卖用户位置，FCC罚两亿：美国运营商定位黑产链复盘

概述

2018年，美国一名赏金猎人花300美元就定位到了任意手机；2024年1月，拉斯维加斯一位知名刑辩律师发现，自己办公室成员的手机位置，正被人通过AT&T的E911应急定位门户实时调取。2024年4月29日，美国联邦通信委员会（FCC）对AT&T、Verizon、T-Mobile、Sprint四家运营商开出总计约1.967亿美元的罚单，罪名是把用户实时位置当商品卖给了中间商。本文从一名核心网工程师的视角，拆解运营商“定位管道”的技术底座、四层倒卖链条的形成过程、监管六年的围剿时间线，以及在Open Gateway时代，定位API重新商用后我们必须补上的治理课。

目录

• 一、两篇报道，捅开一个灰色产业
• 二、技术解剖：运营商的“定位管道”长什么样
• 三、四层中间商：定位能力如何变成街边商品
• 四、拉斯维加斯：E911门户被夺走的那一夜
• 五、FCC的围剿：一份写了六年的案卷
• 六、新考题：定位API在Open Gateway时代卷土重来
• 七、结论

一、两篇报道，捅开一个灰色产业

事情不是监管机构先发现的，是记者。

2018年5月，Vice旗下Motherboard的记者做了一个实验：花钱委托一名赏金猎人，仅凭一个电话号码，几分钟内拿到了目标手机的大致位置。价格不贵——约300美元一次。赏金猎人不认识运营商的任何技术员工，他用的入口是一家“数据经纪商”的门，而这扇门后面，接着的是美国主流运营商的实时定位能力。

同一时间，另一条线也在发酵。TechCrunch拿到一批Securus公司的客户记录——Securus是给惩教机构提供通话服务的厂商，同时向执法机构出售“按号码查位置”的服务。记录显示，有密苏里州前警长把账号转手倒卖，一些使用这条链路的人连基本的法律训练都没有。这批位置查询的底层供货方，正是后来被查实的定位聚合商LocationSmart。

压垮骆驼的最后一根稻草来得更快。卡内基梅隆大学研究员Robert Xiao在检查LocationSmart的公开演示页面时发现了一个低级漏洞：稍微改写一下请求参数，绕过“我已获得机主同意”的勾选校验，就能直接查询AT&T、Verizon、T-Mobile、Sprint四大运营商旗下几乎任意手机的位置。换句话说，聚合商拿着运营商批发来的定位能力，连自己的门都没锁好。

这三件事叠在一起，性质就变了：这不是个别员工违规，而是一条从运营商BSS出口一直延伸到街头赏金猎人的、按次计费的成熟产业链。参议员Ron Wyden随即致信运营商追责，FCC的执法案卷从这一刻开始立项——这一写，就是六年。

二、技术解剖：运营商的“定位管道”长什么样

要理解黑产为什么能长出来，得先看运营商自己手里这套定位系统有多强。按3GPP规范（TS 23.271定义的LCS架构，5G时代演进为TS 23.273），移动网络的定位能力从来不是“查个基站号”这么简单，它是一套带网关、带平台、带API的正式业务能力。

控制面定位的典型链路是这样的：核心网的GMLC（网关移动位置中心）收到定位请求后，通过MME/AMF触发对目标手机的寻呼和测量；无线侧的E-SMLC（LTE）或LMF（5G，定位管理功能）指挥基站和终端做信号测量，算出坐标再原路返回。用户面则走SUPL协议，由运营商的SLP平台与手机上的SUPL代理直接交互。E911应急定位用的正是这条管道——FCC对应急定位的精度要求逐年收紧，市区场景普遍要求把误差压到50米以内，这是硬指标。

flowchart TD
    UE["用户手机"] --> RAN["基站触发测量"]
    RAN --> ESM["定位平台计算坐标"]
    ESM --> GMLC["GMLC位置网关"]
    GMLC --> P1["E911应急定位门户"]
    GMLC --> P2["商业定位API出口"]
    P2 --> AGG["一级定位聚合商"]
    AGG --> RES["二级转售经纪商"]
    RES --> C1["赏金猎人"]
    RES --> C2["车行与房东"]
    RES --> C3["私家侦探"]
    C3 -->|盗用账号下单| P1
    P1 -.->|返回实时坐标| C3

不同定位技术的精度量级差别很大，这也是黑产不同价位商品的技术来源：

关键点在于：这套能力从设计之初就是“网络侧发起”的——也就是说，只要有一个合法的API账号，不需要手机装任何APP、用户毫无感知，就能实时拉到坐标。当年卖给聚合商的，正是这种无感知的实时定位。这为后面的一切埋下了伏笔。

三、四层中间商：定位能力如何变成街边商品

FCC在处罚令中认定的核心违规，是运营商违反《通信法》第222条对用户专有网络信息（CPNI）的保护义务，在明知下游可能被滥用的情况下，仍向聚合商开放实时定位访问，且未取得用户的有效同意。整条链路可以拆成四层：

（表中价格为Motherboard实验性报道披露的行情，链路分层依据FCC处罚令与媒体调查报道；具体某一家聚合商与某一家运营商的合同细节未经官方逐一证实，此处只呈现已被两家以上来源交叉验证的部分。）

这条链最可怕的地方，不是某个坏人，而是每一层都有“我只是技术服务商”的说辞：运营商说合同里写了下游要取得用户同意；聚合商说我们只是转发请求；经纪商说我们面向“有合法用途的客户”。四层说辞叠起来，责任就蒸发了。2018年6月起，Verizon和AT&T在舆论压力下先后承诺切断聚合商接入，2019年T-Mobile和Sprint跟进，到2020年前后四大运营商才基本完成切断。而FCC后来的调查认定，T-Mobile在对外说明切断进度时存在不实陈述，这也是它罚得最重的原因之一。

从工程角度看，第一层的问题尤其值得同行记取：定位出口是按E911应急配套的规格去开的，但权限模型、频控、审计、下游合规核查，全是商用批发逻辑。应急级能力+批发级风控，这个错配就是整场灾难的技术根源。

四、拉斯维加斯：E911门户被夺走的那一夜

时间快进到2024年1月。404 Media（记者Joseph Cox）根据内华达州法院文件披露了一起案件：拉斯维加斯知名刑辩律师事务所（报告指认为David Chesnoff律所）发现，所内成员的手机位置正被一名私家侦探反复调取。调取的路径耐人寻味——不是通过早已关闭的聚合商接口，而是盯上了AT&T内部面向应急服务伙伴的E911定位门户。

手法并不高深：据404 Media报道，涉案私家侦探涉嫌攻入了律所办公室经理的电子邮箱，用这个邮箱里躺着的账号凭据，直接在E911门户上提交了对律所人员手机的实时定位请求。应急门户的定位精度和响应速度都是最高档的，被用来追踪的却是一群刑辩律师。事后AT&T在获知情况后终止了相关门户访问，各方对事实存在争议，案件仍在司法程序中（以下为404 Media单一来源报道部分，暂无官方完整定性）。

这个案子给了全行业两个残酷的提醒：

1. 切断聚合商不等于切断风险。 运营商内部仍然保留着合法的、高权限的定位出口（E911、反诈、漫游结算都会用到），这些出口的账号治理一旦失守，攻击者可以直接继承“应急级”的定位权限。
2. 最短的攻击路径是邮箱，不是信令。 这起案件里没有任何空口攻击、没有SS7漏洞，攻击者拿下的只是一个疏于防护的办公邮箱。安全建设花在核心网上的力气再多，也防不住一条弱口令邮箱链路。

五、FCC的围剿：一份写了六年的案卷

从2018年案发到2024年落槌，FCC的处理走了整整六年：

timeline
    title 六年围剿：从曝光到罚单
    2018年5月 : 赏金猎人300美元定位实验曝光
    2018年5月 : LocationSmart演示门户漏洞被公开
    2018年6月 : Verizon与AT&T承诺切断聚合商
    2019年3月 : T-Mobile与Sprint跟进承诺
    2020年3月 : FCC对四运营商提出超两亿美元罚款动议
    2024年1月 : 404 Media曝光E911门户被夺用
    2024年4月 : FCC下达最终处罚约1.967亿美元

2024年4月29日，FCC下达最终处罚决定，四家的账单如下（金额按FCC裁决披露口径，媒体普遍以“近两亿美元”表述）：

时任FCC主席Rosenworcel在声明中的大意是：位置数据属于最敏感的个人信息之列，保护它，安全责任必须落在收集它的运营商头上。值得注意的是罚单之外的动作——FCC同期还升级了电信业数据泄露上报规则，把SIM卡劫持、号码盗用等场景一并纳入“尽快上报”的强制范围，等于把位置与号码资产的安全治理从“商业道德”升格成了“合规底线”。

对一线工程师，这份案卷最有价值的信息是FCC认定的“不合理防护”清单：出口权限过宽、缺少用户级授权校验、没有对下游查询行为做异常监测、合同合规条款形同虚设。这四条，条条都对应着可以落地的技术改造。

六、新考题：定位API在Open Gateway时代卷土重来

讽刺的是，被罚款切断的定位能力，如今正以更正式的姿态回归。GSMA力推的Open Gateway计划、CAMARA开源项目，把“位置查询（Location Retrieval）”列为网络API的标准商品——运营商通过NEF把定位、QoS、号码风险等能力标准化开放给企业开发者。原理上，这和2018年卖给聚合商的东西是同一个能力，只是接口更规范、渠道更体面。

历史不会简单重复，但账单会。结合FCC案卷的教训，我把定位类API的治理底线整理成一张清单（这一节是笔者基于公开案情的工程观点，供同行参考）：

• 授权留痕：每次定位请求必须绑定可追溯的用户同意凭据，无凭据请求直接拒绝并告警；
• 目的绑定：API合同写明用途与场景，查询频次、时段、目标号码规模设置硬阈值；
• 分级出口：应急定位与商业定位物理隔离，应急出口账号启用硬件令牌与双人复核；
• 异常反查：对“同账号高频查询非关联号码”这类模式建立实时检测——2018年赏金猎人的行为模式，在今天完全可以用告警规则固化下来；
• 出口审计：所有定位出口保留完整查询日志，定期由独立合规团队回溯审计。

国内同行可以对照的监管语境是：位置信息在我国《个人信息保护法》框架下属于敏感个人信息，工信部对号码数据的属地化与授权要求也在持续收紧，本文的美国案例可以作为合规建设的前车之鉴，具体规则差异此处不展开。

七、结论

回看这六年，有三点值得刻进运维与安全的日常：

第一，能力开放的那一刻，风险就已经开门。运营商最值钱的资产从来不是管道，而是“无感知、实时、精准”的网络原生能力——定位、信令、身份数据莫不如此。开放不是问题，不带风控的开放才是。

第二，大案往往死于最短的链路。拉斯维加斯案里没有高级可持续威胁，只有一个被攻破的办公邮箱和一套没做双人复核的应急门户。安全投入要按攻击路径分配，而不是按系统造价分配。

第三，罚单迟到，但从不缺席。从2018年曝光到2024年落槌，六年时间四家运营商付出了近两亿美元的代价，外加难以估量的声誉成本。在Open Gateway把更多网络能力变成商品的今天，每一份对外API合同，都是在为六年后的自己签字。

参考来源

1. FCC官方公告（2024年4月29日） — FCC对AT&T、Verizon、T-Mobile、Sprint出售位置数据的最终处罚决定，标题为"FCC Fines AT&T, Verizon, T-Mobile and Sprint Approximately $200 Million"，可在fcc.gov站内检索原文
2. 404 Media — 2024年1月Joseph Cox关于拉斯维加斯律所被通过AT&T E911门户追踪的调查报道
3. Krebs on Security — 2018年5月对LocationSmart演示门户漏洞（研究员Robert Xiao发现）的技术分析
4. Reuters路透社 — 2024年4月29日对FCC罚款决定的报道，含各家具体金额
5. 3GPP TS 23.271 / TS 23.273 / TS 38.305 — LCS定位架构与5G NR定位规范（3gpp.org），本文技术架构部分的标准依据

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。