隐私疯狂出走——我们被数据泄露夺走了什么？

“现在这大数据也太离谱了吧？我刚打电话谈到营业执照怎么办理，随后抖音立马开始给我推送注册营业执照的广告了！”身处数字时代，我们的互联网活动无时无刻不在产生数据，网络不知不觉间成为日常生活中必不可少的“第五空间”。网民在网络上进行的搜索记录、位置记录、通讯记录以及购物、出行等行为轨迹均属于有价值的数据，这些数据与用户身份、喜好、行为习惯等隐私信息紧密相连。繁多的个人信息的生产和传播，让隐私泄露问题的处理变得日益棘手。

一览无余：50亿人正在互联网“裸奔”

据统计，全球网民每天在电子设备上使用互联网的平均时间高达7小时，即每天超过1/4的时间都被互联网占据。据统计，我国互联网网站已超过443万、应用程序数量已超过345万，个人信息的收集、使用则更为广泛，基本信息、社交信息、位置信息、行为信息等隐私，都被一览无余。

图 1   我国网民互联网使用情况

2013年，斯诺登曝光了美国臭名昭著的“棱镜计划”。披露显示，自2007年起，美国政府便对全球实施电子监听，进入微软、谷歌、苹果等多家互联网巨头服务器监控用户隐私资料，其侵犯人群之广、程度之深、时间之长震惊世人，引起了全球范围内的抗议和对个人信息保护的关注。然而，即便丑闻公之于众，信息泄露的迫害却并未止步于此。随着时间的推移，一些更为隐蔽的网络攻击事件浮出水面，其幕后不乏跨国黑客集团的身影。在疫情爆发之际，更有多个国家和地区对中国发动网络攻击。遭到曝光的网络攻击只是冰山一角。水面之下，是永远在暗中涌动的黑客组织。

图2 2017-2022年全球最大跨国网络攻击事件

不断面临隐私和便捷的抉择，很多人早已麻木，认为与其带来的便利相比，代价根本不值一提，他们甚至表示泄露的隐私数以百万计，自己只是九牛一毛。其实不然，隐私泄露带来的代价并没有想象中的那么小，它与我们近在咫尺！据IBM称，2022年比2020年的数据增长了近13%，创下历史新高。

个人数据泄露给企业造成的损失平均为435万美元，泄露成本仍保持递增的趋势。大部分的企业在遭受数据泄露事件后，还会将产品的价格升高，企业额外花费的交付赎金、维护、升级等成本，自然会转嫁到消费者头上。其实我们的每一条隐私信息，早已在暗中标好了价格。

国际网络攻击的最终触及点，正是个人信息。当我们身边的长者和幼童都成为互联网的使用者，当我们习惯了用个人隐私去换取一时的便利，当我们对数据泄露无动于衷甚至习以为常，终有一天会自食其果。

暴露无遗：当个人数据成为公开的秘密

网民普遍在社交媒体平台上对各类隐私泄露问题表达了担忧。通过收集微博中网民的热点评论，我们发现涉及“大数据”“信息泄露”等关键词的话题数量最多。某些应用程序会通过监听、行为记录等方式确定网民的需求，精准推送广告，如同时刻环绕在身边的眼睛，监视着我们的一举一动。

《全国网民网络安全感满意度调查“个人信息保护与数据安全”专题报告》指出，网民对我国个人信息保护现状的整体评价呈现“三三分”态势：35.66%的受访人群表示近一年“有一些”信息泄露遭遇；41.25%的受访人群遭遇“比较多”甚至“非常多”信息泄露；近八成网民曾接到各类中介的推销电话。

广告推送现象自蔓延起就难以根治，早已成为个人信息安全的重大隐患。不少人都曾收到过未经同意的垃圾邮件或营销短信，感受到被监视带来的无措和不安。在调查中，有四成网民表示网络服务经营者全部都没有征得同意即向用户发送广告。此外，生物识别技术进行身份认证已成为社会生活常态，但由于生物识别信息的不可更改特点，所以这些与生俱来的信息一旦泄露，个体的独特标识将不再独特，互联网的匿名性将荡然无存，极大地降低了人们的安全感，使得人们对生物识别信息的利用充满了忧虑。

图3  2022年个人信息泄露类型统计

黑色交易：一条信息均价不到0.5元

图4 2022年个人信息泄露途径

个人信息泄露途径主要包括公安机关、房地产、电信公司等，超过半数的信息泄露源自职务之便，是最应该严格保护我们使用者隐私的内部人员所为。2017年，公安部网络技术研发中心主任许剑卓曾表示，行业内部人员已经成为侵犯公民个人信息犯罪的重要主体。在2018-2020的“净网行动”中，公安机关抓获侵犯公民信息的行业“内鬼”3000余名，在“净网2021”专项行动中则抓获行业“内鬼”500余名。这些“内鬼”大多数从属于基层派出所和交警大队，他们利用自己的职务之便，泄露了大量公民的个人信息。最终这批来自内部人员的泄密很大一部分会通过暗网等黑色交易手段流传出去，沦为他们的“副业”、“外快”。

既然泄露的人员找到了，那么它们是从何获取我们的信息呢？APP便是悬挂在我们头顶的达摩克利斯之剑，它给予我们极大便利的同时也带来了巨大的风险。APP违规获取信息是隐私泄露的重要原因之一。许多APP在收集用户个人信息时，已然超出必要范围，它们强制收集用户画像信息用于个性化推送。这些行为导致用户接收到大量推销电话、广告推送，更有甚者信息被出售，成为网络诈骗的导火索。自2019年工信部开始通报关于侵害用户权益行为的APP，至今已有28批，虽然有上千的APP被下令整改，但这仍只是被摆在明面上的沧海一粟。

图5 2022-2023年侵害用户权益行为的APP通报

APP在用户协议或隐私政策中，通常会使用晦涩难懂、繁杂至极的措辞，借此过度收集个人信息。只有按下“同意”键，亲手“允许”企业收集信息，才可以顺畅的使用，否则只会被拒之门外。这种行为，无异于强迫用户签下“霸王条款”。“霸王条款”导致用户在使用APP时，无法真正知晓自己的个人信息将如何被收集、公开和交易。

图6 2022年网民认为最有可能泄露个人信息的途径

APP的违规收集行为给用户的个人信息和隐私带来了潜在风险。60%以上的用户都曾经遭遇过APP强制索取无关信息和权限。例如，TikTok的应用程序在启动时会强制要求用户接受隐私协议及用户协议，并同意将其个人数据存储在中国。该应用还被发现收集了大量的用户数码指纹和设备特征，以追踪用户的行为和位置。在全球范围内，类似案例层出不穷、屡见不鲜，仍以较高水平逐年增加。

图7 2022年网民认为APP存在的违规情况

除了APP违规收集个人信息的问题，还有一种更为严峻的问题，那就是非法售卖个人信息。不法分子组织将用户个人信息出售给数据经纪商、黑市或其他非法渠道，以此牟利。数据统计显示，2022年全年累计监测发现个人信息非法售卖事件达203起，其中银行、证券、保险等相关行业占比最高，达40%。

非法售卖是一个全球性的问题，黑客等网络犯罪分子来自世界各地。他们通过非法手段获取用户的个人信息，然后将其出售或直接交易来牟取暴利，此类行为旁人很难察觉，对于个人和企业而言的损失可能更为惨重。

2019年，美国资信评级机构Equifax遭到黑客攻击导致1.43亿人的个人信息被盗。这场安全漏洞不仅肆无忌惮地将大量手机号、姓名、出生日期等敏感信息泄露出去，而且还可能导致受害者面临身份被盗用和金融欺诈等问题。对于企业来说，数据泄露等行为不仅会引发公众的不信任，也可能面临政府的行政处罚或法律诉讼，给公司的声誉和经济利益造成巨大损失。

图8 个人信息非法售卖行业占比

警钟敲响：信息风暴下，谁来筑起城墙？

互联网并非法外之地，我国的立法一直在路上。上世纪90年代末，我国开始了数据安全方面的建设；近年来，数据安全法律法规和政策体系不断完善。2021年被称为中国的“数据安全元年”，《中华人民共和国数据安全法》《个人信息保护法》等6项数据安全法律法规密集出台。

图9 网络安全立法时间线

《个人信息保护法》是我国第一部个人信息保护方面的专门法律，旨在保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，共计八章六十四条。这部法律的实施为公民个人网络信息安全提供了强有力的法治支撑。目前，我国约有40部法律、30余部法规是关于公民个人信息保护的条款，其中既包括民法典等基本法，又有网络安全法等专门立法。个人信息保护法与网络安全法、数据安全法多管齐下，既加强了我国网络安全与数据安全的顶层设计，又为个人网络信息保护织就了一张严密法网。

图10 国家个人信息保护法结构

数据调查显示，广大网友期待构建多元主体共治的机制，以完善个人信息保障。国家加强立法保护、企业减少收集、监管部门发力、社会组织培训等异质化的多元主体合作，突破传统一元主体治理思路，探索信息安全治理政企共建、政民共建的有效路径，或将成为新时代信息安全治理的新模式。

图11 2022年网友期望完善的保护措施

受国内需求提高、政策落地引导等因素影响，我国数据安全行业正处于高速发展期。据中国网络安全产业联盟（CCIA）《2022 年中国网络安全市场与企业竞争力分析》报告统计，2021 年我国网络安全市场规模约为614 亿元，同比增长率为15.4%。2018-2021年，国内网安市场整体增速约20%-23%，同期数据安全市场增速约30%-35%，是同期网安整体增速的1.5倍以上。网络安全的重要性逐渐步入企业大众的视野，网安产业正蓬勃发展。

每一次信息泄露都是一次个人隐私的暴露，一次不可逆转的损失。我们那些珍贵的秘密、私密的谈话、敏感的数据，毫无遮掩地暴露在陌生人的眼中，仿若待宰的羔羊。经济上的损失固然数以亿计，心理上的创伤也无从衡量。

信息泄露现象已然成为网络顽疾，需要政府、企业和个人等多角色协同配合，进行防御管理。“网络安全为人民，网络安全靠人民”。在信息安全治理中，既要构建网络安全保障体系，又要促进网络经济繁荣；既要加强国家重要战略领域网络安全建设，又要完善公民个人网络隐私和数据安全保障。尽管目前我国个人信息安全保障仍有漏洞，但健全法律法规、打击违规APP、普及信息安全等行动一直在扩大。对企业而言，责任与技术并重。一方面，企业应自觉遵守商业道德，在产品智能化的同时减少对用户隐私信息的窥探；另一方面，还应该加强数据保护，提升用户信息的安全性，避免信息泄露事件的发生。从个人角度来说，除了提高意识，更应该付诸实践。不轻易相信任何一个智能设备、网站链接、软件应用，不盲目进行信息同意、授权、输出，不漠视个人信息保护渠道……都是我们在信息化社会避免“裸奔”的行动。

在一个没有数字隐私的世界里，每一次发声和行为都会被再三思量，任何会被公之于众的风险都会加深“数字监控”下的寒蝉效应。让我们的网络更开放，让我们的隐私更安全，政府、企业、个人应齐心协力，建立健全法律法规，加强监管处罚力度，开展深度普法教育，建立开放安全的网络环境，强化隐私保护意识，共同守护互联网健康环境。

数据来源/参考资料：

1.  《2023-2029年中国移动互联网行业竞争现状及投资策略研究报告》

2.  《2022年IBM数据泄露成本报告》

3.  2022全国网民网络安全感满意度调查报告《个人信息保护和数据安全专题报告》

4.  安恒信息《个人信息与隐私保护报告2022》

5.  《2020年中国互联网网络安全报告》

6.  冉连,张曦.地方政府数据开放中的数据安全政策研究——基于全国33个地级市政策文本的内容分析[J].情报志,2020,39(11):96-103.

7.  桂畅旎.2021年全球网络空间安全态势回眸[J].中国信息安全,2021(12):32-38.

8.  安静.全球网络安全治理动态与趋势[J].人民论坛,2016(10):68-69.

作者 | 叶韦均 朱璨 吳展鵬 韦杉

指导老师 | 赵甜芳