人脸识别黑产：35元制作眨眼人像 4000元学习黑科技

　　原标题：起底人脸识别黑产链条

　　记者在卖家QQ远程的协助下，成功把制作好的“眨眼”人像投放在手机和电脑两段。 于伟力 摄

　　“黑科技”后台操作自动动态人脸识别匹配成功。 于伟力 摄

　　法治周末记者 于伟力

　　“能过ⅹⅹ动态人脸识别的加我！需要1万单！”

　　“ⅹⅹ带过动态人脸识别，100元试件远程操作！1800元出售全套‘黑科技’教程！”

　　“打包出售上万张‘高质量料子’，保证质量，通不过不要钱！”

　　凌晨两点，在一个名为“APP人脸识别”的500人QQ群里，不少买家和卖家正如火如荼地刷着屏，疯狂寻找“发财致富”的秘诀。有卖家公开吆喝，“可以通过‘黑科技’技术，破解多款APP动态人脸识别，帮助买家完成实名认证。”

　　法治周末记者调查获知，如果买家提供APP账号，通过动态人脸识别的单价在20元至50元不等；如果买家要求卖家提供APP账号，过动态人脸识别的单价则在80元至300元不等。除此之外，买家还可以花费1800元至4000元不等的“学费”，让卖家传授“黑科技”技术，自己开辟“赚钱”的门道。

　　为了核实真相，法治周末记者花了35元，提供给了卖家某社交APP的账号，不到10分钟，该APP中的动态人脸识别已成功通过。

　　“黑科技”破解多款APP动态人脸识别技术

　　“这个行业的水很深，价格全凭卖家自己定，有些‘贪婪’的卖家在中间环节倒手了好多轮后，漫天要价，造成市场混乱，一度引起有关部门的注意，导致一些‘无辜’卖家的‘黑科技’屡遭查封。但是，尽管查得严，需求量还是非常大，主要原因是这中间的利润相当可观。”在圈内做了快一年的卖家陈峰（化名）提到，他老家房子的首付是通过这个“副业”凑齐的。

　　陈峰直言，由于买家的需求多样化，因此针对不同类型的APP，会有不同的“黑科技”破解之术。他举例：有的买家想过社交类APP的人脸识别是为了做引流；有买家想过支付类APP的人脸识别，则是为了获得高等级，提升额度；还有的买家想过泛娱乐类APP的人脸识别，是为了用多个账号，做项目薅羊毛。“目前市场上，买家需求主要集中在过支付类APP的动态人脸识别上。”陈峰自称，他一天可以做400个至500个（动态人脸识别）支付类APP号，一个号的成本在10元左右，但对外的零售价则在45元至100元。他给法治周末记者算了一笔账，除去“废号”（通过不了动态人脸识别的情况），一天收入8000元至10000元是没有问题的。

　　“为了赚更多的钱，更多人渴望学到这门‘黑科技’技术。”陈峰除了“卖号”，也会把这门“黑科技”技术，以4000元作为“学费”教给有需求的人。

　　经过几番交涉，他透露了用“黑科技”技术，破解某支付类APP动态人脸识别的全操作流程。但在正式操作前，他要求法治周末记者在网上购买“高质量料子”（一手高清静态正面人像大头照、身份证正反面照）、“VR过人脸技术7.0刷机包”和一部“小米4”手机。

　　在陈峰的QQ远程协助下，法治周末记者先后通过刷机、下载脸部动画制作工具等流程，顺利制作出了“眨眼”动态人像照。

　　对于上述操作，他解释，这是该“黑科技”的魅力所在，后台系统可以自动抓取脚本，读取文件，APP动态人脸识别匹配成功。

　　关于上述“黑科技”破解动态人脸识别的操作，一位不愿具名的技术人员告诉法治周末记者，人脸识别的信息存储仍基于计算机可识别的语言，即数字或特定代码，而随着这些数据价值的提高，面临黑客攻击的风险也会越来越高。“所有带有动态人脸识别的APP，都有‘活体检测’功能，当该功能做得不够严谨时，则会出现系统无法区分真实和伪造数据的漏洞。”

　　用户人脸照、身份信息在网上被兜售

　　值得注意的是，要想破解多款APP的动态人脸识别，一方面要求“黑科技”技术过硬；另一方面则要求“料子”质量达标。群里一位只卖静态人脸照的卖家顾城（化名）解释，圈内普遍称“高质量料子”指的是，一手拿到的高清正面大头照、手持身份证半身照和身份证正反照。

　　在顾城提供的多个文档中，法治周末记者注意到，有上万张不同角度的人脸照和身份证信息。“很多卖家出售的‘料子’，经过了反复使用，质量都不行。这种‘料子’导入后，系统在识别时会拦截，通过动态人脸识别的成功几率极低。”

　　“市场上卖的‘料子’，价格高低不一。”顾城坦承，他手上大部分“高质量料子”都来自各地移动营业厅。“这种‘料子’价格普遍在100元上下，有的低质量‘料子’价格只要0.1元。但如果买家只是通过静态的人脸识别，一般质量的‘料子’都可以满足。”

　　此外，法治周末记者调查中还发现，除了有不少像顾城这样兜售用户人脸照、身份证信息的卖家，还有很多卖家在做支付类APP“白号”（没有任何关联的空号）的生意。

　　一位长期卖“白号”的卖家介绍，目前市场上，“白号”的单价均在10元左右，走量多的话，单价可优惠至5元，甚至更低。交易达成后，对方提供了邮箱地址、邮箱密码、支付密码、登陆密码、手机号和接码编码，同时，对方还附上了一个接码网址（把接码编码输入该网址后，可自动接收该手机短信验证码）。按照操作步骤，法治周末记者顺利登录了该支付类APP。

　　事实上，用户的身份信息和人脸照片公开售卖的乱象从未停止过。此前，就有媒体报道，在“转转”APP上以关键词“人脸数据集”搜索相关信息时，弹出了标价10元的“人脸相关算法训练数据集”商品，内含5000多张不同表情的人脸照片。报道还称，在“快眼”的贴吧里，也有不少销售者正用低价兜售人脸数据。

　　人脸识别应用的隐私安全引担忧

　　当前，人脸识别技术作为人工智能技术发展的重要应用之一，已被多场景广泛应用。据多家媒体报道：在北京大兴国际机场，乘客只需要通过“人脸识别自助值机系统”进行刷脸，无需身份证件，就可以办理相应的登机手续值机。

　　此外，法治周末记者走访中也注意到，北京市部分地区的超市、便利店等场所，也均安装了刷脸支付应用。

　　有业内人士介绍，人脸识别是基于人的脸部特征信息，进行身份识别的一种生物识别技术，用摄像机或摄像头采集含有人脸的图像，并自动进行检测与追踪等一系列相关技术。

　　在外界看来，人脸识别技术的应用将是大势所趋。据前瞻产业研究院数据显示：2019年，人脸识别市场规模达34.5亿元；未来5年人脸识别市场规模，还将保持20%以上的增长速度；预计2024年，市场规模将达100亿元左右。

　　然而，对于人脸识别的落地应用，外界的声音各抒己见。有人认为该技术切实解决了一些生活场景中的不便捷，提高了效率；有人则认为该技术存在的安全隐患巨大，用户的个人隐私无法得到保障。

　　不久前，“人脸识别第一案”引发广泛关注。事情的起因是，浙江理工大学特聘副教授郭兵收到了来自杭州野生动物世界的一条短信，提示他的动物园年卡如果不进行人脸识别将无法正常使用。郭兵不同意接受人脸识别，在双方未达成一致后，于10月28日向杭州市富阳区人民法院提起了诉讼。目前，该案已在当地法院正式受理。

　　对于人脸识别存在的安全隐患，上述业内人士认为，一是人脸识别未经用户许可擅自采集用户人脸数据，并用作商业用途；二是人脸数据被采集后，通常有很长的生态链，商家不仅拥有了用户的人脸数据，还拥有了用户的消费习惯、财务状况等其他信息，这些信息一旦泄露，将对用户的隐私造成巨大的损害。

　　国家网络安全基地培训中心专家李刚在接受法治周末记者采访时也表示，外界对人脸识别技术有所抵触，也主要基于两方面的担忧：一方面是智能化认知判断精准度；另一方面是认证和系统安全性。

　　“首先，所谓智能化认知判断精准度，更多取决于人脸识别技术和应用本身的技术发展。精准度不高的识别技术，会给人们工作生活的便捷性、准确度造成影响，错误的判断和认证，也会从大安全的角度，影响到技术的使用和应用的推广；其次，认证和系统安全性，对伪造面孔的防伪和识别功能性，及人脸识别技术本身系统后台的安全性，不仅涉及整个系统的安全应用，更涉及个人隐私等系统数据的保护。”李刚指出。

　　人脸识别应用亟需立法来规范

　　事实上，对于人脸识别技术存在公众隐私和信息安全的争论，一直是国内外长期争论不休的话题。年初，微软CEO萨提亚·纳德拉曾提出，需要对人脸识别技术制定相关监管规则，以避免市场利用这项技术进行恶性竞争。而脸书、谷歌、亚马逊等科技巨头，也面临来自立法者和其他人对其隐私做法的强烈反对；6月份，微软更是悄然删除了此前全球最大公开人脸识别数据库。

　　欧洲方面表示，按照欧盟《通用数据保护条例》（GDPR）规定：公司在收集用户包括面部等生物特征数据之前，必须经得个人同意，否则被罚金额可以达其全球收入的4%。

　　而由于目前我国并没有针对人脸识别作出立法，因此，对于人脸识别数据的保护，也主要通过对公民信息和个人隐私的相关保护制度进行。

　　对此，北京市中闻律师事务所合伙人赵虎强调，首先“隐私权”是一项私权利，对于侵犯隐私权的行为，被侵权人可以起诉到法院，寻求救济；其次，根据我国消费者权益保护法规定：经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。倘若出现侵犯消费者个人信息的行为，有工商部门（市场监督部门）负责查处。

　　9月，针对媒体公开报道和用户曝光的“ZAO”App用户隐私协议不规范，存在数据泄露风险等网络数据安全问题，工业和信息化部网络安全管理局对北京陌陌科技有限公司相关负责人进行了问询约谈，要求其严格按照国家法律法规以及相关主管部门要求，组织开展自查整改。

　　李刚表示，由于网络信息化发展超前，法律上还存在“真空”，网络安全法出台时间不长，而个人信息保护法还在制定过程中。因此，未来网络空间的治理，亟需通过立法来对政府执法、网络服务商、网安产品厂商、网民用户、网络空间行业机构等网络空间角色、标准和秩序进行根本的规范。

　　北京市炜衡律师事务所上海分所高级合伙人邹晓晨也提出建议，企业和用户应谨慎使用、存储涉及人脸和肖像的应用场景。尤其是企业要落实网络安全法的相关规定，用户要减少使用各种猎奇类的APP。

责任编辑：李思阳