[align=justify]
編者按：本文來自微信公眾號
“燃財經”（ID:rancaijing），作者 唐亞華，編輯 黎明。36氪經授權發布。
很難想象，有一天，你的人臉信息會被人賣掉，作價5毛錢。而這帶給你的困擾或許是一生的，除非你去“換臉”。
如今這一切正在變成現實。近日有報道顯示，一些電商平台正以0.5元一份出售匹配了身份信息的人臉數據，與此同時，幫助不法分子將照片活化的工具和教程也僅僅售賣35元。
燃財經通過調查，證實了這個黑色產業鏈的存在。在一些QQ群裡，3元錢就能買到用戶的詳細身份信息和人臉照片。
相關技術專家指出，單純的個人照片不構成太大風險，但匹配了身份信息的照片可以做出模擬真人的點頭、搖頭、眨眼、說話等行為，能實名注冊市面上大多數軟件，加上驗證碼破解方式，不法分子在辦理網貸、精准詐騙等方面幾乎毫無障礙。
互聯網時代，盡管我們獲得服務需要讓渡一定的個人信息，但不同於一般的賬號和手機號，人臉信息屬於高度敏感的個人信息，我們可以更改賬戶密碼，但我們能換臉嗎？
也就是說，一旦丟失匹配了身份信息的人臉信息，我們終身將面臨安全隱患。那麼，如此嚴重的信息泄露，到底該誰負責？第三方公司在采集、利用、儲存、傳播中人臉信息時該如何規范，販賣交易個人信息的中間環節又觸犯了哪些法律條款？
你的臉只值5毛錢
信息裸奔時代，人臉識別都能買賣了。
近日，一些網絡黑產從業者利用電商平台，批量倒賣非法獲取的人臉等身份信息和“照片活化”網絡工具及教程，“人臉數據0.5元一份、修改軟件35元一套”引起了大眾的激辯。
“我一張臉就值5毛？”、“我的
支付寶賬號瑟瑟發抖”、“憑啥APP們要求我們實名，而你們做不到保護我們的隱私？”網友對此表達了強烈不滿，甚至有人“有點抗拒互聯網大數據了”。
類似於指紋、虹膜、DNA可以識別個人生物特征一樣，人臉識別也是這樣的手段，它是基於人的臉部特征進行身份識別的一種生物識別技術，被認為可以非常便捷地證明“我是我”。
方便的同時也帶來了不小的隱患。與身份信息匹配了的人臉信息可用於注冊應用軟件、借貸等，利益驅使之下，網絡黑產應運而生。
為了驗證傳言的真實性，燃財經加入一個名為“人臉技術組團學習群”的QQ群，裡面充斥著各種“微信解封、代過人臉”、“出售三色人臉技術”、“代注冊”等廣告。隨後記者添加了一位經營人臉信息的群友後，對方聲稱一份信息售價3元，包括人臉和身份信息，並發過來一個支付寶付款碼。付款後，對方隨即發來一張圖片，上面附有女士李XX的身份證號、姓名、民族、詳細地址和照片。這樣的信息他表示還有幾十個。
賣家出售的人臉信息3元一份
賣家出售的身份信息
同時，他還出售三色人臉技術，即人臉活化技術，對方向燃財經展示了照片活化前後對比圖片，“888元教技術外帶虛擬視頻機刷包”。
賣家展示的人臉活化技術
前不久媒體曝光的黑產從業者更是在淘寶、閒魚上以人臉數據0.5元一份、“照片活化”網絡工具及教程35元一套在售賣，“要的話五毛一張打包帶走，總共兩萬套，不議價。”有賣家透露，自己所售賣的人臉信息來自一些網貸和招聘平台。
“照片活化”工具可將人臉照片修改為執行“眨眨眼、張張嘴、點點頭”等操作的人臉驗證視頻。也就是說，不法分子拿到公民的照片和身份信息後，利用“照片活化”工具就可以執行搖頭、點頭、眨眼等動作，由此來騙過一些人臉識別驗證方式。
人臉識別這個曾經被認為安全的個人信息驗證方式，正遭遇嚴重的質疑。
人臉信息丟失，後果多嚴重？
首先我們來了解一下，哪些地方正在搜集人臉信息？這些信息究竟是從哪些渠道泄露的？泄露之後又有多大的風險？
NETSTARS CTO陳斌告訴燃財經，以前有刷臉支付、門禁、手機應用軟件，今年因為疫情，一些測體溫的設備也在采集人臉數據，“從技術上來看，采集人臉信息很簡單，只要有攝像頭就可以不間斷采集。”
他指出，第三方平台采集到數據有兩種泄露的可能性：一種是黑客技術入侵數據庫，把庫裡的信息拷貝盜走，很多公司都不知道自己的數據庫泄露了；另一種是公司內部有人拿數據出去倒賣交易。
事實上，如果第三方只有人臉信息，用處不太大，但如果匹配了身份證信息，危害就非常大，這中間的難點在於跟身份信息關聯。
至於怎麼匹配個人信息，“第一種是通過支付軟件，上面可能本來就有了個人信息，再加上人臉信息，就能匹配；第二種是一些園區、旅游景點，刷身份證進入，就有了數據庫；第三種是不少金融服務公司會拿客戶的信息去查詢比對權威部門的數據庫，對比完以後，有的公司會把信息儲存下來，存在泄露的可能。”陳斌分析。
再加上，現在不法分子也可以操作手機號驗證碼，信息的全面匯集，讓形勢更加嚴峻。陳斌提到，目前有技術可以操作偽基站，也就是說，不法分子可以做一個假的移動或聯通基站，向對應的手機號發驗證碼他們就能收到。
也就是說，“照片活化”技術可以通過照片作出搖頭、點頭、眨眼、吐舌頭等動作，“甚至配合說一句話都沒有難度，可以用語音操作”，再加上手機號驗證碼的操作空間，不法分子一旦有了身份證信息和照片，冒用別人的身份去辦理網貸、注冊軟件或網站、解鎖支付軟件、精准詐騙等，可以無障礙做很多不法的事情。
“不同於一般的賬號、手機號，人就一張臉，人臉信息被盜取只能去整容換臉了，否則被盜取了經匹配的人臉信息後，你每天出門就相當於腦門上頂著信用卡在走路，是很危險的。”陳斌說。
真實的案例已經發生在現實生活中。
2019年，深圳龍崗警方發現有轄區居民的身份信息被人冒用，其駕駛證被不法分子通過網絡服務平台冒用扣分。另外，龍崗警方還偵查發現，有不法分子使用A
i換臉技術，繞開多個社交服務平台或系統的人臉認證機制，為違法犯罪團伙提供虛假注冊、刷臉支付等黑產服務。龍崗警方在廣東、河南、山東等地已抓獲涉案犯罪嫌疑人13名。
2019年11月，浙江省江山市人民法院對一起侵犯公民個人信息案件作出判決，案件緣由是，支付寶推廣政策中有一條是當老用戶介紹新用戶來注冊支付寶，老用戶可以獲得28元推廣獎金，有一個詐騙團隊搜集了數千人的照片信息，利用這些照片制作可以動的3D視頻注冊支付寶賬號賺錢，共注冊成功數千個賬號，非法獲利共計30324元。
對此，支付寶回應媒體稱，2018年，支付寶安全系統監測到部分用人臉識別進行身份認證開通賬戶行為異常，及時上報警方，並且升級人臉識別身份認證的防攻擊技術。
據悉，犯罪嫌疑人利用非法獲取的公民照片進行一定預處理，而後通過“照片活化”軟件生成動態視頻，騙過人臉核驗機制。隨後，通過網上批量購買的私人社交平台賬號登錄各網絡服務平台注冊會員或進行實名認證。
所以，人臉信息和身份信息丟失最危險的後果是全民都需要“換臉”，這是一件一次丟失，終身都有危險的事情。
誰該為人臉信息泄露負責？
一直以來，人臉識別不僅意味著個人和部分場所更高級別的安全防控，也曾是公
安在茫茫人海識別抓獲罪犯的好幫手，人臉識別技術作為一種創新事物，備受各行各業青睞。
然而，不可避免的是，技術跑在監管前面，風險也如影隨形。
從技術上來看，陳斌認為：“這樣的情形其實是技術不夠先進造成的安全隱患，因為目前的人臉識別技術不是活體識別，它識別的是面部的物理特征數據，比如眼睛之間的距離，鼻子到眼球的距離，鼻子到嘴的距離等，這和真人的識別差別很大。
其實就是人臉識別技術還不夠完善，不法分子才有空子可以鑽。如果技術能區分活體和照片、視頻，那就不一樣了，未來可能隨著技術進步能解決這個問題，但是目前的情形還很值得憂慮。”
那麼，從人臉信息的采集、儲存、傳播到再利用，中間哪些環節該為信息泄露負責？
中國政法大學傳播法中心研究員朱巍從法律角度給出了解釋，個人信息保護法見於《網絡安全法》《刑法》第二百五十三條、即將生效的《民法典》第一千零三十八條，以及全國人大發布的《加強網絡信息保護的決定》等。
“這種出售人臉信息黑產，主要是用作精准詐騙或刑事犯罪的，按照刑事法律的規定，明知道是用作犯罪依舊出售的，屬於典型的侵犯公民個人信息犯罪，一般出售50條就構成刑事犯罪了。”朱巍表示。
北京至普律師事務所合伙人李聖也指出，無論是依據《消費者權益保護法》第十四條規定消費者享有個人信息依法得到保護的權利，還是依據《電子商務法》第五條電子商務經營者有個人信息保護的義務，以及即將實施的《民法典》第111條，對於個人信息保護也作出了明確的約束，任何組織或者個人不得非法收集、使用、傳輸他人個人信息，不得非法提供或者公開他人個人信息。
隨意
買賣人臉信息明顯違法，不僅構成民事侵權，也違反了《治安管理處罰法》，可處拘留或罰款。嚴重的涉嫌侵犯公民個人信息罪，應受刑事處罰。
陳斌認為，如今的人臉識別行業監管還不到位，針對采集人臉信息的公司沒有規范的管理辦法，比如哪些公司可以采集、什麼用途、保存多久、誰可以看、要不要加密、什麼樣的清晰度，這些應該有一些法律規范，目前行業比較混亂。
“不過互聯網發展向來就比法律規范更快，監管如果太快了所有的技術創新都被殺死了，太慢了用戶的信息安全存在隱患，要尋找一個平衡點。”陳斌表示。
對於普通用戶來說，別輕易貪便宜，要求刷臉注冊，填寫身份證號等個人信息的應用軟件、公司、網站等都要高度提防。專家提醒，舉著身份證拍照是最害人的，因為既有身份證又有人臉信息，一定要盡量避免提供這樣的信息。
“事實上，在合適的規范之下發展人臉識別技術是應該的，人類總要進步，要探索在合適的方式下發展，怕的是不成熟的技術廣泛應用。如果真的能識別活體，這個問題一定程度上也可以得到解決。”陳斌說。
個人之外，企業也該加強技術管控和審核力度，選擇多重驗證方式，不能僅僅看外部特征。
“你還要臉嗎？”一句日常俗語，道出了人臉的特殊性。不管是物理上，還是道德上，每個人只有一張臉，它關乎個人安全的方方面面，值得所有人警惕。
論壇通告:
個人空間:
論壇轉跳:
贊 
花籃 
投訴
踩 
分享
