效应对这些威胁。

张琰珺也表示，从网络安全领域从业者的角度来看，近年来全球信息泄露的事件明显增多。无论是企业被勒索、个人遭App监听以及网络“开盒”，都给企业和个人带去了经济上、精神上的复杂且恶劣的影响。

“一方面，从技术角度来看，数智化时代（中），信息资产的风险暴露面正在日益增多。主要原因是应用的终端在增多、终端上的各种应用也在增多，还有其中绑定的敏感身份类信息、金融资产类信息和通信类软件中的数据文档类信息在增多。另一方面，从非技术角度来看，无论企业、家庭、学校还是个人，对于敏感和有价值信息的识别、管理、管控以及保护的意识、方法等方面还比较薄弱、欠缺，容易误入信息泄露的套路。”张琰珺说。

张永波表示，目前的一个现实因素是，如果不登记个人相关信息，很多App、网站甚至无法正常使用，这导致用户在很多时候必然会在网络上留下个人信息。“对个人来说，可能更多还是建议上一些大品牌的App、网站，对不太确定的一些网站能够少上传或者最小化上传个人信息。”张永波建议，如果有多个手机号，可以用某一个手机号登录各种非日常的应用。

个人信息数据泄露时怎么维权？垦丁律师事务所创始合伙人麻策在19日接受《每日经济新闻》记者采访时建议：一是建议个人联系发布数据的平台或网站进行举报，要求对方删除未经同意的信息传播；二是可以通过所在国家或地区的数据保护机构官网，提出对个人或者平台的投诉，数据保护机构有可能对违规者施以压力。

近年来，国家陆续出台了一系列相关法律法规保障数据安全。例如，2021年颁布《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》，2022年出台《数据出境安全评估办法》，2023年成立国家数据局。张琰珺表示，随着国家对数据泄露的封堵和法律要求，近3~5年来，网络安全厂商纷纷加大在数据安全方面的投入。

河南泽槿律师事务所主任付建向《每日经济新闻》记者表示，如果他人在境外侵犯境内法人自然人信息，且涉嫌犯罪，根据我国刑法保护性原则，同样可以适用我国法律。境外信息泄露猖狂，公民可以向公安机关报案，公安机关可通过国际司法协助等途径开展调查。

不过，付建也表示，我国警察在境外没有执法权，只能通过司法协助进行，权益保护难到位。

国际协作是常见的解决方式。据360公司安全专家介绍，2021年国际刑警组织联合多国执法机构，成功捣毁了一个全球性的网络犯罪团伙。