数据不上传就不会被泄露?互联网从业者的“隐私护卫”自白
2019年03月26日   光明网

回顾过去的2018年诸多热点舆情事件,支付宝账单默认勾选、Facebook 8700万用户数据泄露、华住旗下酒店1.3亿用户数据泄露、常州大学生个人信息泄露“被入职”、花总曝光酒店乱象导致个人信息泄露等备受关注。

在近日举办的2018个人信息安全大会暨“啄木鸟安全奖”颁奖典礼上,南方都市报个人信息保护研究中心发布的《2018个人信息保护年度报告》,对购物、金融、交通、社交等十大行业的1000款常用App隐私政策进行测评,显示只有13款达到隐私政策透明度高的层级;透明度“不及格”的App数量超七成,透明度低的App高达538款……

一线安全领域从业者反诈骗和用户隐私防护现状如何?互联网企业隐私政策改版过程中,如何实现应用合规与隐私设计的平衡?

骗子为什么这么“努力”?原来他们的KPI指标这么细

最近有统计显示,中国网络安全产值不到500亿,但网络黑灰产一年产值已达上千亿。当在互联网另一端的诈骗分子比你还“努力”,反诈骗如何修成正果?

“大家有没有想过诈骗分子如何工作?怎么样才算一个‘好’的骗子?是每天电话打得最多,还是骗到人最多,或是诈骗手法最新颖?”知道创宇反诈骗技术专家潘少华抛出了一系列疑问。

他举例说,之前有一个境外诈骗团伙,专门打着IT公司名义,在武汉招聘应届生,并称直接派出国培训。毕业生开始都觉得高大上,结果出国后发现是让员工每天编写诈骗剧本,而且有严格的管理指标、相互之间需要竞争,最终要看团伙的实际“产出”。

“有些不法分子文案写得不错,接电话的人很多,但个人精力有限,一分钟只能接一个单,与一百个人深度交流后只骗到了一两个人;有的只聊了两三个人聊,但每一单都转化了。”两者相比,谁更厉害?潘定华坦言,诈骗团伙很直接,只有骗到钱才算,所以更关注具体指标,“骗子的KPI指标做的很细,指标高会给给发房、发车,这可能是直接的驱动力。”

另外,潘少华提到,早些年他们曾协助某单位破获的一起大型犯罪团伙,成员有数百人,分工严密、按绩效考核,涉案金额数十亿,分为剧本组、技术组、电话组等。

其中,剧本组负责根据手头资源集思广益,设计各类场景,比如,冒充公检法、机票改签、电商退货等;技术组负责在黑市采购公民隐私数据、购买作案装备、开发部署诈骗网站和App、发送诈骗短信等;电话组根据业务分组每天拨打海量电话。

“所以大家不要觉得骗子怎么那么傻,电话里有那么浓的口音,其实只是为了快速把你过滤掉,每个听起来‘傻傻’的骗子,背后都有一个团队拿着用户资料在研究怎么突破你的心理防线。”潘定华说。

魔高一尺,道高一丈。诈骗分子这么拼,反诈骗人员也很拼。

“电话反诈骗有一个尴尬的地方,出于多种因素考虑,不能直接在运营商里拦截阻断诈骗电话。”潘定华说,很多时候诈骗分子会让受害人一直不挂机,直到完成打钱操作。这种情况下,公安民警就没办法即时通知受害人,甚至警察上门后,人们也还以为警察是坏人,因为骗子已通过整套话术进行了洗脑。

在潘定华等网络安全一线从业者看来,希望在诈骗案刚在发生时,甚至还没有发生时,就能及时地阻断。“近两年,我们在根据既有案件和大数据平台情报,进行建模训练。比如,可以配合相关机构进到黑灰产后台,看他们已骗了哪些用户、哪些数据,也能掌握嫌疑人的一些公共信息”。

数据不上传就不会泄露?未必!还有大数据挖掘测算

多年从事信息安全工作的杨更,创业之前曾在亚马逊(中国)、美团、小米等担任过首席安全官。“人们没听说过我,是一件好事,说明我服务过的公司都没出现过重大安全事件。”在杨更看来,网络安全防御领域没有消息,其实是最好的消息。

“从业18年得到了一个略有‘悲哀’结果:用户的所有线上信息都会泄露。如果担心泄露,‘小秘密’就不上传,也不行,因为现在有了大数据挖掘。”杨更举例,Facebook早在2007年就能根据用户社交关系测算用户性倾向;去年纽约大学研究员也发现,靠点赞也能测算出用户性倾向。“也就是说,你根本没上传过信息,靠大数据挖掘,也都可以被挖出来”。

对用户而言,最重要的数据是什么?“可能你觉得是密码,因为这是打开其他数据大门的钥匙。可当你还在为自己的密码规则沾沾自喜时,你的邮箱、iCloud、银行卡等密码可能早已泄漏,当黑客攻击你时、诈骗集团忽悠你时、广告主骚扰你时,他们根本不关心你是谁,在他们眼里,你只是一行数据。”

在杨更看来,以上种种,是日益增长的个人隐私保护需求和不平衡、不充分的个人隐私保护能力之间的矛盾。“普通网民与拥有大数据能力的攻击者完全不是一个对等的存在,这是互联网世界的‘降维打击’,也是隐私泄露时代的‘黑暗森林’。”

作为网络安全工程师,杨更自己一直严格管理个人密码管理器,所有摄像头全部用黑塑料遮挡,用时才打开,但显然对于多数人来说,很难做到。“要想改变隐私保护的现状,光靠技术手段远远不够。需要法律圈、媒体圈、技术圈、投资圈,特别是用户圈,形成一股对隐私高度重视的力量。”杨更认为,如果有更多用户注重隐私保护,就会有勇敢的投资者进入这个赛道,从而吸引更多创业者,打造出隐私保护行业的良性生态。

隐私细则不是越长越好,用户体验与数据合规已不再是“二选一”

在过去的2018年,用户隐私政策法规相较前一年严格了不少,这次南方都市报个人信息保护研究中心测评显示,被测App的隐私政策透明度大幅跃升,还有不少App开始尝试视频、图文、表格、摘要等创新性的隐私设计,腾讯和百度还上线了隐私保护平台,详解旗下多款热门产品的隐私设计。

其实,对于很多互联网企业而言,移动应用的隐私政策多是从0到1,尤其在隐私政策刚开始出现时,多是简短的一段话且内容含糊。让知乎法务部门一帆记忆犹新的是,2018年4月知乎隐私政策修改时,曾一度引爆舆论、差评如潮;8月底接到知乎进入隐私政策评审名单的通知,需要在10月底前完成修改。

“当时首先考虑的是产品特性,没考虑不同平台对数据信息的使用、管理、收集的特性。”在门一帆等人看来,知乎首先是内容平台,并不需要那么多用户信息,也没有收集那么多信息。

最后,他们设计了两个弹窗,先做隐私保护指引概要,让用户选择同意或不同意;当用户勾选不同意时,再给用户第二次选择权,如还需要用知乎,就进入仅浏览模式。

事实上,10月底上线的这个版本,是门一帆等修改的第20次稿。这里面到底写了哪些内容?

“第一版不到6000字,第二版16000字,还不包括Cookie指引和对难懂政策的解释。”门一帆解释说,一是个人信息保护的要求提高了,产品需要给用户更多权利,也需要把权利说明白;二是产品功能变复杂了,小产品、小功能会有上百个,且之间还会相互交叉、信息共用。

“实际上16000字还没写完,但已经不能再写了,不要说用户看了会很痛苦,我们自己看都很痛苦。”在她看来,应用的隐私政策越来越长的趋势是不对的,需要思考,是否可以通过其他方式改进。

用户体验和数据合规是不是必须“二选一”,鱼和熊掌不能兼得?如果放在一年前,门一帆的回答可能会说“是”,但经过这一年数据合规的风暴后,她坦言:“数据合规已成了用户体验的一部分,而且是至关重要的一部分。”

让她感受深刻地是,现在法务也要站在“前台”,引领产品的合规,有权利、有机会与技术部门站在一线。“法务首先应当尊重技术、关注技术。既要意识到技术的重要性,也要理解技术的局限性,法律可以用来指引技术,但是不能替代技术,也无法突破当下技术水平的限制。”

在不少业界人士看来,个人信息泄露事件已经成了“高空抛物”,高楼扔下来东西后,怎么去追责?楼上每个居民都要证明那天不在家或窗户封死了。“个人信息泄露如果是一个木桶的话,中间各个环节都要争当长板,这样个人信息才会更安全”。

上一条:五个一百:汇聚追梦新时代的网络正能量
下一条:“丑行”减少“文明”增加 我们的互联网会好吗?
关闭窗口