账户异常添加好友需警惕

今年6月下旬，越城区公安分局网警大队多次接到市民报案，称在不知情的情况下发现，自己的微博、QQ等社交账户添加了陌生好友、关注，手机经常莫名其妙收到各种垃圾广告弹窗、短信，怀疑个人信息被泄露。

同一时段，越城区公安分局网警大队也接到阿里安全专案团队提供的线索，称有用户反馈淘好友有异常添加陌生人的情况，疑似个人信息遭泄漏。

多起报案的同质性引起警方高度关注。调查发现，报案人市民李某的账户数据于今年4月17日被8个IP地址多次异常访问，这8个IP地址隶属的IP段还先后访问超过5000人的账户。在阿里安全归零实验室提供的技术协助下，警方迅速展开了全力侦查。

警方锁定该IP段背后，是北京瑞智华胜科技股份有限公司（下称“瑞智华胜”）为核心的多家公司在操控，且多家公司实际控制人和作案团伙均系同一拨人，瑞智华胜（872382.OC）为新三板上市公司。

紧接着，警方针对这三家公司的关联、商业模式等展开调查，固定相关证据后，7月3日，绍兴越城警方20多名民警在属地警方配合下，在北京海淀区瑞智华胜公司对涉案人员实施抓捕，抓获6名犯罪嫌疑人，公司实际控制人、主要犯罪嫌疑人邢某未在公司，闻风而逃。

随后，警方从盘根错节的关系网中反复探索、侦查，揭开了一个分工明确、获利颇丰的黑灰产犯罪团伙真面目，也发现了一种完全新型的数据盗窃作案手段。

“打劫”运营商窃取数据

警方侦查发现，涉案的瑞智华胜等三家公司主要成员均系同一伙人，办公地点也一样。同一个团伙为什么要开三家公司？原来是为了用不同的公司主体干不同的事情，掌控整个产业链：两家公司主要与运营商签订服务合同，获取权限，进而窃取数据，而瑞智华胜则主要将数据加工、处理，通过精准营销、恶意弹窗、加粉、刷量等方式获利变现。

据警方介绍，在“大老板”邢某的安排下，从2014年开始，黑产公司通过竞标的方式，先后与全国多家运营商签订正式的服务合同，为其提供精准广告投放系统的开发、维护。简单来说，每家运营商都要针对不同用户做比较精准的信息推送，比如流量使用提醒等，主要靠这个系统。

在提供软件服务的过程中，该犯罪团伙获得了运营商服务器的远程登录权限，并于2015年开始，在明知不合法的情况下，将自主编写的恶意程序放在运营商内部的服务器上，偷偷“劫取”流量，意即当用户的流量经过运营商的服务器时，该程序就自动工作，从中清洗、采集出用户cookie、访问记录等关键数据，再通过恶意程序将所有数据导出，存放在瑞智华胜境内外的多个服务器上。

办案民警单钟颖介绍，cookie相当于用户账号的登录凭证，不需要获取帐号和密码，通过cookie就可以进入用户账号，直接操作账号做任何事情。利用cookie数据，该犯罪团伙登录大量用户的账号，从用户账号中获取用户的搜索记录、账户注册资料等数据。

除了获取账号内的数据，该犯罪团伙还操纵账户加粉、刷量，并进行恶意弹窗推广等方式非法获利。

“在链路末端，为实现加粉、提升百度搜词排名等变现效果，瑞智华胜针对不同的软件研发了不同的加粉程序，犯罪手法极其专业，技术水平较高。”单钟颖表示。

为毁灭证据，今年4月犯罪嫌疑人团队还连夜删除多台服务器上的大量数据，警方初步估算已被删除的数据量也超过亿条。

相关报道: