# 卖用户位置，FCC罚两亿：美国运营商定位黑产链复盘 ## 概述 2018年，美国一名赏金猎人花300美元就定位到了任意手机；2024年1月，拉斯维加斯一位知名刑辩律师发现，自己办公室成员的手机位置，正被人通过AT&T的E911应急定位门户实时调取。2024年4月29日，美国联邦通信委员会（FCC）对AT&T、Verizon、T-Mobile、Sprint四家运营商开出总计约1.967亿美元的罚单，罪名是把用户实时位置当商品卖给了中间商。本文从一名核心网工程师的视角，拆解运营商“定位管道”的技术底座、四层倒卖链条的形成过程、监管六年的围剿时间线，以及在Open Gateway时代，定位API重新商用后我们必须补上的治理课。 ## 目录 - 一、两篇报道，捅开一个灰色产业 - 二、技术解剖：运营商的“定位管道”长什么样 - 三、四层中间商：定位能力如何变成街边商品 - 四、拉斯维加斯：E911门户被夺走的那一夜 - 五、FCC的围剿：一份写了六年的案卷 - 六、新考题：定位API在Open Gateway时代卷土重来 - 七、结论 ## 一、两篇报道，捅开一个灰色产业 事情不是监管机构先发现的，是记者。 2018年5月，Vice旗下Motherboard的记者做了一个实验：花钱委托一名赏金猎人，仅凭一个电话号码，几分钟内拿到了目标手机的大致位置。价格不贵——约300美元一次。赏金猎人不认识运营商的任何技术员工，他用的入口是一家“数据经纪商”的门，而这扇门后面，接着的是美国主流运营商的实时定位能力。 同一时间，另一条线也在发酵。TechCrunch拿到一批Securus公司的客户记录——Securus是给惩教机构提供通话服务的厂商，同时向执法机构出售“按号码查位置”的服务。记录显示，有密苏里州前警长把账号转手倒卖，一些使用这条链路的人连基本的法律训练都没有。这批位置查询的底层供货方，正是后来被查实的定位聚合商LocationSmart。 压垮骆驼的最后一根稻草来得更快。卡内基梅隆大学研究员Robert Xiao在检查LocationSmart的公开演示页面时发现了一个低级漏洞：稍微改写一下请求参数，绕过“我已获得机主同意”的勾选校验，就能直接查询AT&T、Verizon、T-Mobile、Sprint四大运营商旗下几乎任意手机的位置。换句话说，聚合商拿着运营商批发来的定位能力，连自己的门都没锁好。 这三件事叠在一起，性质就变了：这不是个别员工违规，而是一条从运营商BSS出口一直延伸到街头赏金猎人的、按次计费的成熟产业链。参议员Ron Wyden随即致信运营商追责，FCC的执法案卷从这一刻开始立项——这一写，就是六年。 ## 二、技术解剖：运营商的“定位管道”长什么样 要理解黑产为什么能长出来，得先看运营商自己手里这套定位系统有多强。按3GPP规范（TS 23.271定义的LCS架构，5G时代演进为TS 23.273），移动网络的定位能力从来不是“查个基站号”这么简单，它是一套带网关、带平台、带API的正式业务能力。 控制面定位的典型链路是这样的：核心网的GMLC（网关移动位置中心）收到定位请求后，通过MME/AMF触发对目标手机的寻呼和测量；无线侧的E-SMLC（LTE）或LMF（5G，定位管理功能）指挥基站和终端做信号测量，算出坐标再原路返回。用户面则走SUPL协议，由运营商的SLP平台与手机上的SUPL代理直接交互。E911应急定位用的正是这条管道——FCC对应急定位的精度要求逐年收紧，市区场景普遍要求把误差压到50米以内，这是硬指标。 ```mermaid flowchart TD UE["用户手机"] --> RAN["基站触发测量"] RAN --> ESM["定位平台计算坐标"] ESM --> GMLC["GMLC位置网关"] GMLC --> P1["E911应急定位门户"] GMLC --> P2["商业定位API出口"] P2 --> AGG["一级定位聚合商"] AGG --> RES["二级转售经纪商"] RES --> C1["赏金猎人"] RES --> C2["车行与房东"] RES --> C3["私家侦探"] C3 -->|盗用账号下单| P1 P1 -.->|返回实时坐标| C3 ``` 不同定位技术的精度量级差别很大，这也是黑产不同价位商品的技术来源： | 定位技术 | 原理简述 | 典型精度 | 主要用途 | | --- | --- | --- | --- | | Cell-ID | 查手机驻留的小区 | 数百米至数公里 | 粗定位、兜底 | | E-CID/TA | 定时提前量+小区修正 | 约50–200米 | 早期商用定位 | | A-GNSS | 网络下发星历辅助卫星定位 | 约5–30米 | E911主力、导航 | | OTDOA/UTDOA | 基站间信号到达时间差三角定位 | 约20–100米 | 无GNSS场景 | | NR定位（5G） | 多站RTT/TDOA/AoA联合解算 | 可达米级 | Rel-17起商用 | | Wi-Fi指纹 | 匹配接入点位置数据库 | 约10–50米（室内） | 商场、室内场景 | 关键点在于：**这套能力从设计之初就是“网络侧发起”的**——也就是说，只要有一个合法的API账号，不需要手机装任何APP、用户毫无感知，就能实时拉到坐标。当年卖给聚合商的，正是这种无感知的实时定位。这为后面的一切埋下了伏笔。 ## 三、四层中间商：定位能力如何变成街边商品 FCC在处罚令中认定的核心违规，是运营商违反《通信法》第222条对用户专有网络信息（CPNI）的保护义务，在明知下游可能被滥用的情况下，仍向聚合商开放实时定位访问，且未取得用户的有效同意。整条链路可以拆成四层： | 层级 | 角色 | 典型代表 | 干了什么 | | --- | --- | --- | --- | | 第一层 | 运营商 | AT&T、Verizon、T-Mobile、Sprint | 以E911配套和商业合作为名开放定位出口 | | 第二层 | 一级聚合商 | LocationSmart、3Cinteractive等 | 批发打包四家能力，二次封装成API | | 第三层 | 转售经纪商 | 各类数据中介 | 面向任何人按次卖查询，约300美元一次 | | 第四层 | 终端客户 | 资产追回、车行、房东、私家侦探 | 无感追踪车辆、客户、租客、当事人 | （表中价格为Motherboard实验性报道披露的行情，链路分层依据FCC处罚令与媒体调查报道；具体某一家聚合商与某一家运营商的合同细节未经官方逐一证实，此处只呈现已被两家以上来源交叉验证的部分。） 这条链最可怕的地方，不是某个坏人，而是**每一层都有“我只是技术服务商”的说辞**：运营商说合同里写了下游要取得用户同意；聚合商说我们只是转发请求；经纪商说我们面向“有合法用途的客户”。四层说辞叠起来，责任就蒸发了。2018年6月起，Verizon和AT&T在舆论压力下先后承诺切断聚合商接入，2019年T-Mobile和Sprint跟进，到2020年前后四大运营商才基本完成切断。而FCC后来的调查认定，T-Mobile在对外说明切断进度时存在不实陈述，这也是它罚得最重的原因之一。 从工程角度看，第一层的问题尤其值得同行记取：定位出口是按E911应急配套的规格去开的，但权限模型、频控、审计、下游合规核查，全是商用批发逻辑。**应急级能力+批发级风控**，这个错配就是整场灾难的技术根源。 ## 四、拉斯维加斯：E911门户被夺走的那一夜 时间快进到2024年1月。404 Media（记者Joseph Cox）根据内华达州法院文件披露了一起案件：拉斯维加斯知名刑辩律师事务所（报告指认为David Chesnoff律所）发现，所内成员的手机位置正被一名私家侦探反复调取。调取的路径耐人寻味——不是通过早已关闭的聚合商接口，而是盯上了AT&T内部**面向应急服务伙伴的E911定位门户**。 手法并不高深：据404 Media报道，涉案私家侦探涉嫌攻入了律所办公室经理的电子邮箱，用这个邮箱里躺着的账号凭据，直接在E911门户上提交了对律所人员手机的实时定位请求。应急门户的定位精度和响应速度都是最高档的，被用来追踪的却是一群刑辩律师。事后AT&T在获知情况后终止了相关门户访问，各方对事实存在争议，案件仍在司法程序中（以下为404 Media单一来源报道部分，暂无官方完整定性）。 这个案子给了全行业两个残酷的提醒： 1. **切断聚合商不等于切断风险。** 运营商内部仍然保留着合法的、高权限的定位出口（E911、反诈、漫游结算都会用到），这些出口的账号治理一旦失守，攻击者可以直接继承“应急级”的定位权限。 2. **最短的攻击路径是邮箱，不是信令。** 这起案件里没有任何空口攻击、没有SS7漏洞，攻击者拿下的只是一个疏于防护的办公邮箱。安全建设花在核心网上的力气再多，也防不住一条弱口令邮箱链路。 ## 五、FCC的围剿：一份写了六年的案卷 从2018年案发到2024年落槌，FCC的处理走了整整六年： ```mermaid timeline title 六年围剿：从曝光到罚单 2018年5月 : 赏金猎人300美元定位实验曝光 2018年5月 : LocationSmart演示门户漏洞被公开 2018年6月 : Verizon与AT&T承诺切断聚合商 2019年3月 : T-Mobile与Sprint跟进承诺 2020年3月 : FCC对四运营商提出超两亿美元罚款动议 2024年1月 : 404 Media曝光E911门户被夺用 2024年4月 : FCC下达最终处罚约1.967亿美元 ``` 2024年4月29日，FCC下达最终处罚决定，四家的账单如下（金额按FCC裁决披露口径，媒体普遍以“近两亿美元”表述）： | 运营商 | 处罚金额 | 主要认定情节 | | --- | --- | --- | | T-Mobile | 约8037.5万美元 | 违规出售定位+对外陈述切断进度不实 | | AT&T | 约5744.5万美元 | 违规开放实时定位给聚合商 | | Verizon | 约4685.5万美元 | 违规开放实时定位给聚合商 | | Sprint | 约1200万美元 | 违规开放实时定位给聚合商 | | 合计 | 约1.967亿美元 | —— | 时任FCC主席Rosenworcel在声明中的大意是：位置数据属于最敏感的个人信息之列，保护它，安全责任必须落在收集它的运营商头上。值得注意的是罚单之外的动作——FCC同期还升级了电信业数据泄露上报规则，把SIM卡劫持、号码盗用等场景一并纳入“尽快上报”的强制范围，等于把位置与号码资产的安全治理从“商业道德”升格成了“合规底线”。 对一线工程师，这份案卷最有价值的信息是FCC认定的“不合理防护”清单：出口权限过宽、缺少用户级授权校验、没有对下游查询行为做异常监测、合同合规条款形同虚设。这四条，条条都对应着可以落地的技术改造。 ## 六、新考题：定位API在Open Gateway时代卷土重来 讽刺的是，被罚款切断的定位能力，如今正以更正式的姿态回归。GSMA力推的Open Gateway计划、CAMARA开源项目，把“位置查询（Location Retrieval）”列为网络API的标准商品——运营商通过NEF把定位、QoS、号码风险等能力标准化开放给企业开发者。原理上，这和2018年卖给聚合商的东西是同一个能力，只是接口更规范、渠道更体面。 历史不会简单重复，但账单会。结合FCC案卷的教训，我把定位类API的治理底线整理成一张清单（这一节是笔者基于公开案情的工程观点，供同行参考）： - **授权留痕**：每次定位请求必须绑定可追溯的用户同意凭据，无凭据请求直接拒绝并告警； - **目的绑定**：API合同写明用途与场景，查询频次、时段、目标号码规模设置硬阈值； - **分级出口**：应急定位与商业定位物理隔离，应急出口账号启用硬件令牌与双人复核； - **异常反查**：对“同账号高频查询非关联号码”这类模式建立实时检测——2018年赏金猎人的行为模式，在今天完全可以用告警规则固化下来； - **出口审计**：所有定位出口保留完整查询日志，定期由独立合规团队回溯审计。 国内同行可以对照的监管语境是：位置信息在我国《个人信息保护法》框架下属于敏感个人信息，工信部对号码数据的属地化与授权要求也在持续收紧，本文的美国案例可以作为合规建设的前车之鉴，具体规则差异此处不展开。 ## 七、结论 回看这六年，有三点值得刻进运维与安全的日常： 第一，**能力开放的那一刻，风险就已经开门**。运营商最值钱的资产从来不是管道，而是“无感知、实时、精准”的网络原生能力——定位、信令、身份数据莫不如此。开放不是问题，不带风控的开放才是。 第二，**大案往往死于最短的链路**。拉斯维加斯案里没有高级可持续威胁，只有一个被攻破的办公邮箱和一套没做双人复核的应急门户。安全投入要按攻击路径分配，而不是按系统造价分配。 第三，**罚单迟到，但从不缺席**。从2018年曝光到2024年落槌，六年时间四家运营商付出了近两亿美元的代价，外加难以估量的声誉成本。在Open Gateway把更多网络能力变成商品的今天，每一份对外API合同，都是在为六年后的自己签字。 ## 参考来源 1. [FCC官方公告（2024年4月29日）](https://www.fcc.gov) — FCC对AT&T、Verizon、T-Mobile、Sprint出售位置数据的最终处罚决定，标题为"FCC Fines AT&T, Verizon, T-Mobile and Sprint Approximately $200 Million"，可在fcc.gov站内检索原文 2. [404 Media](https://www.404media.co) — 2024年1月Joseph Cox关于拉斯维加斯律所被通过AT&T E911门户追踪的调查报道 3. [Krebs on Security](https://krebsonsecurity.com) — 2018年5月对LocationSmart演示门户漏洞（研究员Robert Xiao发现）的技术分析 4. [Reuters路透社](https://www.reuters.com) — 2024年4月29日对FCC罚款决定的报道，含各家具体金额 5. 3GPP TS 23.271 / TS 23.273 / TS 38.305 — LCS定位架构与5G NR定位规范（3gpp.org），本文技术架构部分的标准依据 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。