失控的人臉識別
「兄弟萌，救救救。我的信息貌似被盜用，名下突然多出五張電話卡，有沒有人知道咋回事，對我有什麼影響沒？」2020年8月的一天，一位名叫「bit999」的網友在貼吧上發出了這樣一條求助帖。
而最讓他百思不得其解的，是盜用者到底是用何種手段完成了這波看似並不太可能完成的操作，「現在辦卡不得人臉驗證麼？」
這種情況並非個例。早在2019年10月，就有網友發現自己在沒用過某電商平臺的情況下，被另一個手機號佔用了本屬於自己的實名信息，並在該平臺上留有4000多元的逾期借款。2020年8月，又有網友發現自己的身份信息被盜用註冊了滴滴順風車，且帳號被永久封禁。同月，有網友在微博稱，自己的身份信息被人冒用進行網貸，已被連續打了兩天的催款電話。
而中國裁判文書網公布的一則判決書顯示，早自2018年7月開始，就有一犯罪團夥看中支付寶提供的邀請註冊新用戶的紅包獎勵，利用非法獲取的公民個人信息，通過使用軟體將相關公民頭像照片製作成3D頭像，「騙」過支付寶人臉識別認證註冊帳號至少1700個，非法獲利超4萬元。
另一份判決書顯示，男子陳某在2019年下半年，從6名被害人處騙得了相應個人信息及人臉識別，並在被害人不知情的情況下，冒用他們的身份信息進行網絡貸款、購物並佔為己有，累計侵佔財產14.58萬元。
此外，發現自己莫名其妙買了車票、個稅身份被冒用、銀行卡被盜用在美團上借錢、被別人實名註冊了支付寶帳戶、QQ遊戲實名被搶先認證等情況也屢見不鮮。甚至有網友發現，自己不知什麼時候在陌陌上有了一個帳號，不僅照片被盜用，甚至連從事的行業都一模一樣。
當2017年9月1日，杭州萬象城一家主打綠色健康的肯德基Kpro餐廳，將「刷臉支付」這項黑科技在全球範圍內首次商用時，當時有幸體驗到「刷臉吃飯」這一新鮮事物的消費者大概只想感嘆一句「真方便」。
但僅僅三年後，隨著「刷臉」殺入支付、取款、借貸、上下班打卡、課堂聽講、交通違規監控、取件、坐地鐵、進小區、入景區、看房、App註冊等方方面面，人們的感受也起了微妙的變化。「便捷」依舊毋庸置疑，但方便背後，「擔心人臉信息被洩露和濫用」也在與日俱增。
據全國信息安全標準化技術委員會等機構成立的App專項治理工作組10月13日發布的一份《人臉識別應用公眾調研報告（2020）》顯示，有九成以上的受訪者使用過人臉識別，六成認為人臉識別技術有濫用趨勢，還有三成表示已因人臉信息洩露、濫用而遭受隱私或財產損失。
行業人士曹林向AI財經社坦承，人臉識別這兩年確實存在濫用趨勢。
去年，一家給校園做信息化集成方案的公司找到他，要求他幫忙監控那些半夜翻牆出去的學生。「做不了」，曹林很想這樣說，在黑暗環境下做人臉識別，準確度根本達不到可用的程度。但對方問，市面上那麼多公司能做，為什麼你不行？如果說不行，曹林的生意就黃了。
在校園裡，曹林還碰到了更誇張的需求。學校希望他建立一套人臉識別系統，目的是識別學生每天的運動量，包括在哪個場館鍛鍊了多少分鐘，在路上的行進軌跡。「這得是多大的系統工程啊？要布多少個攝像頭？」
曹林感嘆，在客戶眼裡，人臉識別就像魔法一樣，無所不能。用上了人臉識別，就代表學校的信息化水平高，「能把預算花出去」。
學生缺乏話語權，所以項目上馬經常暢通無阻。但一個明顯的變化是，從2019年杭州動物園發生的「人臉識別第一案」到近日引起熱議的「男子戴頭盔看房」事件，部分民眾已經開始對人臉識別技術產生警惕性，並思考自己人臉的權益。
還有使用了人臉支付的消費者對於當下各種商業機構肆意在有感和無感情況下收集人臉數據感到擔憂，人臉又不能換，真是「一次洩漏，終生受苦」。
那麼，圍繞人臉到底發生了什麼？我們該對自己的臉保持警惕性嗎？
隱秘的人臉黑產江湖
帶著上述問題，AI財經社潛入了一個圍繞人臉識別產生的黑產江湖。
據稱，黑產圈存在著一種神奇的「過人臉」技術，只需一張照片，即可通過技術手段製作出會眨眼、點頭等驗證動作的人臉視頻，幫助買家順利通過各大App的人臉識別認證。
不過，或許是媒體此前的曝光讓從業者們感受到了危機，這個本就不能見光的江湖開始變得愈發隱秘。
如今，在轉轉、淘寶、閒魚等曾被報導能搜索到人臉照片、「照片活化」工具等「過人臉」相關「商品」的網絡平臺上，早已無法探尋到這個江湖的蹤影。但若在QQ搜索「人臉」等關鍵詞，依然能見到各種被冠以「人臉識別」、「人臉技術」、「人臉認證」、「刷臉」等字眼的QQ群，其中甚至有個別群為付費群。百度貼吧上則更為隱秘，從業者們潛藏在一個個分散的貼吧群中，低調地發著「代過XXX人臉」、「接XX刷臉」等小廣告，又或是直接在各種「人臉識別」的求助帖下面留言拉客。
11月29日，AI財經社曾嘗試加入其中的十餘個QQ群，但僅有約一半給予放行，另一些群則以「滿了」為由拒絕了入群申請，而後者有些在2000人左右。
在這些通過的群中，大部分是「全員禁言」，只能與管理員私聊相關事宜。而未被禁言的群裡則充斥著「VX解封」、「代過珍愛、伊對、BOSS人臉」、「出高清正反+手持」、「出人臉識別技術」等由各種字母縮寫、縮句以及諧音組成的廣告。
陳遠是其中一個全員禁言群的管理員。11月29日晚八點，在加入這個名叫「人臉識別」的群後不到兩小時，陳遠主動向AI財經社發來好友申請，「要過人臉嗎？」
作為一個入行已經兩年多的「老人」，陳遠在幫人「過人臉」這門生意上已經做得頗為嫻熟。日常養上幾個QQ小號，建上一些人臉識別的群，再去貼吧等平臺上做些推廣，客戶自己就找上門來了，賺錢不是問題。
「說白了，咱們這個行業畢竟是違規操作，你要是一個月1萬塊錢都賺不到，那你還不如不搞了，現在進工廠一個月也能賺個七八千塊錢呢。」陳遠稱。
他介紹說，微信、支付寶、百度、58同城等App的人臉識別認證目前都是其「可以通過的範圍內」。其中，僅微信、支付寶平臺的「過人臉」服務收費標準就在150到200元左右一單，且「一天兩三單是很正常的事情」。
陳遠感嘆，自己2018年下半年剛在朋友的介紹下入行時，「這門生意才剛剛開始好起來」，兩年後這方面的需求量已經比較大，「現在很多遊戲平臺、網銀支付平臺都需要人臉，特別是想用別人的資料信息去操作網貸的人非常多」。
他透露，因為風險偏高，他們對貸款平臺的收費一般會比普通App高一些，「基本上都是200元一單，也有同行出三四百一單的」。但更多提供「過人臉」服務的人則對網貸這一話題諱莫如深，只稱「風險太大，最好別碰」。
在群中，一位試圖通過某貸款平臺人臉認證的買家對AI財經社稱，他曾和一位「過人臉」服務賣家溝通很久，雙方都已經談到了具體價格，但當對方得知他是要做貸款後就直接拒絕了，導致其「不得不自己開始入群嘗試鑽研這門技術」。
相比起風險過高的網貸，微信解封、零錢代取、解除支付限制，以及代過58同城、陌陌、伊對、探探、QQ、微博、地方稅務等各大App的人臉實名認證則是群裡這些人宣稱的更為「常見的服務」。在這裡，有人想要利用App帳戶引流；有人想要獲得支付類App帳戶的高等級，提升額度；也有人想要通過註冊多個帳號薅羊毛；甚至於有人想要擁有他人的人臉認證，只是為了玩個遊戲……
不管目的如何，由代過人臉識別串連起的黑產供需鏈已經「十分繁榮」。除了QQ群，有人還會在QQ空間中頻繁曬出已成交的「訂單」和成功通過各大App人臉認證的視頻。
除了代過人臉業務，「賣教程」也是群裡不少販賣者的一門「副業」。
AI財經社以「求學」為由與一名「過人臉」技術賣家洪峰接觸。他稱，靠提供「過人臉」服務，多數人能實現月賺1萬至2萬元的不錯收入，但因其所在「公司」並不禁止員工向外「教學」，所以他平常也會以600元的售價做賣「過人臉」軟體和教程的「副業」。
他承諾，一旦購買了教程，自己一般會遠程傳授一次，之後則需買家自己看教程自學。但當AI財經社兩天後再向其詢問「教學」事宜時，其卻表示，「要過年了，單多，買了也只能等有時間再遠程教學」。
此後，AI財經社又聯繫到了一些技術販賣者，多數表示僅提供軟體和教程，「有不會的再問」，並發來了演示視頻及相關資源包的截圖，也有賣家稱「教會為止」、「包過」，但價格卻是從400到5000元差距甚大。
據多位賣家介紹，所謂的「過人臉技術」，是由多個軟硬體方案組合而成，通過操作相應的軟硬體完成「照片活化處理」和「虛擬視頻劫持」，即通過技術手段將一張照片進行「活化」，做出可以眨眼、點頭、搖頭、張嘴等的人臉驗證視頻，再通過「劫持」攝像頭，將做好的視頻偽裝成照片中的真人在終端鏡頭實時拍攝下做出活體檢測動作的影像，交由App人臉識別系統，進而達到「騙過」系統的目的。
這些技術方案又可以分為電腦版和手機版，賣家稱，手機版需多配備一臺小米4或者華為6a、vivo X7、OPPO R9s等特定機型手機，外加對應用來「劫持」攝像頭的刷機包。
而想要「過人臉」，除了要學「過人臉」技術外，還得要準備一個靠譜的「料庫」。畢竟，並非隨便一張人臉都能通過App們的人臉識別關卡。
真正「有用」的人臉，必須要能與姓名、身份證號或者手機號、銀行卡號等關聯起來。其中，又以沒有重複使用過的「高清正面大頭照+手持身份證半身照+身份證正反照+銀行卡號/手機號」等組合為最好。因為被反覆使用過的人臉，在識別時會被人臉認證系統攔截，通過動態人臉識別的成功機率極低，高清一手大頭的成功率則較高。
也因此，除去「過人臉」服務的供需雙方，手持大量一手人臉信息的「料商」同樣是各個人臉識別群的必要組成部分，他們多以「料子」、「sfz（身份證）」等隱晦叫法叫賣著手中的人臉信息，單價多在1-3元一個，非一手的料子價格則更低，常常可以低至幾毛一個。甚至於如果實在沒有可用的「料子」，還可以找專門的人去「查大頭」，即通過姓名、身份證號、手機號等查到對應的人臉頭像，但價格也更貴，有的為800元一張。
悄無聲息中，希望拿他人信息通過「過人臉」實名認證的需求方、專門以販賣「過人臉」服務和技術的供應方，以及出售帶有身份信息的人臉料商，已經形成了一條完整的黑產鏈條。
我的臉是怎麼丟失的？
深耕社區場景的唐軍，感受到了網際網路大公司對數據的渴求。某網際網路巨頭曾找到他，希望收集社區住戶數據，人臉識別只是其中一小部分。有了這些數據，再結合這些住戶的日常消費活動，網際網路公司就知道有多少住戶喜歡健身，多少住戶可能嘗試生鮮電商，然後發展社區商業生態。
最初，網際網路公司打算繞過物業去做，但物業很反感，覺得沒帶來實際利益，反而要遭受業主抗議的風險，因此用安全名義將網際網路公司擋在門外。「但軟磨硬泡之後，網際網路公司學乖了，先提供車輛識別這種物業需要的業務，把場景打下來，再慢慢補充人臉識別模塊。」
唐軍發現，最初確實有業主擔心自己人臉洩露，但經過幾次沒帶門禁卡的經歷之後，也感受到人臉識別的好處，就不再抗議了。
比起唐軍這種要布攝像頭和軟體平臺、逐個社區攻城略地的「苦生意」，網際網路App的線上人臉收集方式簡直「手到擒來」，讓用戶自己勾選「已閱讀並同意用戶協議」，主動奉上自己的數據。
2019年8月30日，陌陌旗下的一款換臉應用「ZAO-逢臉造戲」刷爆朋友圈，一夜之間登上蘋果應用商店免費娛樂榜第2名。用戶上傳自拍或本地圖片後，便能體驗一把在電視劇中當主角的癮，在這裡，你可以是周潤發、陳冠希，也可以是小燕子趙薇或野蠻女友全智賢。
但很快有用戶發現，默認勾選的《用戶協議》暗藏玄機：用戶授予ZAO及其關聯公司在全球範圍內，對包括但不限於人臉照片、視頻資料等肖像資料中的肖像權，以及利用技術對肖像權利人的肖像進行的改動，「完全免費、不可撤銷、永久、可轉授權和可再許可的權利」，甚至權利還能轉移給任何第三方公司。群情激憤下，ZAO很快認慫，修改了用戶協議。
對於ZAO的問題，網絡安全專家譚曉生對AI財經社分析：ZAO沒有明確說明採集的人臉信息會用於何種用途，存儲於何地，存儲多久，以及轉移給的第三方是誰，因何要轉移給第三方。這些深究下來是有問題的。
AI財經社查證，推薦性國家標準GB/T 37036.3-2019《信息技術行動裝置生物特徵識別第3部分：人臉》指出：無論本地識別還是遠程識別人臉樣本，「應向用戶明確告知所提供的產品或服務收集、使用用戶人臉數據的規則，並獲得用戶的授權同意」。
但ZAO事件還揭示了一個通常的現象，App對數據的收集通曉人性，處於一個相對灰色的地帶。「(App)可能出一個好幾十頁的用戶條款，用戶不會仔細去看。它利用的就是消費者的衝動，在遊戲時想要儘快開始，把這些全部跳過去。」譚曉生說，而經過用戶同意，App也確實獲得了許可。
但相比線下刷臉和網際網路應用這些能被消費者感知到的「刷臉」，大數據行業從業者吳偉表示，黑客攻擊和內鬼作案，是黑產獲得人臉識別數據的最普遍的方式。一旦發生，少則數百萬，動輒數億的個人信息將流入非法者手中。
2019年2月，視頻監控公司深網視界洩露了超過250萬條個人信息，包括人臉識別圖像，採集地點，以及對應的姓名、身份證號碼地址和生日。更早的2018年7月，上市公司數據堂多名高管被抓獲，涉嫌販賣涉及1.3億人、容量4000GB的數據給境外企業。
在堵住黑產濫採數據的漏洞上，中國還有很長的路要走。吳偉告訴AI財經社：「其實相關部門機構內鬼是最猖獗的，有的省自建人臉識別圖庫時，信息出現洩露。」他透露，很多在黑產鏈條上流通的40K大小的人臉圖片，就來自這種渠道。即使機構內部嚴查，合作的第三方企業也沒有很高的安全意識，以致類似案件屢禁不止。
「光拿到你的人臉圖像沒有太大價值，值錢的是匹配的身份信息，甚至還有銀行卡號等。」吳偉進一步說明。按照安全規範，企業存儲人臉信息應當脫敏，將圖像與身份信息分開存放。但實際上目前法律上還沒有這方面的硬性規定，業務部門為了提升效率，有些會無視脫敏要求。因此一旦資料庫被攻破，或者內鬼拿著U盤將信息拷走販賣，造成的影響都非常惡劣。
不同於黑客攻擊和內鬼作案是人臉所有者「被迫」交出人臉，也不乏有「自願」獻出人臉信息的情況。
已經轉行成為給「過人臉」服務商們提供身份信息的「料商」孟強對這一點深有體會，甚至可以說是真真切切從中獲得了利益的人。據他介紹，他曾做過一段時間的平臺引流，專門負責幫人收一些微信號。
在這個過程中，他會通過給予報酬的方式吸引一批人前來，利用他們的身份信息及自己提前準備的一批手機號實名註冊微信號。而為了避免出現問題，前來「賣號」的人必須首先把身份證號碼、銀行卡號、身份證正反面以及自己手持身份證的照片發給孟強。
正是靠著這種「自願」方式，孟強攢下了一大批身份信息，並在目前轉行做起為「過人臉」服務商提供人臉「料子」的料商。
據他介紹，自己手中目前總共有5000多套「高質量料子」，買斷（其不再轉賣他人）2元一套可驗貨，不買斷5000套則只需200塊，還可外送13萬個「姓名+身份證號」信息，且除微信實名不能再用，其他App的通過率可以達到95%。
就是通過這種小恩小惠，很多人把自己的信息資源外洩。「如果有需要，我還可以有新的方式隨時收。」孟強補充說。
至於風險，孟強他們並不以為然。
「當你玩一個軟體，實名時發現（身份信息）已經被別人綁定了，你會怎麼辦？最多問問客服，然後解綁換綁，你也不會在意，誰會因為一個App註冊不上報警呀！」「同行很多，沒有任何一個出現問題，只要不弄貸款就沒有任何問題。」
而據北京市致知律師事務所律師張偉介紹，一般情況下，如果未達到法律規定的犯罪金額或侵害個人信息的數量，也沒有給受害人造成較大經濟損失或是影響社會安定，應該不涉及刑事問題，而是民事侵權。但民事問題屬於私權領域，需要受害人提出請求才能引起司法救濟程序。而受害人要想提請司法保護，首先需要找到侵權人，有一個明確的被告。
「侵權人顯然不是App服務商。」張偉分析稱，「因為服務商可以說以自己現有的技術手段，已經盡到了驗證你身份信息的責任，只是因為侵權人故意提供了一些虛假信息使其無法分辨出是不是你本人。在這種情況下，受害人很難向服務商主張侵權責任，頂多要求服務商停止侵權人的使用，歸還自己的身份信息。」
而真正的侵權人，很可能因為網絡的隱匿性，根本無法尋其蹤影。「受害人找不到侵權人，該怎麼辦？說實話，法律上也沒有有效的辦法。你現在都不知道被告是誰，而法律規定民事起訴應該具有明確的被告，你怎麼上法院起訴？法院不會給你立案。」
風險成本低、所獲收益高，再加上使用人臉識別的App越來越多，「過人臉」的需求自然豐富了起來，相關的黑產業鏈也愈發繁榮。
以其中一個名叫「三色人臉識別技術交流」的QQ群為例，11月11日建群，到12月1日，群人數增加到了119人，12月6日再度翻倍，增長到了215人。
捍衛人臉的戰爭
像房地產商這種偷偷識別人臉的情況，過去兩三年，TalkingData數據合規官葛夢瑩在銀行、4S店、快消品店等見過很多例子。
很多人不知道的是，一些銀行也通過攝像頭來進行人臉識別，不用調取資料庫裡的信息，僅憑一張臉就能測算出客戶的一些基本情況，類似風控打分。如果是VIP客戶進門，銀行能及時為他提供相應服務。
由於TalkingData在業內參與了一些法規的起草和試點，很多銀行在使用人臉識別技術的時候也很擔心合規問題，都來跟葛夢瑩他們請教。葛夢瑩給出的意見是，因為這屬於無感拍攝，在視頻採集區一定要立一塊牌子，明確告知客戶這裡有攝像頭，「履行告知的義務是數據收集的一個合法依據」。
過去，我國個人信息保護一直是以「知情-同意」作為收集和使用的基本條件，但這一條款比較寬泛，今年10月推出的《個人信息保護法（草案）》，將收集和使用的合法性更細化。比如，在公共場所安裝圖像採集、個人身份識別設備，應當出自維護公共安全目的，並設置顯著的提示標識等。
「如果房產中介安裝人臉識別系統是用來區別客戶來源，並不是出於公共安全防控，這肯定是違規使用的。」葛夢瑩說。
據報導，在南京市住房保障和房產局要求下，南京多家售樓處都拆除了人臉識別系統。
除了售樓處事件，其實，最近幾年，居民被要求刷臉進小區、企業員工刷臉打卡越來越多。而這些人臉數據流向何方，也引發擔憂。相關人士對AI財經社介紹，地產商一般很謹慎，人臉數據基本存儲在本地伺服器，不上雲，但存儲方案一般由人臉識別廠商配套提供，每家企業的安全能力參差不齊。
在企業，考勤使用的人臉數據通常有三種存儲方案：企業自己的伺服器、考勤機或雲端，後者涉及釘釘等第三方考勤公司。「如果監管趨嚴，第三方的方案可能受到更多規範。」
當然在這些場景下，在法律法規越來越完備的情況下，個人需要有知情權和選擇權。
針對人臉數據有可能被濫用的趨勢，多地政府已開始採取行動。12月1日《天津市社會信用條例》表決通過，其中第16條規定，市場信用信息提供單位採集自然人信息的，應當經本人同意並約定用途，法律、行政法規另有規定的除外。杭州也擬立法，不得強制業主「刷臉」。
近年來，在相關法律法規中，廣泛引起行業人士關注的，是《個人信息保護法》草案大大提高了對違規企業的罰款力度。情節嚴重的，相關部門將沒收違法所得，並處以5000萬元以下或上一年度營業額5%以下罰款。這一力度堪比史上最嚴數據保護條例、歐洲於2019年實施的GDPR（通用數據保護條例），當時GDPR的最高罰款額度是企業全球4%營業額或者是2000萬歐元，這震驚了業界。
目前，業內人士還在等待《個人信息保護法》的具體實施細則。葛夢瑩了解到，由於《個人信息保護法》草案還在徵求意見階段，企業多半還沒有採取具體應對措施。
實際上，早在2016年出臺的《網絡安全法》已經明確將包括人臉在內的個人生物識別信息納入「個人信息」範圍。當時，很多企業也按照要求做了一定工作，包括研發加密，匿名化處理、數據分級分類存儲、設置企業內部管理制度、制定個人信息安全預案等。比如螞蟻金服等有涉及人臉識別的企業，設立了隱私保護辦公室。
但是《網安法》的最高罰款金額只在100萬元。「相比起來，《個保法》對企業會有更強的威懾力。」一位法律人士說。
除了《網絡安全法》，2017年正式頒布的《信息安全技術個人信息安全規範》是目前網信辦或工信部披露違規App服務所依據的法律法規。但從近些年層出不窮的App違規通報來看，這份規範並沒有足夠的約束力。
在葛夢瑩看來，由於缺乏統一的法律標準，通報的監管部門不統一，測評機構和標準也參差不齊，甚至也對一些企業造成誤傷。隨著《個人信息保護法》立法腳步的加快，不少企業越來越有數據保護意識。
一位網絡安全人士對AI財經社說，他曾和一家即將上市的醫療大數據公司創始人有過交流，這家公司內部已有一個10人的安全團隊，但對方非常擔心如果用戶信息被竊取將產生巨大影響，正在考慮擴大安全團隊的規模。
葛夢瑩也了解到，今年以來，一些金融、醫療企業都在內部做數據分級，像個人信息、病例情況等敏感數據分開儲存，只有少數人可以接觸到，權限設置和審批流程會更複雜。
同時，譚曉生觀察到，把數據留在企業內部已經成為行業原則。以往一些金融公司會把數據交給第三方來計算用戶的信用值，減少惡意貸款的風險，但現在企業都會非常顧慮，比如騰訊，寧可考慮用聯邦學習等更複雜的計算方法，在數據不出企業的情況下獲得相關結果。
但人臉數據的濫用和保護將是一場長久的博弈。「在目前的商業環境下，個人要保護自己的隱私還是比較有挑戰的。平臺處於相對強勢的位置，尤其是此前大平臺形成壟斷之後，使用條款裡面就會約定採集你的什麼信息。而你以一己之力去博弈整個平臺，還是比較困難。」
但《個人信息保護法》出臺之後，會有一些更頂層的約定，對個人是一個保護。最近，張明發現，自己所在的小區取消了人臉識別門禁系統，這讓他鬆了一口氣。當越來越完善的法律落地應用，人們將有更強的自我保護意識、更多知情權和選擇權，也會更加心安。