深夜的代碼圍獵：“人才上門”實為非法撞庫，全國注冊建造師被盯上了

圖片來源：攝圖網

本文為《方圓》雜志原創稿件

未經授權，禁止轉載

深夜，筑力公司的辦公室燈火通明

與此同時

千里之外某App服務器上

一場無聲的“圍獵”正在上演

筑力公司的腳本程序

正以每秒數百次的頻率

用從網上“撞”來的公民身份信息

瘋狂試探著該App的驗證接口

這是一條完整的黑色產業鏈——

從爬蟲抓取到撞庫匹配

再到打包出售

筑力公司在不到一年的時間里

賣出380多萬條公民個人信息

380多萬條公民個人信息成了“商品”

時間倒回2020年6月，周放與妻子共同出資成立筑力公司，主營建筑行業相關業務，為建筑企業提供人才招聘服務。剛開始，公司業務還不錯，但到了2023年下半年，周放發現傳統的招聘模式利潤太薄，競爭也日趨激烈。

“如果能掌握全國注冊建造師的精準聯系方式，直接對接企業需求就好了。”在一次內部高層會議上，周放提出了這個想法。

在場的總經理孫曉斌、技術部負責人趙賀年等人，都讀懂了老板眼神里的急切。很快，在周放的策劃和授意下，一個名為“人才上門”的網站項目正式立項。按照周放的設想，這個網站要能提供全國所有注冊建造師的詳細信息，包括姓名、身份證號、手機號碼等核心數據，企業客戶只需付費開通會員或購買“人才幣”，就能按需查詢、批量下載這些信息。拿到這些信息后，企業便能按需直接與中意的注冊建造師聯系。

“我們需要數據源。”趙賀年在技術討論會上直言。于是，一場針對某建筑市場公共服務平臺的數據竊取行動悄然開始。他們利用互聯網爬蟲技術，對服務平臺上的注冊建造師信息進行大規模抓取。這些公開信息中包含了注冊建造師的姓名、注冊類別、注冊證號等基礎數據，但沒有手機號碼，身份證號碼也被加了星號。如何獲取手機號碼并將身份證號碼的星號補全，成了筑力公司技術團隊必須攻克的難題。

趙賀年想到了一個辦法——撞庫。所謂“撞庫”，是一種黑客攻擊方式，通過收集互聯網已泄露的用戶名及密碼生成字典表，利用用戶多平臺使用相同賬號密碼的習慣，批量嘗試登錄其他網站獲取有效賬戶，并與拖庫、洗庫共同構成黑色產業鏈的關鍵環節。筑力公司技術人員從網上購買了一款專門用于批量登錄驗證的腳本程序，然后將從服務平臺抓取到的公民身份證信息輸入其中，對某App進行“轟炸式”登錄嘗試。

這個App是一個正規平臺，許多用戶都曾在該平臺實名注冊。就這樣，筑力公司非法獲取了380多萬條完整的公民個人信息——姓名、身份證號、手機號一應俱全，全部打包存儲在公司服務器上。

數據庫搭建完成后，“人才上門”網站正式上線。筑力公司開始向建筑行業的企業客戶推銷這款“拳頭產品”。

客戶只需付費開通會員賬號，或購買網站內流通的“人才幣”，就能進入數據庫查詢、下載注冊建造師的個人信息。A建材公司等3家公司成為筑力公司的首批“大客戶”。從2023年下半年到2024年7月案發，筑力公司向這3家公司出售公民個人信息共計7萬余條，非法獲利7.36萬元。

案發后，被攻擊的App已修復系統漏洞。

鐵證面前，他們低下了頭

2024年7月，公安機關在網絡巡查中發現異常。經過技術偵查，公安機關迅速鎖定了筑力公司。當辦案民警出現在筑力公司門口時，孫曉斌正在會議室里和員工討論下一季度的業績目標。

現場勘查中，辦案人員在筑力公司服務器上提取到了完整的數據庫，380多萬條公民個人信息赫然在列。面對鐵證，孫曉斌等人低下了頭。

“我們以為做的是信息中介服務，沒想到已經踩了法律的紅線。”趙賀年喃喃自語。

“當時只覺得這是技術手段，沒往犯罪那方面想。”趙賀年在接受訊問時說。但辦案人員對他的說法產生了質疑：服務器上的數據被嚴格加密，內部訪問權限層層設限，這些操作，對于一個搞技術出身的人來說，怎么可能意識不到反常？

案件以孫曉斌、趙賀年等人涉嫌侵犯公民個人信息罪移送江蘇省徐州經濟技術開發區檢察院審查起訴后，檢察機關經審查發現，雖然筑力公司法定代表人周放否認授意員工爬取、清洗、出售公民個人信息，但證人證言、合同書、銀行交易記錄均能證明，筑力公司各部門在實施爬取、整理、歸檔個人信息過程中分工合作，出售時也以單位名義對外簽訂合同、收取銷售款，孫曉斌、趙賀年等員工僅按月領取工資。所以，此案侵犯公民個人信息行為是筑力公司為該公司經營發展而實施的，整體應當認定為單位犯罪。其中，周放作為公司的法定代表人，策劃、授意下屬實施了犯罪行為，并掌握、支配公司獲利，應對其進行追訴。鑒于公安機關未對其開展偵查行為，徐州經濟技術開發區檢察院依法要求公安機關對周放補充移送審查起訴，并追加筑力公司作為單位被告，對全案提起公訴。

其間，因周放涉嫌其他犯罪被他省公安機關羈押，徐州經濟技術開發區檢察院聯系筑力公司另一位股東——周放的妻子，作為公司的訴訟代表人參與訴訟。

在辦理刑事案件的同時，徐州經濟技術開發區檢察院認為，筑力公司非法獲取、存儲并出售大量公民個人信息，非法獲取計算機信息系統數據，侵害了社會公共利益，除了依法承擔刑事責任外，還應當承擔相應的民事責任。

在調查過程中，孫曉斌辯解道，公司并沒有侵害他人的個人信息安全，并稱為了“保護”獲取到的公民個人信息，他們在銷售過程中還特意進行了技術加密。但這恰恰說明了筑力公司對公民個人信息受法律保護是非常明確的，卻仍鋌而走險進行出售。

“技術中立”不是護身符

2025年12月19日，根據罪名競合“擇一重處”原則，徐州經濟技術開發區檢察院以筑力公司及孫曉斌、趙賀年等人涉嫌侵犯公民個人信息罪向法院提起刑事附帶民事公益訴訟。

2026年3月24日，此案開庭審理。4月10日，法院對此案作出判決：以侵犯公民個人信息罪判處筑力公司罰金10萬元，退繳違法所得7.36萬元；以侵犯公民個人信息罪判處孫曉斌、趙賀年及其他技術人員有期徒刑三年至一年，對部分被告人適用緩刑，各并處罰金。在附帶民事公益訴訟部分，筑力公司還需另外承擔公益損害賠償金7.36萬元，并就其侵犯公民個人信息的行為向社會公開賠禮道歉。周放作為同案主犯，公安機關在經徐州經濟技術開發區檢察院監督后，著手開展押解工作，將其補充移送至檢察機關審查起訴，依法追究刑事責任。

檢察機關提醒：公民個人信息受法律保護，任何組織或個人不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。企業經營者應當樹立正確的商業倫理觀，網絡空間也不是法外之地，技術手段的運用必須以合法為前提，逾越法律紅線的所謂“創新”，終將付出沉重代價。

（文中涉案人員、公司均為化名。本文有刪減，更多內容請關注《方圓》5月下期）

本文雜志原標題：《建筑人才信息被明碼標價》

編輯丨黃莎 肖玲燕設計丨劉巖

文丨劉盼盼 王一芃

點擊圖片

購買《方圓》雜志

好看的人都點了在看