近期，百度副总裁谢广军的女儿公开他人隐私信息一事引发关注。3 月 19 日，百度声明称开盒信息非源自百度，而是来自海外非法收集个人隐私信息的数据库。记者调查发现，加入违法出卖个人信息的群后，可按格式搜索个人信息，查询费用为包月 500 元，永久无限查询 2000 元。业内人士、律师就个人数据的保护、维权给出方法。
" 开盒 " 一词，意为违法获取并恶意公开他人个人信息。它最初流行于 " 饭圈 "，" 百度副总裁 13 岁女儿‘开盒’ " 事件后迅速进入公众视野。
随这一词汇共同浮出水面的，还有猖獗的数据泄露 " 黑生意 "。
3 月 19 日晚，针对 " 谢广军女儿开盒 " 事件，百度在官方微信公众号发布声明表示，事件相关信息并非来源于百度，公司任何职级员工及高管均无权限触碰用户数据。
图片来源：百度官方微信号文章截图
百度强调，数据并非从该公司泄露，但通过海外社交媒体平台 "Telegram" 电报群的社工库，即可低成本甚至免费查询个人信息。对此，《每日经济新闻》记者调查发现，在上述平台的某电报群内，进群即可体验个人信息 " 查档业务 "，包月无限下载为 500 元人民币，永久无限查询只需 2000 元。记者还注意到，该社群已有超过 5 万名用户。
奇安信的数据显示，个人信息是数据泄露和黑产交易涉及的最主要数据类型。2024 年，我国境内政企机构共发生个人信息泄露风险事件 112 起，涉及个人信息数据 266.9 亿条。
近年来，国家也陆续出台一系列相关法律法规，保障数据安全。
河南泽槿律师事务所主任付建向《每日经济新闻》记者表示，如果他人在境外侵犯境内法人、自然人信息，则涉嫌犯罪，根据我国刑法保护性原则，同样可以适用我国法律。鉴于境外信息泄露猖狂，公民可以向公安机关报案，公安机关可通过国际司法协助等途径开展调查。不过，我国警察在境外没有执法权，只能通过司法协助进行。
百度再陷风波，回应称 " 没有人有权限拿到数据 "
近日，百度副总裁谢广军的女儿因追星争议与其他网友发生争执，遂将他人隐私信息发布至微博账号上，此事引发网友关注。随着舆论发酵，此前有网友质疑，谢广军女儿发布的他人隐私信息是从百度处泄露。
谢广军现任百度副总裁，记者去年 3 月时获悉，谢广军当时负责百度智能云千帆大模型平台、大数据平台等多领域的产品设计和研发工作。他在百度任职超 16 年，曾任百度系统部、百度基础架构部、百度金融云等多个重要团队的负责人。2021 年，谢广军晋升为副总裁。
百度在声明中表示，公司内部实施了数据的匿名化、假名化处理，数据存储和管理也实行严格隔离和权限分离，任何职级的员工及高管均无权限触碰用户数据。百度安全部门反复调取了相关日志，并查验当事人权限。结果表明，开盒信息并非源自百度。其次，经过调查，开盒信息来自海外一个通过非法手段收集个人隐私信息的数据库。相关调查过程已取证，并得到公证机关公证。
百度还称，网上流传的 " 当事人承认家长给她数据库 " 的截图为不实信息。事件发酵期间，社交媒体上还出现了大量文案高度雷同的造谣内容。针对相关网络谣言，百度已向公安机关报案。
之前，谢广军、百度安全负责人陈洋先后针对此事作出回应。
陈洋提到，在查证过程中，发现海外的 Telegram 电报群里有很多的社工库，通过这种社工库，可以去查询一些人的信息，而且好多信息都是免费的。陈洋称，经随机测试发现确实可以查。
18 日晚，记者从相关人士处获得的一份资料显示，百度的用户数据管理遵循 " 可用不可见 " 原则：所有字段经过假名化加密，且不同部门仅能访问业务必需的最小数据集。例如用户手机号会被替换为随机编码、地址信息会分解为三级独立字段存储。即便是系统管理员，也无法通过单一权限还原完整的个人信息。百度采用的 " 权限沙箱 " 机制，要求任何数据调取必须通过跨部门审批。2024 年审计报告显示，该系统曾拦截超过 10 多万次黑客攻击和非常规访问请求，其中包括高管权限异常操作。
19 日，中国政法大学副教授朱巍在接受《每日经济新闻》记者采访时表示，在《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》出台后，任何平台对数据的管控——包括在技术上和制度上，都非常严格。朱巍分析说：" 一般副总裁这个级别，想拿到涉及高度敏感信息的数据，我觉得是比较难的，即便他想拿，可能制度上、基础上绕不开，而且有迹可查。"
或受此事影响，百度原定于 3 月 20 日举行的百度 AI 开放日科技沙龙活动已宣布推迟，谢广军原计划出席该沙龙。
花 2000 元就能永久查询，群内用户超 6 万
百度将数据泄露源头指向海外 Telegram 电报群的社工库。那么，什么是 " 社工库 "？
谷安天下安全牛分析师张琰珺向《每日经济新闻》记者介绍，" 社工库 " 的全称是 " 社会工程学数据库 "，这是一种非法收集并整理了大量个人隐私信息的数据库。因 Telegram 加密性强、安全性高，难以被破解，该平台上存在大量色情、赌博、诈骗信息，这些信息慢慢演化成为黑产（指黑色产业链）的一部分，" 社工库 " 就在其中。
值得注意的是，所谓掌握海量个人信息的 " 社工库 " 其实并没有太高的进入门槛。
《每日经济新闻》记者调查发现，加入相关 " 查档业务 " 的搜索群后，按格式在群内任意发出姓名 / 手机号 / 邮箱 / 身份证号等资料，就可以搜索到相关个人信息。
所谓的 " 查档业务 " 涉及范围很广：从开房记录到个人户籍信息，再到名下车房情况，还包括三网定位、车辆轨迹等。而如此敏感的个人信息就这样被打包为 " 查档业务 " 公开售卖。
记者入群后收到的内容 图片来源：手机截图
查询费用是多少呢？1 积分查一次。普通人进群后可以先用免费的积分体验，积分用完后需要进行充值。" 包月无限下载 " 的价格为 500 元人民币，包季度为 1000 元，永久无限查询只需 2000 元。记者还注意到，该社群当月有超过 6 万名用户。
" 病毒式传播 " 是电报群群组得以生存的方式。除充值获取积分外，通过每日在群内打卡签到、邀请新人入群的方式均可获得积分。记者注意到，群友通过留言邀请人数达到一定额度，甚至可以获得现金奖励。
记者在群内看到的信息 图片来源：手机截图
因此，各个群组内每时每分都有人刷屏。除查询个人信息外，还有人发布其他群组的 " 广告 " 拉客 " 引流 "。记者在天网社工库中，就点进了另一个名为 " 情报局查档 " 的群组。" 情报局查档 " 公告称，截至 3 月 17 日更新数亿电话、身份证表信息。
除了机器人查询外，群内还有高级人工查询，可以获得更为敏感的个人信息，比如花 150 元就可以获得某人 " 大头照 "" 户籍地 "。
这些社工库为何能掌握如此详细的个人信息？
" 知道创宇 " 公司产品负责人张永波在 18 日告诉《每日经济新闻》记者，海外黑灰产组织会通过整合多个数据源，拼凑出个人 " 数字档案 "。例如，先通过某些违规 App 获取用户手机唯一的硬件编码，即 IMEI/MEID（国际移动设备识别码），再用这个编码在已泄露的数据库中进行比对。又例如，有的用户在许多网站中使用同一套账户密码，黑灰产组织利用这点，非法入侵一些合法网站拿到这些用户的账户密码，之后以这些密码尝试批量登录其他网站，进而获取该用户更多身份信息，这种方式也被称为 " 撞库 "。
19 日，360 公司安全专家向《每日经济新闻》记者表示，海外信息窃取的技术手段多样且隐蔽，从网络钓鱼到供应链攻击，再到暗网数据交易。案例显示，这些技术手段不仅威胁个人隐私，还可能对企业和国家安全造成严重影响。防御需要技术、管理和教育多管齐下，才能有效应对这些威胁。
张琰珺也表示，从网络安全领域从业者的角度来看，近年来全球信息泄露的事件明显增多。无论是企业被勒索、个人遭 App 监听以及网络 " 开盒 "，都给企业和个人带去了经济上、精神上的复杂且恶劣的影响。
境外执法需要通过司法协助进行
" 一方面，从技术角度来看，数智化时代（中），信息资产的风险暴露面正在日益增多。主要原因是应用的终端在增多、终端上的各种应用也在增多，还有其中绑定的敏感身份类信息、金融资产类信息和通信类软件中的数据文档类信息在增多。另一方面，从非技术角度来看，无论企业、家庭、学校还是个人，对于敏感和有价值信息的识别、管理、管控以及保护的意识、方法等方面还比较薄弱、欠缺，容易误入信息泄露的套路。" 张琰珺说。
张永波表示，目前的一个现实因素是，如果不登记个人相关信息，很多 App、网站甚至无法正常使用，这导致用户在很多时候必然会在网络上留下个人信息。" 对个人来说，可能更多还是建议上一些大品牌的 App、网站，对不太确定的一些网站能够少上传或者最小化上传个人信息。"张永波建议，如果有多个手机号，可以用某一个手机号登录各种非日常的应用。
个人信息数据泄露时怎么维权？垦丁律师事务所创始合伙人麻策在 19 日接受《每日经济新闻》记者采访时建议：一是建议个人联系发布数据的平台或网站进行举报，要求对方删除未经同意的信息传播；二是可以通过所在国家或地区的数据保护机构官网，提出对个人或者平台的投诉，数据保护机构有可能对违规者施以压力。
近年来，国家陆续出台了一系列相关法律法规保障数据安全。例如，2021 年颁布《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》，2022 年出台《数据出境安全评估办法》，2023 年成立国家数据局。张琰珺表示，随着国家对数据泄露的封堵和法律要求，近 3~5 年来，网络安全厂商纷纷加大在数据安全方面的投入。
河南泽槿律师事务所主任付建向《每日经济新闻》记者表示，如果他人在境外侵犯境内法人自然人信息，且涉嫌犯罪，根据我国刑法保护性原则，同样可以适用我国法律。境外信息泄露猖狂，公民可以向公安机关报案，公安机关可通过国际司法协助等途径开展调查。
不过，付建也表示，我国警察在境外没有执法权，只能通过司法协助进行，权益保护难到位。
国际协作是常见的解决方式。据 360 公司安全专家介绍，2021 年国际刑警组织联合多国执法机构，成功捣毁了一个全球性的网络犯罪团伙。
还没有评论，来说两句吧...