“警察同志，不知道怎么回事，最近两个月我的微博经常会关注陌生账号、QQ会突然添加陌生好友和群，手机也会莫名其妙收到各种垃圾广告弹窗、短信。”
今年6月下旬，浙江绍兴越城区多名市民李某、张某、董某先后来到越城区公安分局网警大队报案，称自己的社交账号异常，信息骚扰频繁，怀疑个人信息被泄露。
无独有偶，就在同一时段，越城区公安分局网警大队也接到了阿里安全提供的线索，称有绍兴用户反馈淘好友有异常添加陌生人的情况，疑似个人信息遭泄漏。
多起报案分别来自个人和企业，却在案情上有着同质性，这一细节引起了警方的高度关注。越城区公安分局网警大队大队长张野平介绍，通过调查发现，8个IP地址于2018年4月17日多次异常访问李某的账号，而这8个IP地址隶属的IP段，还先后访问了超过5000人的账户。
在阿里安全归零实验室提供的技术协助下，警方迅速展开了全力侦查，并成功锁定上述IP段，发现其背后是以瑞智华胜为首的三家公司在操控。
警方进一步针对这三家公司的关联、商业模式等展开调查，发现三家公司实际控制人为同为邢某，主要成员均系同一伙人，办公地点也一样；其中，瑞智华胜（872382.OC）成立于2013年，2017年12月1日正式挂牌新三板。
固定相关证据后，7月3日在属地警方配合下，越城警方在位于北京海淀区的瑞智华胜对涉案人员实施抓捕，当场抓获6名犯罪嫌疑人；公司实际控制人、主要犯罪嫌疑人邢某当时未在公司，闻风潜逃。
而随着调查的不断深入，一个分工明确、手段专业、获利颇丰的数据黑灰产犯罪团伙被连根拔起，一种完全新型的数据盗窃作案手段也在世人面前被揭开。
合法经营赚钱慢 萌生窃取数据歹意
一个犯罪团伙作案，为何要成立三家公司？原来，这是整个团伙的“大老板”刑某为了实现窃取流量盈利的目的而下的一盘大棋：两家公司用来获取运营商流量，而瑞智华胜则负责进行数据加工、处理，通过精准营销、恶意弹窗、加粉、刷量等方式将数据变现。
根据警方所掌握的情况，从2014年开始，两家涉案公司以竞标的方式，先后与覆盖全国十余省市的电信、移动、联通、铁通、广电等运营商签订营销广告系统服务合同，为运营商提供精准广告投放系统的开发、维护，进而拿到了运营商服务器的远程登录权限。
在经营过程中，这项业务的效益并不好，而提供软件服务过程中可以接触到运营商流量的这一细节，让刑某心生歹意，走上了犯罪道路。
警方透露，为了劫持运营商流量，在明知不合法的情况下，刑某及其犯罪团伙将自主编写的恶意程序放在运营商内部的服务器上，当用户的流量经过运营商的服务器时，该程序就自动工作，从中清洗、采集出用户cookie、访问记录等关键数据，再通过恶意程序将所有数据导出，存放在了瑞智华胜境内外的多个服务器上。
所谓cookie，相当于用户账号的登录凭证，通过cookie不需要再次输入账号和密码，就可以进入用户账号，并且能从用户账号中获取用户的注册信息、搜索记录、开房记录等数据。
“该犯罪团伙正是利用了cookie的这一特性，通过劫持的cookie数据登录了大量用户账号，从而操纵用户账户加粉、刷量，并进行恶意弹窗推广等方式非法获利。”办案民警单钟颖介绍，为了更好的变现效果，瑞智华胜针对加粉、刷量等不同场景的应用分别开发了软件。
根据警方统计的数据显示，该犯罪团伙窃取的公民数据已超过30亿条；而这一数字，还没算上今年4月这帮人为了毁灭证据而连夜删除的多台服务器上的大量数据。警方初步估算，已被删除的被窃数据量也超过亿条。
上市公司转型做数据黑产赚得盆满钵满
公开资料显示，刑某所控制的瑞智华胜为新三板上市公司，其主营业务为通过自己旗下的80多个微博、微信大号，开展新媒体营销及广告投放、文案策划服务，主要客户包括IMS新商业集团、腾讯广点通等。
根据警方查获的报价单，瑞智华胜掌握的微博大V号粉丝量在200万-600万不等，发布或转发一条微博的报价在2000-4000元不等，微信大V号推送内容的价格在7000-20000元/条不等。
为了实现自身业务增值，邢某主导的犯罪团伙在操纵被窃用户账户加粉、刷量时，都优先为自己使用。由于瑞智华胜是上市公司，所有提供加粉、刷量、恶意推广的费用，都通过同样控制在另外两家涉案公司结算、走账。
瑞智华胜2017年年报显示，其最大供应商中科在线的采购比例近70%，中科在线与两家涉案公司的实际控制人为同一伙人，表明瑞智华胜旗下号称拥有数百万粉丝的大V账号，水份极高。
警方在案件侦查中获得的一份加粉效果结算单显示，瑞智华胜旗下自媒体号“娱姐来了”、“北京见闻”等大V号，仅2018年1月就共计加粉21.8万个，价格为0.5元/粉，结算金额为10.9万元。
“跟他们合作，确实能让一些社交账号的粉丝数、好友数暴增，不知道他们是怎么做到的。”一名网站负责人介绍，2017年4月至9月，他向涉案公司支付超过36万元，为手上的QQ累计添加超过14万人；另外，8个抖音账号也花钱加粉1万至十几万不等。
而互联网营销这一模式也确实让瑞智华胜赚得盆满钵满。根据瑞智华胜提交的财务数据显示，2015年做软件开发服务时，其营收仅187万元、净利润2万元；转型做互联网营销之后的2016年，公司实现营收3028万元，净利润1053万元。
不过，社交媒体的红利期时有变化。根据瑞智华胜2017年财报，公司全年营收2002万元，同比减少33.8%；净利润309万元，同比减少70%；基本每股收益0.66元，同比减少87%。
瑞智华胜在财报中解释：“2017 年底，抖音和快手抢夺了互联网用户的大部分上网时长，微博、 微信的流量中心地位被影响，因此，公司营收出现明显下降。”警方查获的资料中，也发现该公司已经梳理了抖音上500多个大V号，进行粉丝量、影响力等的分析。
8月14日，瑞智华胜(872382)因持续经营能力存在重大不确定性，被主办券商提示风险。
公告显示，2018年7月，瑞智华胜法人、董事周嘉林及监事黄健、梁修军及公司员工王鹏、石柄瑞因涉嫌非法获取计算机信息系统数据罪被刑事拘留。并且，公司监事黄健、梁修军、员工王鹏、石柄瑞已于8月9日被绍兴市人民检察院批捕，原法人、董事周嘉林取保候审。
因受公司法人董事、监事被批捕、取保候审案件牵连，公司大量员工已经离职。截至目前，公司职员剩余9人，已不能满足公司正常生产经营的需要。此外，瑞智华胜的基本账户被绍兴市公安局冻结。
互联网企业需共合力铲除黑灰产毒瘤
警方通过数据反查发现，刑某的公司在与全国多个省市的运营商签订营销广告合作协议后，运营商均未对具体项目进行必要的约束、监督，才能让邢某等人利用研发、维护合作项目之名，在运营商服务器上安插恶意采集程序，非法获取用户流量。
黑产公司利用从运营商数据中清洗出的用户cookie、访问记录等关键数据，便能非法进入用户账户，进而获取百度、腾讯、阿里、今日头条等全国96家互联网公司的用户数据，国内大型互联网企业无一幸免。
一位互联网安全专家表示，从运营商的层面进行流量劫持和清洗，相当于从源头上数据就丢失了，位于下游的互联网公司的安全防护能力再强，也无法防范。
更危险的是，警方在侦查中发现，该犯罪团伙为逃避监管追查，还非法将海量信息存储于日本服务器上，而大量的公民个人数据放在境外也存在危害国家安全的巨大风险。
中国政法大学知识产权中心特约研究员、北京志霖律师事务所副主任赵占领指出，犯罪嫌疑人非法获取公民信息进行精准营销的行为，不仅对用户构成民事侵权，还涉嫌构成侵犯公民个人信息罪。
近年来，侵犯公民个人信息案件高发。去年3月，公安部开展打击整治黑客攻击破坏和网络侵犯公民个人信息犯罪专项行动，仅4个月时间就侦破相关案件1800余起，抓获犯罪嫌疑人4800余名，查获各类公民个人信息500余亿条。
据记者了解，8月21日公安部、工信部、网信办指导的2018网络安全生态峰会将在京开幕，届时国内外安全领域顶级专家云集、共议黑灰产治理等议题。阿里将联合南都在此次峰会上发布《2018网络黑灰产治理研究报告》，深度剖析黑灰产的新形势、治理新方法。
来源 21世纪经济报道