共享充电宝、招聘兼职
……
一些不法分子
用披着“便民服务”等合法外衣的伎俩
悄悄窃取个人信息
近日
公安部网安局
公布了10起
打击侵犯公民个人信息犯罪典型案例
免费投放充电宝做诱饵
此次公布的典型案例中，犯罪手段的隐蔽性和“产业外衣”值得警惕。在北京市京都律师事务所林斐然律师看来，不法分子已不再单纯依赖黑客技术，而是披着“便民服务”等合法外衣渗透进日常生活场景。
在典型案例中，以董某为首的犯罪团伙成立“某玺”共享充电设备公司，免费向低价旅馆投放共享充电宝，并约定按照使用收益进行分成，吸引大量低价旅馆合作。合作中，该团伙以提供“刷好评、删差评”等网络评价操控服务为条件，要求旅馆非法提供住客姓名、入住时间等公民个人信息，并通过电话回访、使用非法插件等方式，在多个互联网平台实施网络评价操控，提升合作商家网络评分、降低负面评价，以牟取非法利益。经查，董某等人非法获取公民个人信息100余万条，操控网络平台评价10万余条，涉案金额1100余万元。
借“高薪兼职”设身份盗用陷阱
“高薪兼职”是另一类常见诱饵。此次公布的典型案例中，辽宁沈阳公安网安部门打掉了一个以“高薪兼职注册营业执照”为名实施身份盗用的犯罪团伙。该团伙以首次注册营业执照给予200元、后续完成手续再结200-300元为诱饵，招募不明真相人员携带身份证原件来到现场，进行手持身份证拍摄，非法注册电商账号及工商营业执照。随后，这些包含个人信息的账号以每条100-300元的价格被售往下游买家，最终流入涉赌、涉电诈犯罪团伙之手，用于非法支付结算或洗钱。
林斐然指出，以往黑产主要倒卖身份证号、手持身份证照片等静态信息，获利空间有限。而如今，犯罪团伙将公民的“商事主体资格”打包出售，获利大幅提升。这些经由实名注册的公司，可直接用于涉赌涉诈资金结算、虚开发票、电商售假等违法犯罪活动。
“受害群体多集中于在校学生、待业人员或低收入人群，犯罪分子正是利用他们对工商登记及账号实名法律后果认知不足的弱点，以‘赚快钱’兼职为名诱其上钩。”林斐然说。
他提醒，对普通人而言，最大的风险远不止个人信息泄露，一旦这些账号被下游电诈等犯罪团伙利用，当事人很可能因配合实名认证的行为，被认定为“明知或应知”而提供帮助，进而涉嫌构成帮助信息网络犯罪活动罪，面临刑事追责的法律风险。
“职业卧底”应聘进公司偷数据
近年来，还出现了“职业卧底”的不法分子，专门应聘进入目标公司，获取系统权限后植入木马或批量爬取数据。
此次公布的广东佛山公安网安部门侦破的一起侵犯公民个人信息案正是如此。吴某通伙同罗某德等人以广东某科技有限公司为掩护，指使陈某杰入职某房产中介公司，以获取该房产中介公司内部系统权限，并雇佣邓某某等人，利用技术手段绕过该房产中介公司内部系统安全机制，批量爬取经纪人个人信息后进行倒卖，供装修公司用于精准营销，并按成单金额抽成，牟取非法利益。
来自行业内部的泄露更加隐蔽。山西太原公安网安部门破获的王某杰案牵出了一条涉及学校、教培机构、眼科医院等多行业，“内鬼窃取、行业倒卖、精准推销”的犯罪产业链。他们非法交换和出售学生信息，非法获取公民个人信息50余万条。
公安部网安局8月12日公布的一起案例显示，快递揽收员庄某受客户徐某所托，违规查询快递客户信息，后拉拢拥有更高系统权限的仓库管理员朱某，利用补打面单的权限，非法获取客户信息9824条并出售，违法获利3.7万余元。
“快递、外卖等掌握海量个人信息的行业，内部员工监守自盗仍是重灾区。”林斐然表示。
朝阳法院法官助理张曈予指出，当前侵犯公民个人信息犯罪已呈现产业链化的新特点。从公民个人信息的收集、筛选加工，到交易流转，再到下游诈骗，各环节分工明确、高度衔接，形成完整的犯罪闭环，牟取非法利益。
公安部网安局提示
公民个人信息受法律保护
任何侵犯行为都将受到严惩
延伸阅读
处理已公开的个人信息有哪些要求？
国家网信办答疑
1.处理已公开的个人信息有哪些要求？
《个人信息保护法》第二十七条规定，“个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。”
《个人信息保护合规审计管理办法》附件《个人信息保护合规审计指引》第十二条对违法违规处理已公开个人信息情形作了细化：（一）向已公开个人信息中的电子邮箱、手机号等发送与其公开目的无关的商业信息；（二）利用已公开的个人信息从事网络暴力、传播网络谣言和虚假信息等活动；（三）处理个人明确拒绝处理的已公开个人信息；（四）对个人权益有重大影响，未取得个人同意；（五）收集、留存或处理已公开个人信息的规模、时间或使用目的超出合理范围。
2.导致个人信息泄露的常见原因有哪些？
一是个人信息明文存储和传输，未采取适当的加密、去标识化等安全技术措施；二是存储个人信息的信息系统、数据库等未采取有效安全措施，如使用弱口令、无登录验证措施；三是可通过互联网访问的数据接口未采取有效的身份验证措施；四是互联网网站页面上包含网站关联的信息系统、数据库的登录账号与口令等。
《个人信息保护法》第五十一条规定，“个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：（一）制定内部管理制度和操作规程；（二）对个人信息实行分类管理；（三）采取相应的加密、去标识化等安全技术措施；（四）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；（五）制定并组织实施个人信息安全事件应急预案；（六）法律、行政法规规定的其他措施。”
来源：网信中国（网络和职工服务部转载）