公安部近两年的数据统计显示，在过去两年里，各地公安机关共侦破侵犯公民个人信息案件6700余起，抓获犯罪嫌疑人19000余名。
但这不是黑市全貌。来自贵阳大数据交易所执行总裁王叁寿的估算是，黑市日交易额远远超过他搭建三年有余的数据交易所。“我们这里交易1个亿，黑市交易99个亿。”
吸引人们铤而走险进入黑市贩卖个人信息的主要动因，是获利简单、且利润高。
据王叁寿观察，数据黑市上的交易价格呈现极端化——极贵或极便宜。不脱敏的数据极贵，可能一条10元，如果数据是由催债公司定制，每条或高达1000元。而那些已经在网上被交易无数次的数据库则非常便宜。
一个名为“园林艺术交流”的微信群，其实是个人信息交易群。其群聊显示，三网名下手机号查询在黑产链末端买出的报价达600元，在源头处仅3元。
2017年腾讯守护者安全计划发布的信息显示，13项公民信息种类中，报价最低1元一条，最高达到3000元——高学历人口信息价格每条20元－60元不等，银行流水单信息则价值1000元-3000元/条。
根据《财经》记者统计的261份判决样本，公民通讯住址信息是最常见的非法黑市交易类型，在所有信息种类中占比近三成。
对于猖獗的黑市，执法部门一直在打击。今年3月9日，买家发给条商“锦瑟”的询问和订单请求，恐怕再也无法得到回复。当日起，山东肥城警方在全国18个省市展开打击侵犯公民个人信息违法犯罪行为的收网行动，包括“锦瑟”、于博、鲍伟文、李超等在内的75名犯罪嫌疑人先后落网。
特别是网络安全法和相关司法解释生效以来，执法打击更为严厉。《网络安全法》规定，网络运营者收集、使用个人信息应当明示收集、使用信息的目的、方式和范围，并经被收集者同意。同时，任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。
由于执法态势要求全链条打击，地下交易成本正极大提高。
不过，据公安机关一名负责打击侵犯公民个人信息犯罪的民警介绍，近年来大数据行业的“野蛮生长”状态促进了个人信息黑市和乱象的形成，数据采集、流通、交易、应用等环节基本处于无章可循状态。
尽管源头被缩减，但已经泄露的海量个人信息仍在黑市，只不过暂时沉淀下来。如一位资深业内人士所言，一些合法的大数据公司悄然成为个人信息的“沉淀仓库”，尤其是极少数从事互联网技术、金融服务、期货股票交易等业务的公司，在发展中积累大量公民个人信息，由于经营不善、管理不当的原因，不少企业靠出售这些数据支撑生存。
王叁寿也披露，不断有来源不明的数据公司，打着数据交易的名义，想在贵阳大数据交易所挂牌数据。
由于正规数据公司的灰色行为，数据市场的“黑白边界”在逐渐模糊。目前可见的红线是，数据来源是否合法，以及交易数据是否脱敏。
脱敏，指将涉及敏感个人信息的数据进行去个人化、去隐私化处理。
但问题在于，大数据公司交易成千上万条信息，其中掺杂来源非法、未脱敏的数据，其实很难发现。
凭安征信CEO杨茂江对《财经》记者透露，一些原本在做P2P的互联网金融公司，如今转型做金融科技，对外输出数据、输出模型。这些他们从用户处收集来的数据，是否经过脱敏，被卖给了谁，往往失控。
立法执法者与黑产角力
面对蓬勃发展的黑产和缺乏技术、安全意识的数据持有者，在中国，刑事打击仍走在第一线，单打独斗
在与执法者角力的过程中，黑灰产已经完成技术上的升级，隐蔽性更高的同时，精准度也提升不少。
根据《财经》记者梳理的裁判样本，被执法部门打击的不法者，多以线上数据库的复制或架设网站提供api接口为主，过去常见的物理转移（硬盘交易等）已少见。
目前较为普遍的交易方式是卖家积攒大量的数据库存在本地，根据买家的精准订单提供相应数据，称之为“订单式”销售。
在网络安全公司知道创宇404安全实验室总监隋刚看来，对大量用户敏感数据的持有者来说，网络安全更像是一条马奇诺防线——投入再大技术成本，仍无法防止漏洞的出现而被有心者绕过防线入侵。
黑产中的新技术也开始出现。2017年11月以来，被称为“短信嗅探”的团伙通过一种特殊采集设备，利用电信运营商2G网络数据不加密特性，寻找附近基站范围内的2G手机号码后，登录各类网站采集验证码，再将手机号码和验证短信提供给自己的上线“洗料”，通过社工库等，“洗出”手机机主的真实身份信息，如姓名、身份证号、网络注册信息等，再进一步获取银行卡号、互联网金融网站账号等，进行盗窃财产、账号洗钱等。
依赖执法部门的打击只能进行事后惩戒，但事实上，个人信息一旦泄露，从信息黑市中完全删除几乎不可能。以此来看，事前预防才是关键。
立法的不明确一直是阻碍个人信息保护力度加强的重要瓶颈。实践中，直到2017年6月1日，最高法院、最高检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》生效，侵犯公民个人信息涉嫌犯罪的打击才明确起来。
