黑客查聊天

简介

黑客查聊天指以黑客身份承接查询他人聊天记录的业务,也指此类业务背后涉及的获取即时通信内容的技术途径。所谓聊天记录,通常指微信、QQ、Telegram 等即时通信应用中的文字、语音、图片和文件往来^[2]。它之所以受到关注,一方面是因为对话内容包含大量个人隐私和社交关系,另一方面是因为相关数据在终端、服务器和传输链路上分布不同,能否被第三方取得取决于具体的技术条件^[1]。

在网络上,这一说法常被用于招揽查询业务,但公开渠道的实际情形与宣称的技术能力往往并不一致,故其含义需要区分"宣称的服务"与"真实的技术手段"两层^[4]。

沿革

聊天记录进入公众视野与即时通信工具的普及同步。早期个人电脑时代的做法较为简单:本机上安装的聊天软件会把对话保存在本地目录中,使用专门的记录查看软件即可读取同一台机器上其他账号的历史消息,一些教程因此将这类工具列为入门工具^[5]。这一阶段的获取前提是物理接触设备,与远程入侵无关。

移动互联网普及后,对话数据主要保存在手机端。安全厂商在第三方应用市场中发现了针对安卓设备的监视程序,利用注入与钩子(Hooking)技术截取微信和 QQ 的消息,其安装需要攻击者实际接触设备并完成注册,被视为移动端攻击手段的一次变化^[6]。此后,安全研究者陆续报告了利用即时通信应用漏洞、恶意链接和中间人框架实施窃听的多起活动,例如趋势科技记录的一个威胁组织借助漏洞工具包,通过即时通信消息投递恶意链接,并在安卓设备上利用无障碍服务读取多款即时通信应用的对话^[7]。

在国内的传播脉络中,这一说法与电信网络领域的收费类业务长期并存。2019 年和 2022 年,媒体先后报道过以"黑客查聊天记录"为名对外招揽并多次加收费用的情形,相关报道来自地方媒体和中央电视台的节目^[8][9]。

特点

从技术路径看,获取他人聊天内容大致有几类方式,其共同点是都需要突破某种隔离。第一类是控制终端:通过木马程序在设备上运行,读取本地数据库或截取屏幕,前述监视程序采用的注入与钩子即属此类^[6]。第二类是窃取账号:多名网络黑产从业者表示,只有取得目标的微信或 QQ 账号,才能查看其聊天记录^[1]。第三类是攻击传输链路:通过劫持域名或伪造证书使自己处于通信双方之间,即中间人攻击,从而读取或篡改内容^[10]。

加密方式决定了上述路径的难易。微信在服务器与设备之间采用传输层加密,并以 AES-256 保护传输中和静止的数据,同时声明不在服务器上永久保留消息内容,文字消息在发送 72 小时后、图片音视频和文件在 120 小时后从服务器删除^[2]。此类加密保护的是传输过程,服务器端理论上仍可解密;而端到端加密只有终端持有密钥,中转服务器无法解读内容,微信并未采用端到端加密^[1]。此外,端到端加密只覆盖传输中的消息,不覆盖设备上已存储的数据^[11]。

在法律层面,通信内容与通信记录属于公民个人信息。2017 年 6 月 1 日起施行的司法解释明确,通信内容、征信信息、财产信息五十条以上即属于非法获取公民个人信息"情节严重"的情形之一,通信记录等信息五百条以上同样如此^[3]。与之衔接的是《中华人民共和国刑法》第二百五十三条之一:窃取或以其他方法非法获取公民个人信息,情节严重的处三年以下有期徒刑或者拘役,并处或者单处罚金,情节特别严重的处三年以上七年以下有期徒刑。查询他人信息未经允许即涉及隐私权,私自散布他人隐私属于违法行为^[12]。

另一类特点在于供给端的结构。网络安全从业者将网上的"黑客"分为白帽、黑帽和冒充者三类:白帽通过漏洞响应平台和授权渗透测试获得报酬,不承接查询私人对话的委托;黑帽从事拖库、木马、窃取通信内容等活动;数量最多的是冒充者,以先付定金、保密费、解压密码费等名义反复索款^[4]。正规安全服务的流程是签署合同、明确授权范围、出具报告并开具发票,与私下接单的方式存在明显区别^[4]。

从数据来源看,批量个人信息泄露主要沿两条路径发生:一是外部入侵,通过撞库等方式破解数据库;二是内部人员利用职务权限出售信息^[13]。围绕这些数据形成的非法查询网站与通讯群组构成所谓"社工库"生态,公开叫卖的项目涵盖户籍、开房记录、微信好友等^[13]。同类数据的流转一般分为上游获取、中游清洗归类、下游加价出售三个环节^[14]。