社工库

社工库，全称为社会工程学数据库（Social Engineering Database）。社工库是黑客与大数据方式进行结合的一种产物，黑客们将泄漏的用户数据整合分析，然后集中归档为一种结构化数据库。

社工库中的数据是通过拖库、洗库、撞库等手段取得的，包括但不限于个人身份信息和个人行为信息等。社工库的构建过程包括三个阶段：1、数据盗窃；2、抽取有价值的信息；3、利用数据再次攻击。

社工库中的数据涉及个人身份信息和个人行为信息，均为敏感度极高的公民个人隐私信息。公民个人隐私被窃取后，将严重损害人民群众的合法权益，滋生电信网络诈骗、敲诈勒索等下游犯罪，社会危害严重。

名称来源

社工库出自社会工程学，最早由传奇黑客凯文·米特尼克（Kevin David Mitnick）与2002年提出。社会工程学是利用人性弱点（本能反应、贪婪、易于信任等）进行欺骗获取利益的攻击方法。

社工库是黑客在运用社会工程学攻击的时候，积累的各方面数据组成的结构化数据库，其中包含大量的网民隐私信息和网络行为记录。

数据

数据来源

社工库中的数据是通过拖库、洗库、撞库等手段从不同的来源取得的。其中的个人信息数据的来源主要有三种渠道。第一种是黑客利用某种手段（非法）入侵获得数据，包括盗号、使用木马；第二种是某些能够接触到个人数据的人监守自盗，通过出售这些数据非法牟利；第三种是使用网络爬虫等技术手段非法爬取个人数据。

数据类型

社工库中的数据是海量且多样的，包括但不限于个人身份信息（姓名、出生日期，身份证号、手机号等）和个人行为信息（各类网站的账号和密码、分享的照片、信用卡记录、机票记录、通话记录、短信记录等）。

防范方法

社工库的全称是社会工程数据库，与社会工程学紧密联系。社会工程攻击是利用了人类的脆弱性，那么防范也要从人入手。一方面提高个人安全防范意识；另一方面是加强网络安全管理。

影响及危害

社工库中的数据涉及个人身份信息和个人行为信息，均为敏感度极高的公民个人隐私信息。公民个人隐私被窃取后，将严重损害人民群众的合法权益，滋生电信网络诈骗、敲诈勒索等下游犯罪，社会危害严重。 社工库里的信息往往涉及用户隐私，所以社工库网站往往是非法的。很多网站经常被举报或者查封，过段时间又会换一个网址重新出现。一些社工库网站的服务器还设置在境外，以躲避公安机关的调查。

相关案例

案例一

2020年6月至9月，李某制作了一款可以窃取安装者手机内的照片的软件。当手机用户下载安装该软件打开使用时，软件就会自动获取手机相册的照片并且上传到李某搭建的服务器后台。李某将该软件发布在暗网某论坛售卖，截至2021年2月9日，共卖得网站虚拟币30

上海市奉贤区人民法院于2021年8月23日以（2021）沪0120刑初828号刑事判决，认定被告人李开祥犯侵犯公民个人信息罪，判处有期徒刑三年，宣告缓刑三年，并处罚金人民币一万元；扣押在案的犯罪工具予以没收。判决李开祥在国家级新闻媒体上对其侵犯公民个人信息的行为公开赔礼道歉、删除“颜值检测”软件及相关代码、删除腾讯云网盘上存储的涉案照片、删除存储在“MＥＧＡ”网盘上相关公民个人信息，并注销侵权所用ＱＱ号码。一审判决后，没有抗诉、上诉，判决现已生效。

案例二

2016年6月，北京公安机关网络安全保卫部门破获顾某非法获取计算机信息系统数据案。经查，自2016年1月起，顾某伙同他人制作用于非法获取该公司账号的软件，并在互联网上大肆收购网站身份认证信息，使用软件大量实施“撞库”行为，非法获取该公民个人账号约10万组，并通过互联网大量出售账号及扫号程序，非法获利10万余元。

案例三

2016年8月，福建泉州公安机关网络安全保卫部门破获“浮云网”侵犯公民个人信息案，抓获犯罪嫌疑人51人，成功打掉买卖公民个人信息的网站“浮云网”，查获公民个人信息2200万余条，打掉了一条非法获取、买卖公民个人信息进而实施诈骗犯罪的产业链。

案例四

2016年6月，江苏徐州公安机关网络安全保卫部门破获一起非法获取计算机信息系统数据案，抓获犯罪嫌疑人8名，摧毁一条以黑客和快递公司内部员工为泄露源头的倒卖快递信息的黑色产业链，查扣各类快递信息500余万条，犯罪嫌疑人非法获利30余万元。

参考资料

公安部：严打侵犯公民个人信息犯罪.中国政府网.2023-12-18

指导性案例192号:李开祥侵犯公民个人信息刑事附带民事公益诉讼案.中华人民共和国最高人民法院.2023-12-21

检察机关依法惩治侵犯公民个人信息犯罪典型案例.中华人民共和国最高人民检察院.2023-12-21