暗網(wǎng)地下交易：你的密碼只值一分錢

雷鋒網(wǎng)按：本文由i春秋論壇網(wǎng)友風(fēng)語者字幕組原創(chuàng)翻譯自Wired雜志，授權(quán)雷鋒網(wǎng)首發(fā)。

過去的兩周里，互聯(lián)網(wǎng)世界的安全團隊幾乎都陷入泥淖。幾乎每一天，都有數(shù)以億萬計的被竊取的用戶信息資料出現(xiàn)在暗網(wǎng)上，從主要的互聯(lián)網(wǎng)企業(yè)那里流出的數(shù)據(jù)售價僅為幾個比特幣的價值（每個約400美元）。每個銷售底貨背后都有一個共同的名字：Peace_of_mind。

Peace_of_mind 或者稱之為Peace，在暗網(wǎng)的黑市TheRealDeal上販賣數(shù)據(jù)。他（或者是她）的評價頁面基本上是百分之百的滿意度，買家給的反饋能達到A+++，買家提出的問題也能迅速得到反饋。在Peace日益龐大的數(shù)據(jù)商品中，包括1億6700萬LinkedIn用戶賬號，3億6000萬MySpace用戶賬號，6800萬Tumblr用戶賬號，以及來自俄羅斯社交媒體平臺 VK.com的1億賬號，加上最近曝出的7100萬Twitter賬號，總計超過8億，并且這個數(shù)字還在持續(xù)增長中。

Peace獲取數(shù)據(jù)的渠道目前尚不清楚。這些數(shù)據(jù)大部分都是來自之前2012年的數(shù)據(jù)泄露，但是后果已經(jīng)非常嚴(yán)重,可能是因為很多受害者在不同網(wǎng)站使用相同的密碼。黑客還入侵了扎克伯格，Twitter創(chuàng)始人Ev Williams和眾多名人的Twitter賬戶，甚至還有歌手德雷克和凱特佩里,可能還存在更多不為人知的攻擊。事實上，這些數(shù)據(jù)泄露覆蓋范圍非常廣泛，幾乎每一個生活在數(shù)字世界中的人都會或多或少受到影響。

這周早些時候, Wired雜志通過暗網(wǎng)的RealDeal市場交易系統(tǒng)聯(lián)系到了名為“Peace”的黑客，并且以加密的匿名通訊方式對他進行了采訪。幾乎Peace所說的所有言論都無法得到證實。我們暫且就把這些言論當(dāng)做是一個隱秘的、匿名的、可惡的犯罪黑客的未經(jīng)證實的陳述吧。以下是我們6月6日進行采訪時的對話，為了更清晰地向大家展示，我們進行了一些編輯。

以下內(nèi)容來自WIRED對Peace的采訪實錄，整理如下：

——我的第一個問題是：所有的這些網(wǎng)站平臺的用戶憑證，你是如何得手？

好吧，這些用戶憑證都已經(jīng)被俄羅斯的一個團隊黑過了。其中的一部分工作是由我完成的，剩下的是其他人干的。

——你自己是俄羅斯人嗎？

是的。

——你能告訴我你在哪個地區(qū)嗎？

在這個仍在密切調(diào)查的節(jié)骨眼兒，我不會說。

——你的團隊叫什么名字？

抱歉，現(xiàn)在我不能給出這樣的細(xì)節(jié)信息。

——表面上看，你所販賣的數(shù)據(jù)都是一些舊的數(shù)據(jù)。（當(dāng)然很明顯這些對黑客來說仍然很有價值。）例如， Linkedin的數(shù)據(jù)是2012年的，MySpace的數(shù)據(jù)看來也是2013年的。那么你們一直掌握著這些數(shù)據(jù)卻直到現(xiàn)在才僅僅販賣它們，是為什么呢？

好吧，這些數(shù)據(jù)是被整個團隊所共享的，并且有我們自己的用途。這段時間，一些成員開始把這些數(shù)據(jù)販賣給別人，買家是經(jīng)過我們挑選的，并非在公共論壇上隨機交易之類的，而是那些將數(shù)據(jù)用于自身目的并且不會進行轉(zhuǎn)賣的買家。這樣經(jīng)過很長一段時間后，個別擁有這些數(shù)據(jù)的人開始公開批量地販賣數(shù)據(jù)了。（如10萬用戶信息售價100美刀等。）當(dāng)我看到這個情形，我決定自己也要賺點外快，并且開始公開交易了。

——所以你是脫離團隊自己一個人來出售數(shù)據(jù)的嗎?你這么做他們有沒有什么想法?

其實，這個團隊早就已經(jīng)解散了。團隊領(lǐng)導(dǎo)者很早之前就”退休”了。然后有人(Tessa)就開始未經(jīng)允許的出售數(shù)據(jù)。團隊中大部分其他成員都去做其他事情了，而且很多都不再聯(lián)系。所以即使他出售數(shù)據(jù)也不會有什么后果。對我個人來說，很早之前我就想加入這個行列并且販賣數(shù)據(jù)賺錢了。

——為什么這個團隊最開始沒有販賣收集到的所有數(shù)據(jù)?

如果數(shù)據(jù)公開就沒有什么價值了。我們有自己的用途，其他買家也有他們自己的意圖。并且買家希望這些數(shù)據(jù)盡可能保持隱秘，所以很多數(shù)據(jù)庫就沒有公開，而且一直隱蔽地使用了好幾年。

——你所謂的“自己的用途”是什么？如果你秘密交易這些數(shù)據(jù)你又如何能賺到更多的錢？

好吧，最主要的用途是兜售信息。對于那些尋求特定目標(biāo)的私人買家來說，我們當(dāng)然能賺到很多錢。同樣的，密碼重復(fù)使用顯然使得那些高調(diào)侵入別人賬戶的人成了近日頭條。因為許多人并不會在不同的平臺設(shè)置不同的密碼，這就導(dǎo)致了你的Netflix, Paypal, Amazon等等的用戶數(shù)據(jù)可以被成批出售。

——在你還沒有開始販賣整個數(shù)據(jù)資料庫之前，你想對那些秘密販賣LinkedIn部分?jǐn)?shù)據(jù)庫的同伴說什么？

我認(rèn)為公開那些信息并不會使我獲得最大的利益。無論如何，對我自己而言，在公開交易中，我用LinkedIn的數(shù)據(jù)賺了15000美刀。

——那MySpace和Tumblr的數(shù)據(jù)價值多少呢？

兩者很接近，差不多20000美刀。

——也就是說，他們中的每個都是10000美刀？

Myspace要更多一點。Tumblr的數(shù)據(jù)較少一點...... 但Myspace賺得更多也是由于Tumblr的密碼使用了哈希加鹽的方式進行加密。

——Myspace也是哈希加密的，不是嗎？但沒有加鹽？

是的，它是哈希加密的，沒有加鹽。

——Fling的數(shù)據(jù)價值多少？

差不多是1200美刀，記不太清確切數(shù)字了。

——你還有沒有一些尚未拿出來交易的數(shù)據(jù)庫？

是的，大約還有10億用戶信息，同樣也是2012-2013年的。

——來源于哪些服務(wù)？

主要是社交媒體和電子郵箱。

——我的意思是，哪個網(wǎng)站？能不能具體說一點？

好吧，我現(xiàn)在不能說。我不想讓那些公司有所準(zhǔn)備，讓用戶重置密碼。

——你打算什么時候交易剩下的數(shù)據(jù)？

這一周的某個時間吧。我會每周交易一件。

——你們手中一共有多少個網(wǎng)站數(shù)據(jù)？

唔......超過1億用戶的有7個。如果我縮小用戶數(shù)值統(tǒng)計的話，2000萬、6000萬等等，另有五個。

——你和你的團隊是如何入侵這些網(wǎng)站的？

好吧，那取決于這些企業(yè)和執(zhí)法機關(guān)發(fā)現(xiàn)的時間。

——你為什么同意接受采訪與我交流，希望沒有冒犯到你?

沒有，好吧，我是覺得MySpace、Tumblr和領(lǐng)英的這群人太特么搞笑了，他們還威脅說要跟執(zhí)法部門合作來進行調(diào)查。那我就給他們一點線索，讓他們覺得能抓到我什么的。

——你覺得你能逃避法律的制裁嗎?

哈哈，你說呢，這就是我的強項。

——你說你至今已經(jīng)交易的差不多25000美刀而且有很大的風(fēng)險。

那是對外宣稱的。而且不到一個月交易額就達到了25000美刀。對我來說沒什么風(fēng)險，因為他們無能為力。我說過，差不多一個月就可以輕而易舉的獲得大量現(xiàn)金，足夠買一輛好車了。

——你這么自信不會被抓是因為你在俄羅斯嗎？難道俄羅斯警方不會偶爾引渡黑客嗎？超過10億密碼足夠引起社會關(guān)注了。

好吧，這就有點復(fù)雜了，不過到時會我自有妙計脫身。

——你的名字”Peace_of_mind”是怎么來的?

其實它就是和平的意思，不過是我從”RealDeal”暗網(wǎng)市場上得來的。我就是突然想到的，真的，沒什么特別的。

——為什么用”Peace”?

[沒有回答]

——你能證明你真的有來自12個網(wǎng)站的10億多密碼并且準(zhǔn)備販賣嗎?讀者們表示很懷疑。

呵呵，讓他們在接下來的一兩周內(nèi)去郵箱查收密碼重置郵件吧。

訪談紀(jì)實，可在i春秋學(xué)院查看視頻素材：《地下交易，賬號密碼只賣1分錢》

雷鋒網(wǎng)注：本文首發(fā)雷鋒網(wǎng)，轉(zhuǎn)載請聯(lián)系我們授權(quán)，并保留出處和作者，不得修改文章。

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。