來源:經濟參考報

手機卡和物聯網卡管理仍存重大薄弱環節

2019年9月，云南警方從一起婚戀詐騙案件順藤摸瓜，在公安部指揮下以“生態打擊”方式深挖深查，成功偵破“3·15”網絡黑灰產業生態鏈專案，一舉摧毀了一個售賣卡號、注冊賬號、實施詐騙的黑灰產業鏈，共抓獲犯罪嫌疑人195名，查獲涉案電話卡277萬張。

以此案為基礎，公安部隨后部署全國26個省市開展“凈網2019”1號集群戰役，有力打擊了網絡賬號惡意注冊、非法交易、非法使用黑色產業鏈。相關人士認為，監管存漏洞導致手機“黑卡”禁而不絕，相關法律法規目前仍存在適用難題，成為國家安全、社會秩序和網絡生態的隱患。

順藤“摸”出網絡犯罪大案

2019年3月，昆明警方接到群眾唐某某報案稱，自己通過婚戀網站認識的一個微信網友稱某賭博網站有漏洞可以獲利，自己按其要求“充值”31萬后發現被騙。

警方立即開展偵查，發現被騙資金流向福建，用于詐騙的微信號來自昆明“黑兔子工作室”。3天后，該工作室7名犯罪嫌疑人被成功抓獲，3萬多張手機卡和近200部手機被收繳。經審訊，嫌疑人交代是從山東某達公司購買的電話“黑卡”，通過特殊設備盜取微信賬號，再出售給下游犯罪團伙。

“上游賣手機‘黑卡’，中游盜賣微信號，下游詐騙犯罪，必須一起深挖打擊！”云南省公安廳網安總隊總隊長高兵介紹，情況上報后，公安部將該案列為“凈網2019專項行動”督辦案件，云南成立“3·15”專案組并由副省長、公安廳廳長任軍號任組長。

警方對該案順藤摸瓜偵辦后戰果迅速擴大，2019年4月抓獲5名購買微信賬號用于電信詐騙的犯罪嫌疑人，5月抓獲山東某達公司董事長及高管22人，一條由“手機卡商-盜號窩點-接碼平臺-網絡賬號交易商-下游犯罪”組成的黑灰產業鏈浮出水面。

據專案組民警介紹，在這個黑灰產業鏈中，運營商將電話卡出售給北京某特通信技術有限公司等虛擬運營商后，因缺乏管理，導致物聯網行業卡被違規開通短信語音功能，銷售給山東某達公司等虛擬代理商。而山東某達公司自2017年以來，利用3家子公司和15家實際操控的空殼公司，伙同部分虛擬運營商內部人員通過簽訂虛假合同等方式套取行業卡，再轉售給不具備行業卡購買資質的“黑兔子工作室”等下游“機房”。

經查，山東某達公司共向下游公司租售未經實名認證的“黑卡”1000余萬張，成為網絡詐騙犯罪“輸血供電”的源頭。在其后環節，電話卡價值被“吃干榨盡”：物聯網行業卡被用于惡意注冊賬號、發送非法短信等，附加了公民個人信息的回收個人卡則被用于盜取微信號。

據專案組介紹，在“3·15”案中，云南警方共抓獲犯罪嫌疑人195名，查獲涉案電話卡277萬張，扣押電腦、“卡池”等作案設備3500余臺。

以此為基礎，云南警方報請公安部發起涉及全國26個省市的“凈網2019”1號集群戰役，共抓獲犯罪嫌疑人1793名，查獲手機卡1370萬張（重約50噸），收繳電腦、“貓池”等作案設備3.6萬臺、公民個人信息6994萬條，收繳惡意注冊的婚戀交友平臺等網絡賬號900余萬個。

監管漏洞威脅網絡安全

專案組分析，上述案件揭示了當前我國手機卡和物聯網卡等管理仍存漏洞，相關新興業態有部分被犯罪分子利用的風險。在互聯網賬號盜、產、銷、用的黑灰產業鏈中，上游的虛擬運營商（簡稱“虛商”）、手機卡出售商（簡稱“卡商”）是以往難以打到的源頭性角色，造成手機“黑卡”泛濫禁而不絕，各類網絡犯罪案件“按下葫蘆浮起瓢”。

據辦案民警介紹，手機“黑卡”分為兩種，一種是物聯網行業卡，通常被用于惡意注冊賬號、發送非法短信等；一種是附加了公民個人信息的回收個人手機卡，被用于盜取微信號之后，再進行詐騙。

其中，涉案的山東某達公司是一家2019年3月在新三板掛牌的上市企業，其總經理蘇某還是當地區人大代表。層層光環下，該公司實則從事著租售電話“黑卡”獲利的行為。

據蘇某供述，虛擬運營商對虛擬代理商有營業收入等方面的考核，壓力之下，為沖營業額，對下游是否落實了實名制、行業卡是否違規開通相關功能等問題只能“睜只眼閉只眼”。

專案組認為，這表明我國網絡信息安全、手機卡和物聯網卡管理仍存重大薄弱環節。虛擬運營商對購買物聯網卡企業的真實性以及購卡最終用途審核把關未按相關規定嚴格落實，造成使用者與購買者不匹配，大量物聯網卡流向個人、網絡黑市，引發網絡亂象。

在“3·15”案中，山東某達公司購買的電話黑卡大多數來自北京某特公司，還有部分來自若干知名虛擬運營商。北京某特公司違規開通物聯網行業卡的點對點短信功能后，向下游出售，且這種行為并非初犯。相關人士認為，此前北京某特公司曾被約談并被要求整改，但現在看來，這些舉措并沒有真正起到作用。

辦案民警介紹，正是這種管理上的疏忽放縱，導致許多人看中了物聯網行業卡注冊虛擬身份無人監管的漏洞，并將其當作利益增長點，成立了大量“機房”。

法律適用難題待破解

受訪人士認為，上述案件還暴露出相關法律法規存在適用難題，一些用于網絡犯罪的技術、設備、數據仍游離于法律管制之外，值得引起注意。

首先，我國未出臺行業卡的安全管理行政法規，對監管不力難界定為“違法”。目前虛擬運營商多要求購買行業卡的企業提供營業執照，做形式審核，但未按規定對行業卡使用場景、應用范圍、具體用途等實質審核，導致大量卡流向犯罪團伙。刑法修正案（九）雖新增了有關條款，但實踐中很難證明。企業明知違反“物聯網行業卡不得開通點對點短信業務”卻依然違規開通，也是類似情況。

受訪人士認為，針對上游虛擬運營商未嚴格落實行業卡實名登記制度的行為，司法實踐中普遍以構成下游犯罪共犯來考量，尚未對此行為單獨納入法律規制范疇，導致行業卡管理混亂，難以從源頭有效治理網絡生態有序發展。

其次，法律難以界定犯罪鏈條中的一些行為和技術。嫌疑人將卡插入“貓池”“卡池”后連接至電腦，運行軟件，通過一些“打碼平臺”將短信驗證碼提供給客戶，客戶根據驗證碼注冊虛擬賬號成功的數量支付費用。辦案民警認為，上述軟硬件已成為涉網犯罪的技術后盾，但其僅為一般性自動化工具，尚未達到法律規定的“侵入、破壞計算機專門程序”標準，法律認定存在較大困難。此外，對于利用虛擬賬號對各類網絡平臺集中“薅”取相關增值權益，惡意套取平臺利益等行為，也無明確的禁止性法律規定。

對此受訪人士建議，一是應及時根據網絡犯罪新動態修正刑法或出臺司法解釋，建議盡快出臺關于物聯網行業卡的安全管理行政法規，加大企業違法成本。

二是推廣“生態打擊”策略。公安部網絡安全保衛局副局長張宏業認為，“生態打擊”機制做實個案、做精情報、打深打全，將對全國公安機關從源頭上系統打擊此類犯罪起到積極作用。

三是提升犯罪防控的智能化水平。據悉，云南的大數據分析此次發揮了重大作用，人工分析出1000多條線索，系統分析出的線索則高達1.7萬條，高效推進了偵辦進程。對此，可加強多方參與，統籌建設大數據中心，提升犯罪防控的智能化水平。（記者 李自良 吉哲鵬 王研）