电信诈骗困局:多环节失守
来源于 《财新周刊》 2016年第35期 出版日期 2016年09月05日
从买卖公民信息到实施诈骗再将钱迅速转入千百账户,诈骗分子已经实现专业化分工和流水线作业,公民信息保护、电信运营商号码监管、金融机构交易管理以及立法执法等多个环节失守
文 | 财新见习记者 沈凡 记者 萧辉 覃敏 实习记者 孙良滋
8月19日,山东临沂家境贫寒的“准大学生”徐玉玉,被六名电信诈骗分子以发放助学金为由骗取学费9900元,徐玉玉和父亲报警后,因心脏骤停抢救无效离世。
几乎与此同时,山东临沂另一名大二学生宋振宁被电信诈骗冒充警察骗走生活费1996元,亦因心脏骤停于8月23日不幸猝死。
8月29日,清华大学一名老师被冒充公检法电信诈骗1760万元。
接连发生的电信诈骗案,唤醒了社会对由来已久的电信诈骗的广泛关注。尽管徐玉玉案很快告破,六名犯罪嫌疑人先后落网,但悲剧酿就,暴露出个人信息保护、电信运营商号码监管、金融机构银行卡和交易管理以及立法执法等多个环节的失守。
“与时俱进”的电信诈骗
电信诈骗存在已久。有警方信息称,这项业务最早是由台湾“引进”大陆。目前侦办的案件当中,20%的电信诈骗案有台湾人为骨干,台湾人参与诈骗的金额占到总金额的一半,“诈骗金额超过1000万元的大案,大都有台湾籍诈骗分子参与”。
财新记者获得的安徽省公安厅一份资料显示,2000年后,随着台湾移动电话在福建建立信号台以及两岸人员往来频繁,岛内诈骗开始转移到大陆;2003年后,福建本土化的电信诈骗逐渐出现,诈骗对象已经变成大陆群众;2005年后,本土诈骗犯罪集团开始独立研究,改进诈骗剧本、手段,自成体系,并逐渐从福建向广东等周边地区扩散;到2009年前后,台湾籍电话诈骗集团开始学习利用VOIP网络电话,并研究出冒充大陆公检法机关的诈骗剧本。
伴随着不断更新的诈骗手段和剧本,台湾籍犯罪集团开始从大陆招募、培训话务员,组织大陆人到东南亚乃至非洲的诈骗窝点参与诈骗。2013年前后,诈骗剧本已经过几轮翻新,诈骗分子也开始学习使用远程控制软件。
电信诈骗在国内不断渗透和发展,区域化、职业化的电信诈骗越来越为更多人所知。2016年5月,国务院曾经点名了七个电信诈骗犯罪重点地区,这七个“诈骗大县”各有绝招:河北丰宁县的电信诈骗主要是冒充黑社会诈骗、江西余干县主要是重金求子诈骗、广东电白县是冒充领导诈骗、广西南宁冒充熟人诈骗、海南儋州是机票诈骗、福建龙岩市新罗区是网络购物诈骗、湖南双峰县则是PS图片敲诈。
同时,电信诈骗工具和诈骗形式也在不断“与时俱进”。
新型的电信诈骗工具一再进入大众视野。作为电信诈骗最常见的一类技术手段,伪基站通过发送大量假冒运营商、购物平台的信息到用户手机,以此来实现电信诈骗。从最初由面包车拉着的大型笨重的伪基站,到现在背包客里的“囊中之物”,伪基站设备的更新换代让越来越多的手机中招,不仅能够实现集群发布,而且使用方便、成本低廉。
360安全专家万仁国向财新记者介绍,这一类的可移动的伪基站往往跟随每日上下班的人群流,在人口密集的地方分布,例如在北京地区,国贸附近的伪基站数量最多,凌晨后,三里屯地区分布的伪基站相对较多。
除了阻断用户与运营商网络的伪基站,“猫池”这一新型装备让诈骗分子实现同步拨打大批量的用户号码,作为一种扩充电话通信带宽和目标对象的装备,骗子们往往利用它来提高拨打电话环节的效率。除此之外,通过改号软件也为假装各种不同身份的人进行诈骗提供了便利之处。钓鱼网站、黑盒(银行卡盗刷器,是一种伪造的银行卡POS机)等新型诈骗技术手段也层出不穷。
财新记者获得的一份关于电信诈骗新手法的预警通报中,还提到了犯罪嫌疑人向公司老板或领导的手机植入木马病毒,获取通讯录后,通过群发短信或者呼叫转移功能联系下属或者财务,实现汇款。
电信分析师付亮称,电信诈骗的很多手法存在已久,但不断出现的各类新型工具客观上让电信诈骗提供了便利和隐蔽性,更缩短了诈骗周期,降低了诈骗成本。
万仁国告诉财新记者,电信诈骗遍布多个行业,且随着行业、时点的变化而更新诈骗情节,例如开学季,他们会针对学生群体的学费、奖学金、助学金等实施诈骗,还有针对新出现的解除分期付款、网购退款等;诈骗分子编造的故事,也经常根据奥运会、明星事件、重大灾难等层出不穷,比如前段时间闹得沸沸扬扬的王宝强离婚事件出来后,就有人收到“我是王宝强,我没有钱打官司,请借5000元给我打官司的费用”这样的短信。
电信诈骗技术和手段的“与时俱进”让由来已久的电信诈骗愈演愈烈,据公安部官网介绍,2015年,全国公安机关共立案电信网络诈骗59万余起,同比上升32.5%,造成经济损失达222亿元,同比增加107%;2016年,仅上半年全国电信网络诈骗发案就达到28.7万起,造成损失80余亿元。
无处不在的信息泄露
徐玉玉的父亲徐连彬曾告诉财新记者,徐玉玉遭遇电信诈骗前两天,即8月17日,他曾带着徐玉玉到区教育局办理针对贫困学生的助学金申请。8月18日,徐玉玉接到区教育局人员的电话,告知正在走审批程序,钱过几天就能发下来。8月19日,徐玉玉就接到诈骗电话,对方谎称是教育局发放助学贷款,将徐玉玉卡中9900元学费转走。
“骗子咋恰好知道我们在申请助学金?”徐连彬想不明白,“如果对方不是说助学贷款,玉玉也不会轻信。”
多名专家在接受财新记者采访时指出,徐玉玉相信犯罪嫌疑人最重要的原因,是骗子掌握了她申请助学贷款的准确信息。徐玉玉个人教育信息的泄露,成为她遭遇电信诈骗的第一步。究竟是谁泄露了徐玉玉的个人信息,诈骗犯罪嫌疑人从何渠道得到,目前警方尚未对外公布。
电信诈骗的开头往往是个人信息的泄露,而这样的信息泄露司空见惯。据中国互联网协会发布的《中国网民权益保护调查报告2016》,54%的网民认为个人信息泄露严重,其中21%的网民认为非常严重,84%的网民亲身感受到了由于个人信息泄露带来的不良影响。
信息到底是在哪些渠道被泄露?万仁国称,衣食住行、生老病死,这每一个环节,个人信息都可能被泄露。举例来说,一个人出生后在医院登记信息,采集之后上报到计生部门、公安部门以及和生活所联系的银行、工作单位等,中间每一个环节的流通都可能存在信息被泄露的风险。
公民信息泄露主要有以下几种情况:车票、登机牌等单据信息泄露,手机的更换以及App中的个人信息泄露,以及通过公共Wi-Fi、社交媒体和网络调查问卷、简历等途径泄露信息。
但更可怕的是出于商业、公益或者公共管理需要收集、存储公民信息的机关企事业单位发生系统性的公民信息泄露。万仁国称,这种信息泄露风险,一方面来自系统本身可能存在漏洞导致信息泄露,例如被黑客通过植入木马等方式攻击窃取信息,另一方面来自系统内部的风险,例如企业内部员工售卖信息。
北京航空航天大学法学院院长龙卫球认为,公民信息在互联网企业和电信运营商这一环节中的泄露更加值得重视,泄露情况也更严重,企业和电信运营商的系统可能被外部攻击,且其中可能存在着信息倒卖行为。
龙卫球称,除此内部倒卖信息,个人信息的泄露还和其他一些内部管理漏洞相关,比如有些安全等级很高的信息却有很多人都可以接触到,而使用这些信息的人保护意识可能也不强。
信息每经一次流转,就有可能被泄露,而对于信息在很多环节的采集,目前并无统一的规范,尤其在商业交易活动中,对于商家可以收集哪些信息,目前还没有明确的统一标准。
据媒体此前报道,全国信息安全标准化技术委员会秘书长高林曾于今年5月透露,目前信息数据采集方面的标准已经在报批过程中,这为企业标明了底线,但不具有强制性。
IT与知识产权律师赵占领告诉财新记者:“根据相关的法律规定,收集个人信息方面应当经过用户的知情同意,收集的信息应该是与提供服务相关的,有些信息是有必要收集的,还有一些应用收集的信息可能无关,超出了正当性和必要性的范围,在使用时应该告知确切的使用范围。但目前只有必要性的原则规定,而没有办法细化,因为不同企业所需要的信息不同,细化的标准很难制定。”
据上海交通大学信息安全工程学院教授陈恭亮介绍,在商家层面,目前的信息管理还是平面的,这样就导致公民信息经过多个环节,信息被暴露的风险增加。以移动支付为例,目前国外的做法是建立独立的第三方信息管理机构,不参与交易过程,买家通过第三方机构获得认证来进行交易,这就建立了立体的认证规范,但目前国内这方面的措施还没起步。
与信息采集类似的是,在例如学校、政府的部门,公民信息流通过程中的规范力度也不够。陈恭亮举例,例如个人信息在学校流转过程中,很多时候学校只是信息转达的部门,信息经过太多人手,而在这过程中缺乏相应的技术规范来保护信息安全。专家指出,在相关部门参与信息的采集、存储和流转过程中,应该签保密协议,一旦发生信息泄露,则应加以惩处。
信息贩卖利益链
财新记者发现,从电信运营商、企业以及各部门等不同渠道泄露的个人信息被收集汇总,通过不同的渠道以各种形式被转卖,QQ、邮箱以及一些其他在线平台都可能成为个人信息交易的场所,形成一条灰色的信息买卖利益链。
据万仁国介绍,被泄露的公民信息被收集、汇总后,经过中间商大部分被卖给广告商,也有一小部分则被卖给了电信诈骗分子。中间商对信息的需求大,收集整理的信息会有精准定位,以方便后续的合法或不合法行为。比如常见的商品推销、用人招聘、贷款理财等,都需要中间商向掌握公民信息资料的个人和机构去购买,一旦这些信息被诈骗团伙购买或窃取,则就会被实施精准诈骗。