电信网络诈骗犯罪的实施，需要有大量的移动通信手段，足够数量的电话卡、物联网卡是必不可少的。近年来，随着电话卡严格落实实名制的推进，物联网卡已成为电信网络诈骗者更青睐的工具，并形成了庞大的黑色产业链。
【智次方·物联网智库】昨天，第十三届全国人民代表大会常务委员会第三十六次会议表决通过了《反电信网络诈骗法》，2022年12月1日起施行。该法是专门为打击治理电信网络诈骗活动制定的法律，充分体现了党中央要求、人民意愿和实践需要，将为打击遏制电信网络诈骗活动提供有力有效的法治保障。电信网络诈骗近年来形式复杂多样，给人民群众财产安全造成了极大威胁，已成为广大民众深恶痛绝的违法犯罪形式之一。
其中，通过物联网卡进行诈骗已成为电信网络诈骗的典型形式，对于物联网卡的管理也成为反电信网络诈骗的一个重点。《反电信网络诈骗法》中，明确规定了对物联网卡相关主体的法定义务，并对相应违法行为提出了明确的处罚规定。过去几年，各监管机构虽然针对物联网卡出台了多方面行政法规，但总体比较分散，法律层级也不够高，而本次《反电信网络诈骗法》以专门立法的形式出台，对于违法、违规使用物联网卡行为的威慑和打击力度是前所未有的，因此在整个社会和行业具有里程碑式的意义。
违法违规使用物联网卡，成为电信网络诈骗的重要支撑手段
电信网络诈骗犯罪的实施，需要有大量的移动通信手段，足够数量的电话卡、物联网卡是必不可少的。近年来，随着电话卡严格落实实名制的推进，物联网卡已成为电信网络诈骗者更青睐的工具，并形成了庞大的黑色产业链。
据公安部的数据，2020年通过物联网卡实施违法行为的数量达到1850万张，是手机黑卡548万张的3倍以上，可见物联网卡已经成为自手机卡之后更为普遍的网络黑产工具，也必将成为打击网络黑产的一大重点。过去几年，公安部每年都会公布“净网行动”打击网络账号黑色产业链违法犯罪的十大案例，从这些案例来看，通过物联网卡实施的犯罪数量占比较高。
以2020、2021两年净网行动的十大案例为例，2020年十大案例中有5大案例是通过物联网卡实施的，2021年十大案例中有6大案例是通过物联网来实施的，部分案例涉及到数百万张物联网卡的非法使用。例如，2020年山东威海侦破的“3·13”案中，威海网安部门打掉一个为下游犯罪提供物联网卡及隐蔽上网链路的黑产团伙，该团伙勾结某运营商员工，批量购买100万张定向流量物联网卡，违规搭建代理上网服务器并将裸卡销售，致使大量物联网卡被用于电信网络诈骗等违法犯罪，3年内该团伙累计违规销售物联网卡竟然高达222万余张。
2021年5月，工信部、公安部等部委联合启动了“断卡行动2.0”，提出了针对当前行业治理中最为紧迫的电话卡、物联网卡管理问题，要更加深入地推进“断卡行动”。根据工信部网络安全管理局一级巡视员周少清介绍，断卡行动2.0实施13个月以来，工信部联合公安部累计处置涉诈高风险电话卡、物联网卡近1亿张，关联互联网账号6200万个，部署推进“打猫行动”，联合公安机关打击“猫池”窝点3758个、缴获设备1.16万台。
物联网卡的特点以及法律适用，给监管提出挑战
物联网从业者对物联网卡并不陌生，作为蜂窝物联网终端通信必备的部件，物联网卡与终端绑定，通过插拔式、贴片式等形式，保障了各类物联网终端接入运营商网络并实现连接和设备管理。物联网卡对于物联网产业发展的意义非常重大，然而，由于物联网卡本身的一些特点，以及此前监管方面的漏洞，被一些不法分子利用，对于物联网卡正常用途造成了消极的影响。
物联网卡虽然一般不具备语音功能，但具有数据流量和定向短信功能，其中，虽然短信功能只限定在短信网关和物联网卡之间定向发送，但此前市场上有不少辅助技术手段，可以实现物联网卡和其他手机卡之间自由收发短信，这些功能对于黑色产业链来说已经足够。借助“猫池”等工具，通过短信功能，不法分子可以群发诈骗、赌博等违法信息，加上流量功能，可以批量恶意注册各类账号，进行“养号”和“薅羊毛”、刷单等操作。
短信和数据流量功能只是提供了必要条件，要形成物联网卡的充要条件，还需要物联网卡可以快速、批量获取。对于手机卡来说，目前手机卡的实名制深入推行，加上每一身份证能够绑定的手机卡数量有限，增加了不法分子批量获取手机卡的成本和难度。然而，物联网卡获取相对手机卡更为便利，由于物联网卡是由企业为主体进行申请，企业可以进行批量申请，每一张卡的使用场景、具体用途无法进行实质性审核，一旦一批物联网卡经过多重转卖，其后续监管更不容易。这一特征，导致物联网卡受到黑产的青睐。
一些业内人士认为，物联网卡被非法使用，也暴露出相关法律法规适用的困难。此前，我国未出台物联网卡的安全管理法律，对一些主体管理不力难界定为“违法”，例如，一些企业明知违反“物联网行业卡不得开通点对点短信业务”却依然违规开通；又如，虚拟运营商未严格落实行业卡实名登记制度的行为，司法实践中尚未对此行为单独纳入法律规制范畴。
诸如物联网卡本身管理问题以及法律适用问题，造成近年来依托物联网卡实施黑产违法违规案例居高不下，因此，针对物联网卡安全管理的法律法规的完善，提高违法成本的呼声越来越高。
法律法规不断完善，切断物联网卡违法违规使用之路
过去几年，针对物联网卡安全管理，监管部门出台多项行政法规和管理办法，一定程度上有效遏制了借助物联网卡实施电信网络诈骗行为。本次《反电信网络诈骗法》的通过，从更高的立法层面给物联网卡安全管理提供保障，为切断物联网卡违法违规使用之路奠定了坚实基础。
早在2016年，工信部就发布了《关于贯彻落实<反恐怖主义法>等法律规定 进一步做好电话用户真实身份信息登记工作的通知》、《关于进一步防范和打击通讯信息诈骗工作的实施意见》等文件，提出了针对物联网行业卡的实名制要求。例如，前一个文件中就明确提出“电信企业在设计用于车联网、物联网、可穿戴设备等行业应用的无线上网卡产品时，要对行业卡功能、业务范围、使用场景、产品形态等进行严格的限定和绑定，防止行业卡被用作其他用途；在销售行业卡时，对购买单位要从严审核，如实登记使用人信息，对难以与实际使用人一一对应的行业卡产品，要登记责任单位和责任人信息，并在协议中明确不得进行二次销售；在行业卡使用过程中，电信企业要加强监测，发现违反有关规定和协议使用行业卡时，要依法依规进行处置。”
2018年，工信部发布了《关于加强源头治理 进一步做好移动通信转售企业行业卡安全管理的通知》，细化了物联网卡在各环节的安全要求，比如明确功能限制要求，按照“功能最小化”原则，关闭语音功能，原则上不得开通短信功能，规范发展每月100M以下的小流量行业应用；建立行业卡安全评估制度，发展行业用户要进行安全评估，评估通过后方可和行业用户签订合同；完善行业用户合同内容，要在合同中明确实名制责任及违处罚等内容；加强行业卡技术监测能力等。
2020年，工信部发布的《关于加强物联网卡安全管理工作的通知》、《关于印发〈物联网卡安全分类管理实施指引（试行）〉的通知》，推出了严格的监管措施，在运营商和物联网产业链中引起强烈反响。例如，禁止对物联网卡二次转售、只能用于约定使用场景、大流量卡必须个人实名且一证只能绑定10个号码、禁止访问个人应用、机卡绑定等，这些措施都是针对多年来物联网卡市场存在的“乱象”出台的有效管理办法，直接导致了物联网连接数出现罕见的下滑。根据工信部监测数据，2020年7月底，蜂窝物联网连接数从6月底的11.1亿骤降至10.7亿，8月继续下降至10.6亿，其中5000万的“水分”被挤掉，且接下来几个月物联网连接数增速持续走低，与以上两个文件的严格执行有一定的关系。
2020年3月-2021年3月蜂窝物联网连接数及增速（数据来源：工信部）
除了工信部外，其他部委针对反电信网络诈骗也出台了多个行政法规和管理办法，并加强与工信部的联动。例如，2021年6月，最高人民法院、最高人民检察院、公安部联合发布《关于办理电信网络诈骗等刑事案件适用法律若干问题的意见（二）》，对依托物联网卡进行违法行为的犯罪地、犯罪行为等方面的认定进行解释；2021年，工信部、公安部联合发布《关于依法清理整治涉诈电话卡、物联网卡以及关联互联网账号的通告》，作为启动“断卡行动2.0”的重要文件，并进一步强调物联网卡实名制工作。
过去几年针对物联网卡监管工作收到明显成效，本次《反电信网络诈骗法》以专门立法形式，将此前的规章制度提升到更高层次。
《反电信网络诈骗法》中的第十二条和第三十九条中，有专门针对物联网卡管理的具体规定，尤其是第十二条中，明确了物联网卡相关主体的义务，包括：
电信业务经营者建立物联网卡用户风险评估制度，评估未通过的，不得向其销售物联网卡；严格登记物联网卡用户身份信息；采取有效技术措施限定物联网卡开通功能、使用场景和适用设备。
单位用户从电信业务经营者购买物联网卡再将载有物联网卡的设备销售给其他用户的，应当核验和登记用户身份信息，并将销量、存量及用户实名信息传送给号码归属的电信业务经营者。
电信业务经营者对物联网卡的使用建立监测预警机制。对存在异常使用情形的，应当采取暂停服务、重新核验身份和使用场景或者其他合同约定的处置措施。
可以看出，第十二条中包含了对物联网卡使用的风险评估、实名制、功能开通、预警监测、机卡绑定转售等内容，作为立法，具有更明显的强制性。此外，该法律也明确了对未履行相关义务的法律责任，包括对单位和个人处罚的额度。
《反电信网络诈骗法》的通过，对于借助物联网卡实施的电信网络诈骗行为具有更强的威慑和打击力度，随着未来该法律具体施行细节的出台，相信能够很大程度上肃清物联网卡市场的违法违规行为。当然，法律法规非常重要，而业界通过一些技术手段、商业模式的创新，也可以对借助物联网卡实施电信网络诈骗做出贡献。笔者曾在《近2000万物联网卡差点儿流入黑市！国家重磅启动“断卡行动2.0”》一文中提到，物联网业界应该抓住eSIM发展的趋势，推动eSIM的普及，可以在很大程度上杜绝物联网卡信息安全漏洞并大幅降低通过物联网卡实施网络诈骗的可能性。物联网卡对合法物联网业务具有重大意义，《反电信网络诈骗法》并不是要打击正常的物联网业务，而是为物联网市场发展提供一个公平、干净的环境，让物联网卡回归服务物联网产业的本质。