黃小明

有賣家公開兜售個人特征信息

專業(yè)人士指出，只要有一張人臉高清照片，通過AI技術就可以構建仿真人臉模型，并能模擬真人“眨眨眼、抬抬頭、張張嘴”等動作，從而順利騙過人臉識別系統(tǒng)。一些“網(wǎng)絡黑產(chǎn)”從業(yè)者在電商平臺上批量倒賣非法獲取的人臉等個人特征信息，甚至相關的網(wǎng)絡工具及教程。這些信息有可能被用于虛假身份注冊、電信網(wǎng)絡詐騙等違法犯罪活動。

筆者在參與一些相關案件審理的過程中了解到，在一些網(wǎng)絡交易平臺上，通過搜索特定關鍵詞，就能找到專門出售AI加工過的個人特征信息和所謂“照片活化”工具的店鋪。一些賣家甚至以“出售人臉四件套，懂的來”等暗語招徠買家。點進某出售各大平臺“人臉商品”的店鋪，在賣家的主頁上，售賣的商品包含人臉、指紋信息。為了保證店鋪“正常運營”，一些不法商家經(jīng)常慫恿買家通過微信或QQ溝通議價。

除了售賣人臉、指紋相關信息外，一些“膽大”的賣家還出售所謂“照片活化”工具，利用這種工具，可以將人臉照片修改為執(zhí)行“眨眨眼、張張嘴、點點頭”等操作的驗證視頻。有的“照片活化”軟件加上相關教程，竟然只售35元。“客戶”直接付款，確認收貨后會收到鏈接?！翱蛻簟笨梢栽趯υ捒騼?nèi)使用語音與不法商家議價。在完成支付并確認收貨后，賣家給“客戶”發(fā)送容量約20GB的“工具箱”，里面有虛擬視頻刷機包、虛擬視頻模擬器和人臉視頻修改軟件等工具，還有相關工具的操作教程文件。

還有一些不法商家在添加“客戶”為好友后，先發(fā)送一些單人手持身份證的樣本照片，隨后展示其利用AI工具修改上述照片后，欺騙網(wǎng)絡社交平臺人臉識別機制的效果視頻，以此證明自己出售的商品擁有“技術優(yōu)勢”。

“網(wǎng)絡黑市”上售賣的人臉信息并非單純的人臉照片，而是包含公民個人身份信息（身份號、銀行卡號、手機號等）的一系列敏感數(shù)據(jù)。

一個倒賣“人臉視頻工具箱”并聲稱“包教包會”的賣家聲稱，只要學會熟練使用“工具箱”，不僅可以利用人臉信息幫他人解封電子支付平臺的凍結賬號，還能繞過婚戀交友平臺及手機卡實名認證等人臉識別機制。這個賣家還會給“客戶”傳送一些幫其他人成功解封凍結賬號的截圖，以此證明自己的“專業(yè)性”。

從技術角度看，將人臉信息和身份信息相關聯(lián)后，利用系統(tǒng)漏洞騙過部分平臺的人臉識別機制是有可能的。技術專家指出，盡管一些金融平臺在大額轉賬時需要多重身份認證，但所謂“道高一尺，魔高一丈”，“網(wǎng)絡黑產(chǎn)”的技術手段也在不斷更新，不能因此忽視賬戶安全。

如果人臉信息和其他身份信息相匹配，可能會被不法分子用于盜取網(wǎng)絡社交平臺賬號或竊取金融賬戶內(nèi)的財產(chǎn);如果人臉信息和行蹤信息相匹配，可能會被不法分子用于精準詐騙、敲詐勒索等違法犯罪活動。

個人信息被泄露除了可能導致財產(chǎn)損失外，還有可能導致“被貸款”。一些網(wǎng)貸機構進行“活體檢測”時，仍使用人工審核或技術含量偏低的機器審核，一旦公眾的面部識別信息被不法分子掌握，用上述黑科技“活”過來的面孔，很可能以假亂真，讓不知情者“被網(wǎng)貸”，背上巨額債務。

杭州野生動物世界為了“方便消費者快速入園”，在2019年10月將年卡系統(tǒng)從“指紋識別入園”升級為“人臉識別入園”，結果被消費者起訴。起訴者是浙江理工大學特聘副教授郭兵，他在5個月前辦理了杭州野生動物世界年卡。

郭兵認為：“園區(qū)升級后的年卡系統(tǒng)進行人臉識別，將收集我的面部特征等個人生物特征信息。該類信息屬于個人敏感信息，一旦泄露、被非法提供或者濫用，極易危害消費者人身和財產(chǎn)安全?！边@是面部識別技術被推廣以來，首例訴諸法庭的案件，被稱為“國內(nèi)人臉識別第一案”。這起事件引起大眾對于個人隱私權的重視，也引發(fā)人們對于相關技術法律監(jiān)管的思考。

AI竊取、利用個人信息犯罪

在上述案例中，郭兵的擔憂并非杞人憂天。通過幾起典型案例，可以了解AI竊取、利用個人信息犯罪的嚴重程度。

2019年初，浙江衢州中級人民法院判決一起侵犯公民個人信息案，4名被告人用購買的公民個人身份信息注冊支付寶賬戶，將公民頭像照片制作成3D頭像，通過支付寶人臉識別認證，獲取支付寶邀請注冊新用戶的紅包獎勵。

其實這還只是“小兒科”的把戲，如果人臉信息和其他身份信息相匹配，就可能被不法分子用以盜取目標人物的網(wǎng)絡社交平臺賬戶，竊取金融賬戶內(nèi)的財產(chǎn)，或者用于精準詐騙、敲詐勒索等違法犯罪活動，細思極恐。

指紋識別技術已經(jīng)進入我們生活的方方面面

2019年8月，深圳市龍崗區(qū)警方發(fā)現(xiàn)有轄區(qū)居民的身份信息被人冒用，其駕駛證被不法分子通過網(wǎng)絡服務平臺冒用扣分。在“凈網(wǎng)2020”行動中，龍崗警方經(jīng)多方偵查發(fā)現(xiàn)，有不法分子使用AI換臉技術，繞開多個社交服務平臺或系統(tǒng)的人臉認證機制，為違法犯罪團伙提供虛假注冊身份信息、刷臉支付等“黑產(chǎn)”服務。龍崗警方在廣東、河南、山東等地抓獲涉案犯罪嫌疑人多達13名。

在上述案件中，犯罪嫌疑人利用非法獲取的公民照片進行一定處理，然后通過所謂“照片活化”軟件生成動態(tài)視頻，騙過人臉核驗機制。隨后，犯罪嫌疑人通過從網(wǎng)上批量購買的私人社交平臺賬戶登錄各網(wǎng)絡服務平臺，注冊會員或進行實名認證。

事后打擊與事前防范

個人信息關系到每個人的生命財產(chǎn)安全。對倒賣人臉特征信息等個人信息的“黑色產(chǎn)業(yè)鏈”必須予以嚴厲打擊。立法機關應統(tǒng)籌考慮技術發(fā)展與信息安全，劃定人臉識別技術的使用紅線;監(jiān)管部門也應對惡意泄露他人特征信息的違法行為予以堅決制止。

2021年1月1日起施行的《民法典》，對自然人個人信息的范疇進行了專門說明，生物特征信息被納入其中。中國信息安全研究院副院長左曉棟指出，除《民法典》外，正在制定的《個人信息保護法》和《數(shù)據(jù)安全法》也應對人臉等生物特征信息的保護作出安排;立法要充分考慮個人特征信息的可獲得性，不能讓制定出來的法律因執(zhí)行難而流于形式。

網(wǎng)絡平臺對平臺上的交易行為負有監(jiān)管義務，應嚴謹審核賣家資質，對平臺內(nèi)經(jīng)營者的合規(guī)情況進行監(jiān)控、記錄，不允許經(jīng)營任何侵犯他人人身財產(chǎn)權利或法律法規(guī)禁止的物項。

相關平臺在制定人臉識別安全規(guī)范的過程中，要強調“人臉信息等生物特征信息”與“其他身份信息”實行完全隔離存儲，避免將人臉信息與身份信息相關聯(lián)后發(fā)生批量泄露。

對于曾經(jīng)上傳過清晰手持身份證照片或同時上傳人臉照片并填寫身份號、銀行卡信息的用戶，專家建議，應在開啟人臉驗證的同時，盡可能選擇多重驗證方式，規(guī)避單一驗證的風險。

保障AI采集的個人信息安全，事前防范重于事后打擊。在依法嚴懲利用個人信息進行違法犯罪的同時，更應強化全鏈條監(jiān)管，筑牢信息安全防火墻，切斷個人特征信息的非法采集、銷售渠道。

首先，應提高公眾防范意識。一些民眾往往缺乏這方面的防范意識，平時很隨意地將自己的照片發(fā)到微信朋友圈，還有老年人在不法分子發(fā)放洗衣粉、香皂等物品的誘惑下，答應拿自己身份證拍照給對方。對此，有關部門必須加大宣傳力度，增強公眾的隱私保護意識，從源頭避免個人特征信息輕易泄露。

其次，應厘清人臉識別的邊界。近年來，從刷臉付款、刷臉就餐到刷臉就醫(yī)、刷臉寄快遞，人臉特征信息的應用可謂遍地開花，大有“萬物皆可刷臉”之勢。相比之下，相關標準制定卻遠遠滯后。究竟哪些主體在哪些范圍內(nèi)有權利采集人臉信息，信息如何做到規(guī)范存儲，泄露需要承擔怎樣的責任，這一系列問題并沒有明確規(guī)定。

《民法典》明確了個人信息的定義，將身份號碼、生物特征信息等一并納入其中，規(guī)定“自然人的個人信息受法律保護”。在這一背景下，人臉識別技術標準制定也應加快步伐，厘清合理采集和使用規(guī)則，給刷臉劃出清晰的紅線。

最后，要加強網(wǎng)絡平臺監(jiān)管。電商平臺是倒賣個人特征信息的主要渠道。眼下，在一些電商平臺搜索關鍵詞，就能找到專門出售人臉信息和“照片活化”工具的店鋪?！峨娮由虅辗ā芬?guī)定，電子商務平臺經(jīng)營者發(fā)現(xiàn)平臺內(nèi)銷售或者提供法律、行政法規(guī)禁止交易的商品或者服務，應當依法采取必要的處置措施，并向有關主管部門報告。各電商平臺應認真履行監(jiān)督義務，運用大數(shù)據(jù)技術進行監(jiān)控，及時發(fā)現(xiàn)和下架不合規(guī)商品，斬斷出賣個人特征信息的利益鏈條。