连环漏洞下的电信诈骗

□付晓英

连环漏洞下的电信诈骗

□付晓英

8月30日下午，一张印在A4纸上的“警情通报”传遍网络。通报内容很简单：“8月29日23点25分，中关村派出所‘110’接报：海淀区蓝旗营小区清华大学一老师，被冒充公检法电信诈骗人民币1760万元。特提示各单位加强员工宣传力度，扩大宣传范围，减少和避免此类案件发生。一旦发现此类情况，请第一时间告知片警！”寥寥几句话立刻掀起了轩然大波。此前不久已有大学生被电信诈骗骗光学费猝死，而后清华教师也被骗巨款，十几天内接连发生的4桩电信诈骗案让人瞠目结舌。

电信诈骗在国内并不是新鲜事。它最早起源于20世纪90年代初的台湾，在当地警方打击之下，2000年前后，诈骗主阵地转移到大陆。部分福建籍诈骗团伙的成员掌握了诈骗套路后另起炉灶，家乡福建便成为首选之地，并以家族关系为纽带，迅速生根落地。如今，电信诈骗已在大陆蔓延了十几年，不仅没有绝迹，反而愈演愈烈。公安部、工信部和移动、联通、电信等运营商联合腾讯发布的《2016年第二季度反电信网络诈骗大数据报告》显示，今年第二季度，全国共接用户标记“诈骗电话”超过4.6亿条，环比增加1.8亿条。其中，收到诈骗短信人数3亿人、诈骗电话18.8亿次，环比增加88%。其中电话诈骗涉及金额最大，高达16亿元，数量也最多，占比近六成，通过短信诈骗的金额和数量依旧处于上升态势。

除了数量增长，电信诈骗的骗术也在不断升级，甚至形成了“区域特色”。“比如，冒充公检法诈骗的一般是在东南亚等海外地区；冒充熟人、领导诈骗的一般是在广东电白；像富婆重金求子这种大多是在江西余干；机票退改签诈骗则基本是在海南一带，不同区域有不同特点。”腾讯反诈骗联合实验室负责人李旭阳告诉本刊记者，“这次山东的大学生徐玉玉被诈骗是有人冒充国家工作人员发放补贴，这是几年之前就已经流行的骗术了。各种各样的电信诈骗案其实每天都在发生，只不过徐玉玉被诈骗后猝死，之后清华大学的老师也被诈骗了巨款，都称得上比较极端的案例，所以引发的关注更多。”

各式各样的电信诈骗案例虽然层出不穷，但似乎从未像最近的几起事件一样触动人们敏感的神经，从涉世未深的农村大学生到清华老师等典型的知识分子群体，都成为电信诈骗团伙的“猎物”，在环环相扣的诈骗情节里，个人的智识和经验失效了，而运营商、银行等处机构似乎也束手无策，甚至在某种程度上成为电信诈骗变相的“帮凶”。

电信诈骗的源头在于信息泄露。笔者以“信息买卖”“数据买卖”等作为搜索相关QQ群，“股民资源数据买卖”“淘宝数据买卖”等群组比比皆是，群成员从几十人到上百人不等，有的群组甚至直接在公告栏宣称“可以在群内购买信息，无论非法、不非法”，个人信息交易已经半公开化，着实让人目瞪口呆，看上去，完成电信诈骗的第一环毫不费力。

个人信息究竟是如何泄露出去的？这是追问电信诈骗首先要面对的问题。网络普及之前，个人的信息数据基本以纸质形式存档，互联网时代到来后，信息数据的采集和储存普遍采用网络化、数字化的方式，方便快捷的同时，安全隐患也随之而来。“从技术角度讲，很多网站都存在漏洞，黑客利用漏洞入侵网站拖库，很容易就能把相关的数据库窃取走，造成大规模的信息泄露。像最近几起大学生被诈骗的案例，应该是教育网站本身存在漏洞。”360手机卫士移动安全专家葛健告诉本刊记者。而除了技术缺陷，信息管理不善也是导致泄露的重要原因，掌握信息数据的人为了牟利、私下贩卖信息，几乎成为公开的秘密，而这比技术漏洞更难修补。“信息泄露的缺口太多了，有人愿意花钱买，自然就会有人去非法获取这些信息。比如说你去买房或者要装修，中介公司和装修公司第一时间就知道了消息，推销电话、短信立刻就来了，但信息泄露的源头却很难纠查到，到目前为止也没有一个好的解决方案。”李旭阳说。而电信诈骗案发生后，追查案件的责任就转移到警方了。“但实际上，公安机关是非常被动的，电信诈骗的整个环节都没有经过公安机关，整个流程警方是摸不到的，没办法在诈骗过程中进行阻碍，只能事后追查，在线下追捕犯罪嫌疑人，办案成本非常高。因为很多时候，电信诈骗是跨区域甚至跨境作案，实际破案很困难，这么多年来，电信诈骗一直存在并且越来越猖獗也跟这个因素有关。”

从源头根除信息泄露不太现实，诈骗案发后再追查破案同样困难，因此，想要有效地打击电信诈骗，最好的方法是从诈骗的中间环节入手，而运营商和银行便成为反诈骗最好的两个切口。“打电话是实施电信诈骗的必经步骤，一定会通过运营商的系统，运营商其实可以通过技术手段识别诈骗电话来进行有效的遏制。诈骗转账则会经过银行的系统，银行也可以通过数据的积累和分析对可疑的账号进行识别，在诈骗的最后环节保护受害者。”李旭阳告诉本刊。

然而，原本有希望截断电信诈骗的运营商和银行系统同样力量薄弱。“电信诈骗的骗术在更新，技术手段也在升级。如果诈骗分子直接用运营商的号码打电话，数据的采集监测并不难。但现在越来越多的诈骗电话是利用伪基站群发器，体积很小、方便携带，放在汽车后备厢里或背包里就可以随时向周边的手机用户发送各种广告信息、仿冒运营商或者银行号码的诈骗信息等。从信息发布者的角度来说很方便，但是运营商想要识别和打击却并不容易，即使定位到伪基站的位置，时间上也存在延迟和滞后。而拨打电话所使用的号码大多是运营商的部分虚拟号段，或者是经过网络改号器伪装过的号码，没有身份信息登记，无法追查也无法回拨。想要识别或拦截诈骗电话，运营商也需要更高级的技术手段。”葛健告诉笔者。而在技术之外，出于利益考虑，运营商在之前很长一段时间对电信诈骗态度暧昧。“运营商可能觉得自己就是个平台，电信诈骗的发生与其无关，不愿意额外付出资金和人力成本去做这方面的工作，近两三年，运营商才逐渐开始有所作为。”

而银行系统作为电信诈骗的最后一环，面临的也是与运营商相似的情形。“电信诈骗早就形成了一条完整的产业链，无论电话卡还是银行卡都有专门的人提供。诈骗团伙会在网络上发布购买银行卡的广告，很多人为了赚钱去银行办卡、开通网银，再通过网络支付和快递邮寄转手卖出，根本无从查询，还有的干脆就是非实名制的黑卡。诈骗团伙还有专门的洗钱渠道，受害者转账之后，赃款很快就转往境外。即使偶尔不转往境外，几百个账户也能在很短时间将资金分解、转账、迅速提取，整个流程是非常成熟系统的，追踪和打击都很困难。而冻结诈骗分子的银行账户则需要经过一系列流程和手续，从做笔录、审批立案到实施冻结，至少需要两三个小时，这时候赃款早就转走了。”一位银行业内人士告诉笔者。

虽然困难重重，但电信诈骗并非无法治理。目前，国内的运营商和公安系统已经与国内一些第三方安全公司开展合作，利用其技术支持和大数据资源标记诈骗电话、监测和分析诈骗信息，并实时向可能的受骗用户发送提醒，在诈骗过程中进行干预。而国务院常务委员会近日也通过了《无线电管理条例》修订案，加大了对非法使用无线电设备等行为的监管和处罚力度，对利用“伪基站”进行电信诈骗等违反条例的行为，罚款上限由此前的5000元最高拟提高至50万元，加大法律追究力度，对电信诈骗进行预防和打击。

当然，打击电信诈骗的方法远不止于此。“像美国一些银行采用‘延时付款’措施，钱可以很快到账，但间隔一天才能取走；而日本警方为了打击电信诈骗，加强与银行的联动，采取了监控银行账户异常交易、同一家银行每人只能开设一个账户、限制单次及单日转账额度、禁止银行账户买卖等，这些做法都可以借鉴。”上述银行业人士告诉笔者。

“我们还应当大胆借鉴其他国家在保护公民个人信息方面的先进制度、判例和学说，更好地构建有中国特色的预防和打击电信诈骗的法律制度保护网。以严刑峻法对电信诈骗严厉追究刑事责任，再加上民事上惩罚性的赔偿制度，让诈骗分子付出承担不起的代价。而要防范和铲除电信诈骗，关键是协同共治，从企业慎独自控到加强行政、法律监管，针对整个诈骗产业链进行联合打击。”中国人民大学法学院教授刘俊海分析说。

而作为安全专家，李旭阳对于电信诈骗的态度更加务实，在他看来，诈骗与反诈骗其实就是攻与防的关系。“一方面要通过技术手段和严格的监管不断提高诈骗分子作案的成本，另一方面加强反诈骗教育，让受骗者越来越少。想要完全杜绝电信诈骗，除非技术非常先进、让电信诈骗在每个环节都无孔可入，再或者‘物理消灭’、把诈骗团伙一网打尽。但是，从现在来看，这两步离我们还很遥远，不太现实。因此，诈骗与反诈骗一定会经历一个反复对抗的过程。”

摘自《三联生活周刊》