11.8億條：淘寶數(shù)據(jù)泄露大案 包含客戶ID、手機號等
導語：爬取的客戶的手機號碼信息，逯某都提供給黎某了，爬取的淘寶客戶ID和淘寶昵稱，逯某則存在了自己的電腦硬盤里，沒有提供給黎某和外泄。
你有收到過加微信送禮品，或者邀請刷單的信息嗎？如果有，那么你的個人信息可能遭到了泄露……近日，商丘市睢陽區(qū)人民法院在裁判文書網(wǎng)，公開了一份刑事判決書，顯示一名住在河南商丘市的本科畢業(yè)的大學生逯某自2019年11月起，對淘寶實施了長達八個月的數(shù)據(jù)爬取并盜走大量用戶數(shù)據(jù)。
在阿里巴巴注意到這一問題前，已經(jīng)有超過11億8千多萬條用戶信息泄露。
而被盜取的這11.8億條數(shù)據(jù)被拿去做什么了呢？真相是，另一名住在湖南省瀏陽市，并僅僅初中畢業(yè)的黎某利用這些信息，建了1100個微信群，每個群90-200人不等。每天用機器人在群里發(fā)淘寶優(yōu)惠券，賺取返利，并在短短的8個月內(nèi)獲利34萬余元。
到底發(fā)生了什么？
兩個相隔千里的人，是如何一起合作做下這起驚天大案的呢？
被告人逯某供述稱，2017年7月在QQ群里認識了黎某，黎某當時在做“淘寶客”需要一些“淘寶客”軟件，其為黎某編了個“微信加人”軟件，沒收錢，黎某承諾說算其技術(shù)入股，等以后成立公司了再與我算錢。
2019年3月份黎某成立了一家名為“瀏陽市泰創(chuàng)網(wǎng)絡科技”的公司，逯某成為該公司技術(shù)員，一直在家遠程辦公，并領取每月1萬元的報酬。
2019年11月份，逯某開始用自己開發(fā)的爬蟲軟件“淘評評”，通過淘寶商品詳細信息接口和淘寶信息分享接口，爬取淘寶客戶的淘寶數(shù)字ID和淘寶昵稱，并通過淘寶分享接口可以爬取淘寶客戶手機號信息。
其中，爬取的客戶的手機號碼信息，逯某都提供給黎某了，爬取的淘寶客戶ID和淘寶昵稱，逯某則存在了自己的電腦硬盤里，沒有提供給黎某和外泄。
而黎某，則在收到淘寶客戶手機號碼之后會把這些信息數(shù)據(jù)導入“微信加人”軟件，加微信好友成功后，拉入建好的微信群，由公司里的員工負責發(fā)送廣告鏈接。淘寶用戶在該公司的微信群里購買商品之后，該公司將獲得傭金。
就這樣神不知鬼不覺地進行了8個多月，逯某前前后后爬取了5000多萬條信息，并從其他地方下載了11億多條數(shù)據(jù)。直到2020年8月14日淘寶（中國）軟件有限公司報警稱，在2020年7月6日到2020年7月13日時，有黑產(chǎn)人員通過接口，繞過平臺風控，批量爬取數(shù)據(jù)。在7月6日至7月13日之間，平均每天爬取數(shù)量500萬，爬取內(nèi)容包括買家用戶昵稱，用戶評價內(nèi)容，昵稱等敏感信息。
最終，逯某和黎某被河南警方逮捕。經(jīng)過公檢方面核查，逯某電腦里通過其開發(fā)的軟件爬取淘寶客戶的數(shù)字ID、淘寶昵稱、手機號碼等淘寶客戶信息共計1180738048條。
值得注意得是，被告人逯某表示，這11.8億的數(shù)據(jù)通過微信文件的形式發(fā)給黎某之后，黎某會轉(zhuǎn)一筆費用給他，整個獲利只有六七萬或七八萬元。
涉及惡意爬取淘寶數(shù)據(jù)
淘寶聯(lián)盟曾點名43款違規(guī)APP
這并不是淘寶第一次被惡意地爬取淘寶數(shù)據(jù)。
2019年5月，阿里媽媽在進行違規(guī)排查過程中，發(fā)現(xiàn)部分淘寶客在無線APP端未經(jīng)授權(quán)爬取淘寶購物車、收藏夾等并惡性宣傳做淘寶客推廣的行為。這一行為嚴重違反《淘寶客應用開發(fā)者規(guī)范》第九條：開發(fā)者不得以任何形式爬取任何淘寶數(shù)據(jù)；違反《阿里媽媽推廣者規(guī)范》第八條，存在流量劫持的違規(guī)行為。
此次專項治理共發(fā)現(xiàn)粉象生活、省錢快報、羊毛省錢、返錢寶寶、喵喵折、叮當叮當?shù)却祟愡`規(guī)APP共43個。
事實上，不僅淘寶出現(xiàn)這類情況，在2013年時，京東也發(fā)生過類似案件。數(shù)據(jù)外泄包括密碼、手機號碼、電子郵件地址、用戶名。
今年4月，F(xiàn)acebook指責“惡意行為者”泄露了超過5.3億用戶的姓名和電話號碼等數(shù)據(jù)。
第三方大數(shù)據(jù)公司“人人自?！?/p>
眾所周知，網(wǎng)絡爬蟲技術(shù)原本是指平臺按照一定規(guī)則，自動從互聯(lián)網(wǎng)上提取網(wǎng)絡信息的程序或腳本，本為互聯(lián)網(wǎng)行業(yè)的常用技術(shù)之一。爬蟲技術(shù)被廣泛應用到各個領域，在大數(shù)據(jù)分析、輿情檢測等，在法律上從未被明令禁止。
但是數(shù)據(jù)來源合法是網(wǎng)絡爬蟲活動合法的前提。如未依據(jù)《網(wǎng)絡安全法》第四十一條取得被收集者同意即自動抓取個人信息，技術(shù)使用者即涉嫌構(gòu)成侵犯公民個人信息罪、非法侵入計算機信息系統(tǒng)罪或非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪等相關罪名。