黑客能查到个人信息吗

简介

黑客能查到个人信息吗，讨论的是在互联网环境下，他人能否通过技术手段或数据渠道获取某个自然人的身份、住址、联系方式和账号等信息。之所以受到关注，是因为个人信息的集中存储量不断增大，一旦发生泄露，可能被反复交易和关联使用。^[1][2]

从技术上看，查询个人信息的路径大致分为两类：一类是对承载数据的系统实施网络攻击，另一类是对已流出的数据做整合与再检索。前一类依赖目标系统本身存在防护缺口，后一类则建立在历史泄露数据的积累之上。^[3][4]

沿革

早期获取个人信息的典型手法是“拖库”，即攻击者发现网站漏洞后，将站点保存的用户名、密码等注册资料整批导出；随后通过“洗库”甄别其中有价值的数据，再以“撞库”方式在其他网站反复尝试登录，从而扩大信息范围。上述环节在黑色产业链中各有分工，并被多次转卖。^[5][6]

随着平台安全防护能力提升，整站拖库的情形有所减少，利用数据接口实施“蚂蚁搬家”式窃取的做法增多。有安全测评在一例检查中发现约6万份订单数据可能来自某平台的数据接口泄露。^[1]

泄露数据经过长期积累后被集中归档，形成被称作社工库的查询平台。其全称为社会工程学数据库(Social Engineering Database)，并非单一机构建设的正式数据库，而是对非法所得个人数据整合分析后形成的资料集合。^[4][7]

特点

查询能否成功，往往取决于目标数据的存量而非攻击者的技术水平。只要输入手机号、身份证号、邮箱等任一可唯一标识身份的线索，就可能从数据库中匹配出姓名、住址、学号等信息；社工库的进入门槛较低，部分群组以签到兑换查询次数的方式提供服务。^[7]

数据来源呈多源特征。除网络攻击造成的数据泄露外，内部人员违规出售、公开信息爬取与聚合同样是重要渠道，被泄露的数据量从数万条到数亿条不等。^[2]

关联分析会放大单条信息的价值。大量个人信息经汇聚、关联和再组织后可形成较为精确的人物画像与关系网络，使零散数据具备定位特定个人的能力；利用大数据与人脸识别比对，还可能将公开图片与身份信息相互对应。^[1]

并非所有系统都同样脆弱，防护强度差异明显。缺少身份认证与访问控制的数据接口容易被劫持，掌握基础攻击手段者即可借此读取实时数据；反之，具备完整认证机制的系统被绕过的难度更高。^[8]

在法律层面，个人信息受法律保护。《中华人民共和国民法典》规定不得非法收集、使用、加工、传输或买卖他人个人信息；《中华人民共和国刑法》设有侵犯公民个人信息罪，对出售、提供及非法获取个人信息的行为规定了相应刑罚。^[9]

参见

• 社工库 —— 由泄露个人数据整合形成的查询资料集合，是信息查询得以实现的常见数据基础。

• 社会工程学 —— 利用人的心理与行为弱点获取信息的方法，社工库即得名于此。

• 撞库 —— 用已泄露的账号密码批量尝试登录其他网站的攻击方式。

• 个人信息保护法 —— 规范个人信息处理活动、明确处理者义务的法律。

• 数据泄露 —— 个人信息流出源头之一，直接决定可被查询数据的规模。