起底“開盒”背後的“社工庫”：處於黑產鏈中遊

3月19日晚，針對“謝廣軍女兒開盒”事件，百度發布聲明表示，事件相關信息並非來源於百度。經過調查，開盒信息來自海外的社工庫——一個通過非法手段收集個人隱私信息的數據庫。相關調查過程已取證，並得到公證機關公證。

此前，據南都報道，百度副總裁謝廣軍在回應中提到，女兒係從海外社群網站上獲得他人隱私信息並發布。

陝西恒達律師事務所高級合夥人、公益律師趙良善認為，“開盒”獲取他人信息，侵犯了他人的個人隱私及個人信息權，涉及民事、行政與刑事法律責任。

▲資料圖片 圖據視覺中國

調查：

“社工庫”自稱可查詢多種信息

還啟用機器人查詢業務

此前，紅星新聞曾報道“開盒”社交媒體群。在以“開盒”為核心的海外社交媒體群中，起到“開盒”作用的工具多被稱為“社工庫”。除去各個領域的“開盒”分支外，海外社交媒體群內也存在不少單獨的“社工庫”頻道或群聊，運營者自稱可以根據部分身份信息，獲取更多相關個人隱私內容，包括快遞外賣地址、本人戶籍及家人戶籍等。

3月19日，紅星新聞記者注意到，在一個網絡技術交流平台上，有人曾總結流行的“社工庫”賬號，每個“社工庫”均關聯一個海外社交媒體賬號或群聊。

記者根據指引進入多個“社工庫”賬號，其基本模式包括群聊、機器人及客服三種情況。在群聊中，由運營者發布可供查詢的信息類型範圍、參考結果模板等；機器人負責處理簡單的查詢業務；客服則負責處理更複雜的業務。

記者看到在一個“社工庫”群聊內，用戶均可與機器人互動，“相關說明”稱，發送網絡賬號信息即可查詢其他關聯信息，有人憑此獲取其他網絡用戶的身份信息。在機器人負責的簡單業務查詢中，往往以群聊“積分”兌換查詢額度，積分可通過推廣等方式免費獲取。一份“社工庫”查詢表格顯示，需人工操作的，收費數百元至數千元不等。

此外，不少“社工庫”群聊中，發布內容夾雜著其他涉賭、涉貸黑灰產廣告，以此“引流”至其他業務。

論文：

有組織分工明確的‘網絡黑色產業鏈’

建議摸排相關情況

澎湃新聞曾報道，2020年3月21日，針對媒體報道的新浪微博因用戶查詢接口被惡意調用導致App數據泄露問題，工信部網絡安全管理局對新浪微博相關負責人進行了問詢約談，要求其進一步采取有效措施，消除數據安全隱患。

2023年，《通信企業管理》期刊刊發文章《社工庫信息泄露事件對加強數據安全防護的啟示》，作者單位標注為中國電信研究院。文章提到，2023年2月，國外社交媒體群聊大麵積轉發一社工庫查詢機器人鏈接，網傳該機器人泄露了數十億條個人信息，以快遞信息為主。經數據驗證和分析，所泄露信息真實有效。

文章稱，“非法獲取敏感個人信息並用於營利為目的的活動已形成有組織、分工明確的‘網絡黑色產業鏈’：上遊為提供技術支持的黑客，或者泄露敏感個人信息的‘內鬼’；中遊為社工庫，即‘黑產’地下數據庫的運營方，社工庫數據被反複清洗、聚合榨取價值；下遊是實施‘黑產’犯罪行為（如詐騙、洗錢、騙貸）的團夥。”其建議摸排“黑產”社工庫情況。

華僑大學一篇碩士專業學位論文《麵向網絡滲透社工的用戶信息挖掘與分析》提出，隨著互聯網安全技術的發展，係統漏洞的發現越來越困難，越來越多的入侵者采用人為因素變相地創造漏洞進行攻擊，這在一定程度上擴大了社會工程學的應用範圍。

在網絡安全領域，“社工庫”的“社工”，實為“社會工程學”的縮寫，與社會工作、社區工作者毫無關係。北京郵電大學一篇博士學位論文《基於威脅預測的社會工程學防禦技術與策略研究》中稱，社會工程學主要是指“利用欺騙手段誘使他人泄露個人信息，尤其是在很多不知情的情況下未經授權訪問計算機係統或網絡”。社會工程攻擊可以分為三類，其中一類為“基於技術的攻擊”，是通過互聯網社交網絡或在線服務網站進行攻擊，收集攻擊目標的敏感信息，如個人隱私信息、用戶密碼、信用卡敏感信息等。

律師：

散布他人隱私涉嫌違法

提供公民個人信息達一定數量涉嫌犯罪

陝西恒達律師事務所高級合夥人、公益律師趙良善認為，“開盒”獲取他人信息，侵犯了他人的個人隱私及個人信息權，涉及民事、行政與刑事法律責任。從民事責任層麵講，民法典第111條明確規定，自然人的個人信息受法律保護。任何組織或者個人需要獲取他人個人信息的，應當依法取得並確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。

從行政責任層麵講，治安管理處罰法第42條規定，散布他人隱私的，處五日以下拘留或者五百元以下罰款；情節較重的，處五日以上十日以下拘留，可以並處五百元以下罰款。

從刑事責任層麵講，若違法所得達5000元以上的，或者提供公民個人信息達到一定數量的，依據刑法第253條之一以及《兩高關於辦理侵犯公民個人信息刑事案件適用法律若幹問題的解釋》第5條規定，行為人則涉嫌侵犯公民個人信息罪。

趙良善強調，如果對他人進行騷擾，根據治安管理處罰法第42條規定，多次發送淫穢、侮辱、恐嚇或者其他信息，幹擾他人正常生活的，將麵臨五日以下拘留或者五百元以下罰款的處罰；情節較重的，還將麵臨五日以上十日以下拘留，可以並處五百元以下罰款。若對他人謾罵攻擊，情節嚴重的，還可能會構成侮辱罪、尋釁滋事罪，如果進一步獲取錢財，則可能會構成敲詐勒索罪等。