千万信息泄漏，是谁在偷游戏玩家的数据？

游戏新知 2020-04-16

游戏玩家的信息被「精准」地偷走了。

2月，好游快爆澄清，平台部分玩家反馈收到与手游推广相关的垃圾广告短信、骚扰电话，并非平台的预约游戏功能泄露了手机号码所致。

3月，TapTap称自1月份开始收到大量用户反馈，被手游推广相关的电话和短信频繁骚扰。3月11日，TapTap向上海市公安局分局报案。

4月，《命运神界·梦境链接》手游发布公告表示，近日出现的游戏推广类的「诈骗短信」是游戏代理运营团队擅自进行的不法行为，将诉之法院。

游戏新知也收到了大量游戏从业者的反馈，今年游戏推广的短信和电话特别多，这类推广相当地精准，能够准确地推送给「游戏玩家」群体。推广的游戏类型传奇、仙侠和三国类的游戏居多，也会有一些口碑较好的新游戏。

这中间涉及玩家上千万，很难说没有信息泄露。是谁泄露了玩家的信息，又是谁发来了这些短信？

为何短信推广又流行起来了

从「生意」的角度来看，短信推广确实是一门成本低廉、回报可观的方式，这也是背后的推广者铤而走险使用玩家隐私信息的重要原因。

以短信推广中为热门的传奇类游戏为例。

一般的传奇游戏会通过买量的方式吸收用户，在今日头条、腾讯广告、UC等各大媒体平台投放广告。买量层面，iOS版的单用户获取成本（此指CPA）在100-250元之间，安卓版在60-90元之间。

如果通过短信接触用户，成本会明显降低。

一位知情人士告诉游戏新知，如果拿到了精准的游戏玩家数据，短信推广的转化率在0.04%-0.08%之间。一条短信的成本是0.05元左右，但是由于发送量较大，和短信提供商的议价能力高，成本还能压缩到0.04元一条。在效果非常理想的情况下，一款传奇游戏的CPA有时候能控制到50元，相比主流的买量方式，成本节约了数倍之多。

另外一位长尾渠道的推广人士则表示，短信推广的CPA是iOS版 70-80元，安卓版50-60元。

所以说，在主流的买量渠道需要花费1000万成本才能达到的效果，短信推广可能不到350万就完成了。有如此大的成本压缩空间，就有侵犯玩家信息安全的「非法短信推广」就出现了。

是谁发出了这些短信？

这些发给游戏玩家的短信一般都很简短，但是信息量齐全——游戏名称+含有欺骗性但吸引眼球的文案+游戏链接。




一位知情人士表示，广州的一家长尾渠道（指中小型规模的游戏分发推广渠道）正在用这样的方式推广，但不方便透露是哪家公司。

一位投放从业人士爆料，「有几家大家比较熟知的买量投放公司也想尝试。」

游戏新知也了解到，《命运神界·梦境链接》手游官方揭露的向玩家发送诈骗短信的公司也正是一家投放公司。

一位短信服务商员工也告诉游戏新知，游戏公司在发行产品时，一般会和数家推广渠道合作，这其中可能会出现一些渠道商用非法手段获得的玩家电话号码进行短信和电话推广的情况。

长尾渠道的推广员表示，有些游戏公司并不知情，要等到玩家曝光或知情人反馈才能察觉问题所在，当然也有的游戏公司事先知情并默许了渠道商的不法行为。

上述短信服务商员工还表示，正规的短信服务商更多的是做游戏公司的用户回流业务。流失1-2周的用户效果比较好，可以达到1%-8%，流失了两个月的也可以达到2%左右。但是这种回流的效果主要是基于视频动态短信上，而不是简单的「文字+链接」类的普通短信。

流失用户的电话号码都由游戏公司提供，他们甚至都不会接触到这些信息，直接由客户在短信发送平台操作完成。


正规的短信服务商不会向客户提供电话号码之类的玩家隐私信息，但是也会出现一些不正规的服务商会免费给客户提供各类标签人群的电话号码，帮助客户精准推广，而服务商则赚取短信费。

泄露的玩家数据，从哪里来？

游戏新知了解发现，玩家数据流出的途径无外乎几种：1.拥有大量玩家数据的公司的内部人员私自出售数据；2.不法人员通过技术手段盗取了玩家数据；3.游戏公司或平台与短信服务商合作时，玩家数据被服务商盗取；4.通过不法渠道购买。

以下是一些具体的真实案例：

——北京一家信息技术公司开发了一款可以在苹果手机上静默安装应用的恶意程序，该程序还可以获取用户手机中的通讯录、手机ID和MAC序列号等信息，这些信息将上传至指定的服务器，最后数据由该公司打包出售。

——上海一科技公司员工发现了某游戏网站平台存在漏洞，使用「BT5」程序扫描网站漏洞，再联合一位可登陆该网站篡改权限的人士，利用navicat软件链接该网站数据库等方法，获取了该网站69万多条玩家信息，这些玩家信息包括了用户名、手机号和密码等。数据通过网络进行兜售。

——海南某技术人员自制了短信嗅探设备。通过设备自动获取附近的手机号码，再用号码登录一些网站并拦截网站发给的手机验证码，用撞库技术匹配出手机号码主的更多信息。

——某公司员工通过一家网站获取了大量的自编手机号码，这些自编手机号码只含区域信息。该人员再通过与其他App进行数据碰撞获取手机号码的更多信息。

游戏新知了解到，这些手机号码如果被批量买入，一般成本是0.01元一条，也就是说1000元可以购买10万条带有精准细分人群标签的用户手机号码。

泄露的信息还将被用于何处

除了用手机号码来推广游戏之外，这些泄露的信息还被用在何处？

长沙市某游戏平台在网上购买了20万条用户信息，用发短信的方式向玩家宣传博彩类游戏，并通过控制游戏内输赢的办法骗取玩家钱财；

某游戏交易平台通过熟人购买了55万条一家游戏平台的玩家信息，用于推广自家的工作室买卖游戏币业务；

某网友非法购买了用户信息，打电话给用户谎称是国内一家大型电商平台的客服人员协助用户退款，在沟通的过程中骗取用户信任从而获取用户的账户密码。该网友使用获得的账号购买游戏点券，再通过卡商洗钱转移。

也有盗用用户邮箱信息和密码非法获利的。

2017年，有网友购买了282亿条邮箱账号和密码数据，并用相关的信息注册《剑侠情缘3》游戏来获取游戏金币和道具，再出售变现。

而在这个数据背后的受害者则是玩家、游戏平台和游戏公司。

玩家不断遭受短话或电话的骚扰，并且这些泄露的数据还有可能被用于其他危害用户利益和安全的领域；那些本来以玩家体验为本的游戏平台也受到了颇多玩家的质疑；游戏公司也有可能因他人的泄露行为而导致游戏和公司受到抵制。

在这里游戏新知强调一下，        非法获取和使用公民个人信息是要承担刑事责任的！

来源：游戏新知
地址：https://mp.weixin.qq.com/s/ISF6o1yDUrCo3O41a_gKkw

参与评论