非法控制330余万台老年机，覆盖全国的“接码”+信息倒卖产业

 

从2019年3月开始，童某在网上做“兼职”。短短5个月时间，他利用非法购买的6000余条公民个人信息“薅羊毛”，赚了7万余元。令人瞠目结舌的是，这些个人信息竟来自于老年人的手机，数百万台老年人手机中“病毒”后被非法控制。

近日，一条以侵犯老年人合法权益为犯罪手段的黑灰产业链70余名涉案人员被浙江新昌县法院判处刑罚。

 

刚买的老年机，却收不到验证码

去年8月，绍兴市新昌县的小朱给外婆买了一台老年机。他在网上营业厅给手机换套餐时，发现接收不到验证码，但将电话卡装到自己的手机里，验证码却能正常接收，他怀疑是外婆的老年机被装了木马， 随即报警。

接警后，新昌警方展开初查，经过检测后发现小朱外婆的老年机被植入了木马程序。验证码被木马程序截获后发往了深圳的一家科技公司，警方还发现这个现象并不是个例，他们相继检测了20多台同款老年机，都发现了相同现象。

鉴于案情重大，绍兴、新昌两级公安机关成立了由网安部门牵头的“8.12”侵犯公民个人信息专案组，在查明了整个犯罪团伙的组织框架后，赶赴深圳将这家科技公司的所有涉案人员“一锅端”。

吴某就是这家公司的负责人。公司在经营中发现老年机使用人数较多，老年人又不熟悉手机操作，套取他们的个人信息更方便、更隐秘。

吴某供述，公司开发了装有木马程序的移植包，与多家老年机主板生产商合作，将移植包植入主板之中。一旦电话卡插入老年机里，木马程序就能获取手机号码等信息，还能自动拦截验证码， 传输至后台数据库，也就是所谓的“对码平台”。

公司由专门人员从事对码工作，确保每个验证码和手机号码一致，以便进入下一个流通环节……

 

数百万条公民个人信息被用来“薅羊毛”

令人匪夷所思的是，吴某的公司除了使用少量非法获取的手机号码和验证码自行进行APP注册、刷量获利以外，绝大部分都出售给了像“番薯”平台这样的公民个人信息“批发商”。

这些平台是这条黑色产业链里的重要一环，在“行业”里被称为“接码平台”。他们从吴某这样的公司低价购入个人信息， 通过QQ 群、微信群加价出售给“薅羊毛”的团伙和个人，从中赚取差价牟利。

一台台老年人手机、一条条手机号码和验证码，公民的个人信息就这样进入了黑市场，再被层层买卖、使用获利，在全国范围内形成了一张非常庞大的犯罪网。

文章开头提到的童某，就是“薅羊毛”的一员，属于犯罪链的最下游。那么这些“薅羊毛”的团伙和个人，又是如何利用这些购买的手机号码和验证码赚钱的呢？

经深入调查发现，这些团体和个人，利用电商平台给新注册的用户发放优惠券、新人红包等机会，领取后变现换钱。也有一些人通过注册的大量账号在APP中刷点赞数、刷流量赚钱。

诸如此类，“薅羊毛”的形式和手段各式各样、无奇不有。这份兼职，让月入万元不再是梦，吸引力极强。

谁又能意识到，这些人轻松赚大钱的背后，却是数百万条公民个人信息被非法获取、倒卖、牟利。更可怕的是，吴某在供述中提到，下一步，公司已经准备“进军”儿童电话手表……

 

全国330万台手机中招

通过一台普普通通的老年机，“8.12”专案组竟揪出了一个庞大犯罪网络：处于最下游的是“薅羊毛”团体和个人，中游是二手倒卖公民个人信息并负责接码的中介商，上游是设计制作木马程序并负责对码的科技公司以及和科技公司合作的主板生产商、手机生产商。

数百万条老年人个人信息，就这样天天在“裸奔”。

 

目前主流的一些互联网产品注册、登录的校验方式都为手机号+短信验证码，接码就是使用他人手机号、短信验证码以完成账号注册、登录操作，而接码平台就是对接卡商、接码用户的中介平台。接码平台作为黑产短信验证码供应商，有着源头性和基础性的作用，故对接码产业进行剖析，力图对打击网络黑产提供对策建议。

 

卡商掌控号码原理

卡商指的是手中掌握大量虚假实名卡、物联网卡、虚拟运营商卡的人员，其使用猫池、卡池设备，配合酷*、嘻*等软件搭建手机号码群控系统，实现手机号养号、批量外呼、短信群接发等服务。这里以酷*软件为例，其通过卡间互打、网络流量、修改串号等功能来实现手机号养号。卡间互打指的是让卡池中手机号互相拨打，从而产生呼叫行为，让运营商以为是正常使用的白号；网络流量指的是通过模拟访问自定义的网址，实现刷流量操作，从而避过“运营商”的空号检测；修改串号指的是对手机号的设备特征进行修改，从而躲避手机客户端应用的风控机制。

卡商搭建完手机号码群控系统后，安装接码平台提供接码卡商客户端软件，选择所接的接码项目，例如京*注册，将手机号、短信验证码资源实时回传至接码平台，供接码用户使用。

 

接码出码过程

为了“便利”接码用户操作，接码平台提供了WEB、PC、安卓客户端三种登录方式。接码用户注册、充值后，在项目列表中搜索并选择需接码的项目，选中该项目后 ，筛选所需的号码运营商（境内、境外）、归属地省、市，选择需要接码的手机号，进行接码操作。例如某接码用户想注册*菜，接码客户端的项目列表中搜索“*菜”，将出现的*菜，ID-1185添加到到收藏中。随后在收码界面选中已收藏的项目（（菜，ID-1185），选择运营商、号码归属地，点击提取手机号，即可看到短信内容及注册短信验证码。

由于号码有限，部分接码平台的号码已被他人在相同平台注册，此时提取的手机号无法进行注册，用户可使用专属对接功能。专属对接指的是卡商在接码平台，为接码用户提供专属的号码服务。

接码产业洗钱通道

随着多方加大对黑产支付通道的打击力度，各类黑产支付接口资源萎缩，发卡平台成为了接码产业支付渠道的新宠儿。前文提到接码用户若使用接码服务，需要先充值才能使用，这个充值，就是在发卡平台购买点券，再去接码平台进行激活获得对应的服务权限；同样的流程，卡商为接码平台服务后，获得相应的点券，通过发卡平台进行提现操作，即发卡平台为接码平台提供充值、提现服务，由于发卡平台商品的自主性，很难直接将发卡平台与黑产、洗钱直接挂钩，从而逃避了监管。