境外电诈防范全书
海外华人防诈必修 · 全三十章
据山东胶州市公安局侦破的一起案件，犯罪嫌疑人在境外聊天工具上购买公民个人信息，每条的价格是 5 到 10 元。这些信息包含姓名、身份证号和证件照。
五块钱，买断你的名字、身份证号和一张脸。
再说一个数量。据最高人民法院发布的典型案例，某软件公司在为医疗机构提供服务的过程中非法获取患者信息，办案机关在其公司服务器、自建数据库以及涉案人员家中的设备内，提取到包含挂号用户个人信息的数据，去重后合计 2,878,070 条。两百八十七万条。
把这两个数字放在一起，就是这一章的全部主题：你的信息不是被「泄露」了，它是被定价、被打包、被批发的一件商品。第 2 章讲过，园区里的话术是按目标定制的——他们知道你孩子的名字、你上周去过的地方、你正在办的那件事。很多人以为这是骗子聪明。不是，这是他们买的。
| 档位 | 信息类型 | 一般入罪门槛 | 内鬼减半后 | 分档理由 |
|---|---|---|---|---|
| 一档 | 行踪轨迹信息、通信内容、征信信息、财产信息 | 50 条 | 25 条 | 一旦流出极易引发绑架、诈骗、敲诈勒索 |
| 二档 | 住宿信息、通信记录、健康生理信息、交易信息等 | 500 条 | 250 条 | 其他可能影响人身、财产安全的信息 |
| 三档 | 其他公民个人信息 | 5000 条 | 2500 条 | 一般性信息 |
| 另计 | 违法所得 | 5000 元 | 2500 元 | 达到即构成「情节严重」 |
注意第一档。法律把行踪、通信、征信、财产这四类划为最敏感，门槛压到 50 条，正是因为这四类一旦流出，极易引发绑架、诈骗、敲诈勒索等关联犯罪。换句话说，法律的分级逻辑和黑产的定价逻辑是一致的——都是按「危害有多大」来排的。而「内鬼减半」这一列，是本章最该被记住的法律要点，卷四第 2 条会展开。
五块钱进，四十块钱出：中间那道工序是 AI
据山东胶州市公安局侦破的一起案件，犯罪嫌疑人在境外聊天工具上购买公民个人信息，每条的价格是 5 到 10 元——这些信息包含姓名、身份证号和证件照。
五块钱，买断你的名字、身份证号和一张脸。
而加工之后，这些信息以每个 30 到 50 元的价格出售——出售的不再是信息本身，而是用这些信息注册出来的实名账号。五块钱进，四十块钱出，中间那道加工工序，是这条产业链真正的核心。
那道工序是什么？
过去，一条泄露的身份信息用途有限。你有我的身份证号，但平台要求人脸识别，你过不去。人脸识别曾经是一道相当可靠的关卡。据办案机关披露，嫌疑人在购得含证件照的公民信息后，借助境外 AI 工具，把静态的证件照合成为会「眨眼」「摇头」的动态人脸视频，以此通过平台的活体认证，批量注册实名账号。
胶州案的价格、手法与买家用途均系办案机关公开通报。本段只讲 AI 在「注册端」的滥用，即用 AI 突破身份认证；AI 在「实施端」的滥用（冒充亲友、冒充领导直接行骗）是另一个话题，见第 17 章。本章不提供任何可用于实施的技术细节。
AI 把一张静态照片，变成了一个可以通过认证的「活人」。这条链条的意义要说透——
其一，一次泄露的价值被大幅放大。以前泄露一张证件照可能没什么用，现在它是一个可通过认证的实名账号的原料。
其二，实名制的防护作用被削弱。你的名字被用来注册了账号，而那个账号在做违法的事——你甚至不知道它存在。
其三，黑产的中间环节被工业化。买信息、合成、注册、批发，每一步都可以由不同的人完成。
碎片是怎么被拼成一个人的：主键是手机号
这一段回答本章标题里的那个问题：信息怎样变成「精准话术」。
骗子买到的很少是完整档案。更常见的情况是碎片——姓名和手机号来自一个渠道，住址来自另一个，网购记录来自第三个，孩子的学校来自你自己发的朋友圈。
把这些碎片拼起来，需要一个「主键」，也就是能把不同来源的数据对上号的那个字段。在中国的场景里，这个主键几乎永远是手机号。它绑定了你的支付、社交、快递、网购、打车、外卖、银行——任何一份泄露的数据里只要带着它，就能和其他数据对上。
拼装完成之后，你就从「一条信息」变成了「一个人」：知道你叫什么、住哪、有没有孩子、孩子多大、最近买了什么、常去哪、大概什么收入水平。
怎么判断自己的信息已经泄露？几个常见信号：突然接到能准确说出你姓名、单位、近期消费的推销或诈骗电话；收到你并未申请的短信验证码；收到账号在陌生地点登录的提醒；收到没有下单过的快递，尤其是货到付款的；征信报告中出现你不知情的查询记录。
「手机号作为主键」系对公开案例与实务的归纳，非官方表述。泄露信号清单为经验性归纳，出现信号不等于必然已泄露，亦不排除其他原因。
第 4 章讲过，骗子筛选的是「状态」——刚失业、刚离婚、刚到新环境、刚有一笔钱。而这些状态，恰恰是从拼装后的画像里读出来的：你的快递地址变了，说明你搬家了；你开始大量搜索某类信息，说明你正在办某件事。
由此得出两个实用结论。
第一，保护手机号的优先级最高。它不只是一个联系方式，它是把你所有数据串起来的那根线。可行的做法是分层：一个手机号用于银行、证券等重要金融账户，另一个用于日常注册、外卖、网购、抽奖。邮箱同理，而且更重要——邮箱是找回其他所有账号的钥匙。
第二，不要因为「这条信息不重要」就放心。单看你的车牌号没什么用，单看你孩子的学校没什么用。但拼在一起，加上一个手机号，就足以让一通电话听起来完全可信。信息泄露的危害不是线性叠加的，是相乘的。
六条渠道：你能真正管住的只有其中几条
渠道一：内鬼。这是最主要、也最难防的一条。两高司法解释在制定时就明确指出：公民个人信息泄露案件不少系内部人员作案，诸多买卖案件也可以见到「内鬼」参与的影子。内鬼可能出现在任何一个掌握你信息的环节——平台、快递、医院、银行、房产中介、教培机构、物业、电信营业厅。
渠道二：平台被攻破或违规收集。数据库被入侵、App 超范围收集、第三方 SDK 回传。这一条同样不由你控制，但你可以减少暴露面。
渠道三：你自己公开发布的。这是唯一你能完全控制的一条。朋友圈的机票照（含订单号）、孩子的胸牌照（含学校和班级）、新车的车牌、办公桌的工牌、开箱视频里的快递面单、健身房的定位打卡——这些信息单独看都无害，拼起来就是一份画像。
渠道四：声音与人脸。据从事 AI 音频创作的技术人员介绍，陌生电话超过五秒不挂断，就容易被采集到声纹特征。人脸素材则更容易——一张清晰正脸加一段公开视频就够。
渠道五：线下纸质件。快递面单、外卖小票、办证复印件、酒店登记表、体检报告。
渠道六：旧设备与旧账号。二手手机、废弃硬盘、多年不用但仍绑定手机号的旧账号——旧账号尤其危险，因为它们的密码往往还是你多年前设的那个。
「内部人员作案」的表述出自两高司法解释制定时的官方说明。五秒声纹采集说法系技术人员向媒体的介绍，属经验性表述，不同技术条件下所需样本时长可能不同。
第 4 章讲过，骗子筛的是「状态」。而你的公开动态，恰恰在实时广播你的状态：刚换工作、刚生孩子、刚出国、刚买房。
渠道四现在的重要性远超从前，原因就是第 01 段讲的：AI 让这些素材可以被直接使用。
而渠道一你几乎无法防御，只能靠法律追责——法律对此确实加重了处罚，见卷四。
身处海外，你还多了四个泄露口
中介与代办。留学中介、移民中介、签证代办、税务代办、买房中介。为了办事，你会把护照、签证页、成绩单、银行流水、税表一次性交给对方——这是你所有敏感信息中最完整的一份打包。这类机构良莠不齐，而且往往不受严格的数据合规监管。
华人社群平台。租房群、二手群、拼车群、找工作群。为了办成事，你会在群里发出租房需求、联系方式、所在区域，有时连护照页都直接发出去。
两套身份体系同时暴露。你既有中国的身份证、手机号、银行卡，又有所在国的身份号码、税号、驾照、社安号。两套体系各自都可能泄露，而且一旦被同一批人拼起来，画像的完整度远超一般人。
社交平台上的放松。很多人在海外的社交平台上更放松，觉得「反正国内的人看不到」。但诈骗集团的目标客户恰恰就是海外华人，他们比谁都更关注这些平台。
本段所述四个渠道系基于产业结构分析与公开案例的归纳，非统计结论。各国对数据处理者的合规要求差异较大，中介机构是否受监管须以所在国规定为准。
第 24 章会讲到，假移民顾问和境外电诈产业链共用同一批个人信息，原因就在中介这个口子。
两套身份体系同时暴露，也解释了第 16 章的骗术为什么有效——对方能同时说出你的中国身份信息和你在当地的状况，可信度会陡增。
[1] 入罪门槛比你想的低
《刑法》第二百五十三条之一规定了侵犯公民个人信息罪。最高人民法院研究室负责人在解读司法解释时的原话是：入罪门槛应该说是比较低的。「情节严重」处三年以下有期徒刑或者拘役，并处或者单处罚金；「情节特别严重」（数量或数额达到前述标准十倍以上）处三年以上七年以下有期徒刑，并处罚金。除三档数量标准外，还有几种情形直接构成「情节严重」：违法所得 5000 元以上；非法获取、出售或提供行踪轨迹信息被他人用于犯罪；知道或应当知道他人利用公民个人信息实施犯罪仍向其出售或提供；曾因本罪受过刑事处罚或二年内受过行政处罚又实施本行为。
[2] 对「内鬼」的加重条款：标准减半
司法解释明确：将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，认定「情节严重」的数量、数额标准减半计算。减半是什么概念？本来要 500 条才入罪的信息，你是从工作中拿到的，250 条就够了；本来 5000 条的，2500 条就够了。公安机关有关负责人在解读时说得很直白：对于任何侵犯公民个人信息的案件，都要追查源头，深挖行业内鬼。
[3] 关联罪名与单位犯罪
设立用于非法获取、出售、提供公民个人信息的网站或通讯群组，情节严重的，构成非法利用信息网络罪（《刑法》第二百八十七条之一）；同时构成侵犯公民个人信息罪的，以侵犯公民个人信息罪定罪处罚。网络服务提供者拒不履行信息网络安全管理义务，经责令改正而拒不改正，致使用户个人信息泄露、造成严重后果的，构成拒不履行信息网络安全管理义务罪（第二百八十六条之一）。单位犯本罪的，对直接负责的主管人员和其他直接责任人员定罪处罚，并对单位判处罚金——博某软件公司案中，单位被判处罚金三十万元，何某某等直接责任人员被判处有期徒刑五年六个月至一年六个月不等，并处罚金十万元至一万元不等。
[4] 如果信息被泄露，你自己能主张什么
上面讲的都是追究他人的刑事责任，那是公权力的事。作为个人，《个人信息保护法》给了你几项可以自己主张的权利：知情权与决定权、查阅复制权、更正补充权、删除权。还有一条对普通人特别有利：就损害赔偿采取过错推定——个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。这意味着举证责任在对方，而不是要你去证明「他们有过错」——这一点在实务中很关键，因为普通人几乎不可能拿到对方内部的数据管理证据。实际路径通常是：先向该机构书面提出查阅或删除的要求并保留记录；对方不处理的，向网信部门或行业主管部门举报；造成实际损失的，可考虑民事索赔；涉嫌犯罪的，向公安机关报案。
你的信息不是被「泄露」了，它是被定价、被打包、被批发的一件商品——含姓名、身份证号与证件照的信息每条 5 到 10 元，加工成可通过活体认证的实名账号后售价 30 到 50 元。而把碎片拼成一个完整的「你」，靠的是手机号这个主键。所以源头防御的优先级很清楚：先保护手机号与邮箱，再清理你自己公开发布的那部分——因为六条泄露渠道里，你能完全控制的只有这一条。
这一章的其他部分都在讲你怎样被泄露。律师提示这一段，要讲一个反过来的风险。
请设想几个再普通不过的场景：你在公司做客服，同事的朋友做保险，想要一份客户名单，你顺手导了一份发过去；你在医院、学校、物业、中介工作，朋友想推销点什么，你把手上的联系方式表格转给了他；你做人力资源，把收到的简历转给了做猎头的熟人。在这些场景里，当事人往往没有任何「犯罪」的自觉——不收钱、是熟人、只是帮个忙。
但法律的评价不同。这些信息是你「在履行职责或者提供服务过程中获得的」，一旦对外提供，入罪的数量标准直接减半。一份两三百条的客户名单，如果属于住宿、通信记录、健康生理、交易这一档，就已经越过了 250 条这条线。而且要注意另一条：知道或者应当知道他人利用公民个人信息实施犯罪，仍向其出售或提供的，属于情节严重——所谓「应当知道」是一个客观判断，对方开价高得离谱、要求的数据毫无正当用途、只肯用境外聊天工具联系，这些都可能被认定为你应当知道。
所以给三句实在的话。第一，不要从工作中带走任何客户或用户的数据，哪怕只是「留个备份」。第二，不要因为是熟人、不收钱，就认为帮忙提供名单没有风险。第三，如果有人出价向你收购你能接触到的数据，这本身就是一个明确的犯罪邀约，请直接拒绝并保留证据。相关的下游风险——出借银行卡、出售实名账号可能构成的帮助信息网络犯罪活动罪——见第 25 章。
本章基于现行法律法规、司法解释、官方通报与公开报道整理。胶州案的价格、手法与买家用途系办案机关公开通报；博某软件公司案（江苏无锡锡山区法院）挂号用户信息去重后 2,878,070 条、单位罚金 30 万元、何某某等人有期徒刑五年六个月至一年六个月并处罚金十万元至一万元，系最高人民法院发布的典型案例。三档入罪标准、内鬼减半条款、关联罪名与单位犯罪条款均出自两高《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》；「入罪门槛比较低」与「深挖行业内鬼」的表述出自司法解释发布时的官方解读。《个人信息保护法》的个人权利条款与损害赔偿过错推定规则，上线前须核对现行条文表述。五秒声纹采集说法系技术人员向媒体的介绍，属经验性表述。第 04 段所述海外泄露渠道系归纳分析，非统计结论。
本章不提供任何可用于实施的技术细节，对 AI 突破活体认证的描述已控制在识别与防范所需的最小程度。本刊内容仅供风险提示与信息参考，不构成针对任何具体案件的法律意见；个案情况差异极大，如有需要请及时委托执业律师。
