暗網(wǎng)地下交易：你的密碼只值一分錢

雷鋒網(wǎng)按：本文由i春秋論壇網(wǎng)友風(fēng)語者字幕組原創(chuàng)翻譯自Wired雜志，授權(quán)雷鋒網(wǎng)首發(fā)。

過去的兩周里，互聯(lián)網(wǎng)世界的安全團(tuán)隊(duì)幾乎都陷入泥淖。幾乎每一天，都有數(shù)以億萬計(jì)的被竊取的用戶信息資料出現(xiàn)在暗網(wǎng)上，從主要的互聯(lián)網(wǎng)企業(yè)那里流出的數(shù)據(jù)售價(jià)僅為幾個(gè)比特幣的價(jià)值（每個(gè)約400美元）。每個(gè)銷售底貨背后都有一個(gè)共同的名字：Peace_of_mind。

Peace_of_mind 或者稱之為Peace，在暗網(wǎng)的黑市TheRealDeal上販賣數(shù)據(jù)。他（或者是她）的評(píng)價(jià)頁面基本上是百分之百的滿意度，買家給的反饋能達(dá)到A+++，買家提出的問題也能迅速得到反饋。在Peace日益龐大的數(shù)據(jù)商品中，包括1億6700萬LinkedIn用戶賬號(hào)，3億6000萬MySpace用戶賬號(hào)，6800萬Tumblr用戶賬號(hào)，以及來自俄羅斯社交媒體平臺(tái) VK.com的1億賬號(hào)，加上最近曝出的7100萬Twitter賬號(hào)，總計(jì)超過8億，并且這個(gè)數(shù)字還在持續(xù)增長中。

Peace獲取數(shù)據(jù)的渠道目前尚不清楚。這些數(shù)據(jù)大部分都是來自之前2012年的數(shù)據(jù)泄露，但是后果已經(jīng)非常嚴(yán)重,可能是因?yàn)楹芏嗍芎φ咴诓煌W(wǎng)站使用相同的密碼。黑客還入侵了扎克伯格，Twitter創(chuàng)始人Ev Williams和眾多名人的Twitter賬戶，甚至還有歌手德雷克和凱特佩里,可能還存在更多不為人知的攻擊。事實(shí)上，這些數(shù)據(jù)泄露覆蓋范圍非常廣泛，幾乎每一個(gè)生活在數(shù)字世界中的人都會(huì)或多或少受到影響。

這周早些時(shí)候, Wired雜志通過暗網(wǎng)的RealDeal市場(chǎng)交易系統(tǒng)聯(lián)系到了名為“Peace”的黑客，并且以加密的匿名通訊方式對(duì)他進(jìn)行了采訪。幾乎Peace所說的所有言論都無法得到證實(shí)。我們暫且就把這些言論當(dāng)做是一個(gè)隱秘的、匿名的、可惡的犯罪黑客的未經(jīng)證實(shí)的陳述吧。以下是我們6月6日進(jìn)行采訪時(shí)的對(duì)話，為了更清晰地向大家展示，我們進(jìn)行了一些編輯。

以下內(nèi)容來自WIRED對(duì)Peace的采訪實(shí)錄，整理如下：

——我的第一個(gè)問題是：所有的這些網(wǎng)站平臺(tái)的用戶憑證，你是如何得手？

好吧，這些用戶憑證都已經(jīng)被俄羅斯的一個(gè)團(tuán)隊(duì)黑過了。其中的一部分工作是由我完成的，剩下的是其他人干的。

——你自己是俄羅斯人嗎？

是的。

——你能告訴我你在哪個(gè)地區(qū)嗎？

在這個(gè)仍在密切調(diào)查的節(jié)骨眼兒，我不會(huì)說。

——你的團(tuán)隊(duì)叫什么名字？

抱歉，現(xiàn)在我不能給出這樣的細(xì)節(jié)信息。

——表面上看，你所販賣的數(shù)據(jù)都是一些舊的數(shù)據(jù)。（當(dāng)然很明顯這些對(duì)黑客來說仍然很有價(jià)值。）例如， Linkedin的數(shù)據(jù)是2012年的，MySpace的數(shù)據(jù)看來也是2013年的。那么你們一直掌握著這些數(shù)據(jù)卻直到現(xiàn)在才僅僅販賣它們，是為什么呢？

好吧，這些數(shù)據(jù)是被整個(gè)團(tuán)隊(duì)所共享的，并且有我們自己的用途。這段時(shí)間，一些成員開始把這些數(shù)據(jù)販賣給別人，買家是經(jīng)過我們挑選的，并非在公共論壇上隨機(jī)交易之類的，而是那些將數(shù)據(jù)用于自身目的并且不會(huì)進(jìn)行轉(zhuǎn)賣的買家。這樣經(jīng)過很長一段時(shí)間后，個(gè)別擁有這些數(shù)據(jù)的人開始公開批量地販賣數(shù)據(jù)了。（如10萬用戶信息售價(jià)100美刀等。）當(dāng)我看到這個(gè)情形，我決定自己也要賺點(diǎn)外快，并且開始公開交易了。

——所以你是脫離團(tuán)隊(duì)自己一個(gè)人來出售數(shù)據(jù)的嗎?你這么做他們有沒有什么想法?

其實(shí)，這個(gè)團(tuán)隊(duì)早就已經(jīng)解散了。團(tuán)隊(duì)領(lǐng)導(dǎo)者很早之前就”退休”了。然后有人(Tessa)就開始未經(jīng)允許的出售數(shù)據(jù)。團(tuán)隊(duì)中大部分其他成員都去做其他事情了，而且很多都不再聯(lián)系。所以即使他出售數(shù)據(jù)也不會(huì)有什么后果。對(duì)我個(gè)人來說，很早之前我就想加入這個(gè)行列并且販賣數(shù)據(jù)賺錢了。

——為什么這個(gè)團(tuán)隊(duì)最開始沒有販賣收集到的所有數(shù)據(jù)?

如果數(shù)據(jù)公開就沒有什么價(jià)值了。我們有自己的用途，其他買家也有他們自己的意圖。并且買家希望這些數(shù)據(jù)盡可能保持隱秘，所以很多數(shù)據(jù)庫就沒有公開，而且一直隱蔽地使用了好幾年。

——你所謂的“自己的用途”是什么？如果你秘密交易這些數(shù)據(jù)你又如何能賺到更多的錢？

好吧，最主要的用途是兜售信息。對(duì)于那些尋求特定目標(biāo)的私人買家來說，我們當(dāng)然能賺到很多錢。同樣的，密碼重復(fù)使用顯然使得那些高調(diào)侵入別人賬戶的人成了近日頭條。因?yàn)樵S多人并不會(huì)在不同的平臺(tái)設(shè)置不同的密碼，這就導(dǎo)致了你的Netflix, Paypal, Amazon等等的用戶數(shù)據(jù)可以被成批出售。

——在你還沒有開始販賣整個(gè)數(shù)據(jù)資料庫之前，你想對(duì)那些秘密販賣LinkedIn部分?jǐn)?shù)據(jù)庫的同伴說什么？

我認(rèn)為公開那些信息并不會(huì)使我獲得最大的利益。無論如何，對(duì)我自己而言，在公開交易中，我用LinkedIn的數(shù)據(jù)賺了15000美刀。

——那MySpace和Tumblr的數(shù)據(jù)價(jià)值多少呢？

兩者很接近，差不多20000美刀。

——也就是說，他們中的每個(gè)都是10000美刀？

Myspace要更多一點(diǎn)。Tumblr的數(shù)據(jù)較少一點(diǎn)...... 但Myspace賺得更多也是由于Tumblr的密碼使用了哈希加鹽的方式進(jìn)行加密。

——Myspace也是哈希加密的，不是嗎？但沒有加鹽？

是的，它是哈希加密的，沒有加鹽。

——Fling的數(shù)據(jù)價(jià)值多少？

差不多是1200美刀，記不太清確切數(shù)字了。

——你還有沒有一些尚未拿出來交易的數(shù)據(jù)庫？

是的，大約還有10億用戶信息，同樣也是2012-2013年的。

——來源于哪些服務(wù)？

主要是社交媒體和電子郵箱。

——我的意思是，哪個(gè)網(wǎng)站？能不能具體說一點(diǎn)？

好吧，我現(xiàn)在不能說。我不想讓那些公司有所準(zhǔn)備，讓用戶重置密碼。

——你打算什么時(shí)候交易剩下的數(shù)據(jù)？

這一周的某個(gè)時(shí)間吧。我會(huì)每周交易一件。

——你們手中一共有多少個(gè)網(wǎng)站數(shù)據(jù)？

唔......超過1億用戶的有7個(gè)。如果我縮小用戶數(shù)值統(tǒng)計(jì)的話，2000萬、6000萬等等，另有五個(gè)。

——你和你的團(tuán)隊(duì)是如何入侵這些網(wǎng)站的？

好吧，那取決于這些企業(yè)和執(zhí)法機(jī)關(guān)發(fā)現(xiàn)的時(shí)間。

——你為什么同意接受采訪與我交流，希望沒有冒犯到你?

沒有，好吧，我是覺得MySpace、Tumblr和領(lǐng)英的這群人太特么搞笑了，他們還威脅說要跟執(zhí)法部門合作來進(jìn)行調(diào)查。那我就給他們一點(diǎn)線索，讓他們覺得能抓到我什么的。

——你覺得你能逃避法律的制裁嗎?

哈哈，你說呢，這就是我的強(qiáng)項(xiàng)。

——你說你至今已經(jīng)交易的差不多25000美刀而且有很大的風(fēng)險(xiǎn)。

那是對(duì)外宣稱的。而且不到一個(gè)月交易額就達(dá)到了25000美刀。對(duì)我來說沒什么風(fēng)險(xiǎn)，因?yàn)樗麄儫o能為力。我說過，差不多一個(gè)月就可以輕而易舉的獲得大量現(xiàn)金，足夠買一輛好車了。

——你這么自信不會(huì)被抓是因?yàn)槟阍诙砹_斯嗎？難道俄羅斯警方不會(huì)偶爾引渡黑客嗎？超過10億密碼足夠引起社會(huì)關(guān)注了。

好吧，這就有點(diǎn)復(fù)雜了，不過到時(shí)會(huì)我自有妙計(jì)脫身。

——你的名字”Peace_of_mind”是怎么來的?

其實(shí)它就是和平的意思，不過是我從”RealDeal”暗網(wǎng)市場(chǎng)上得來的。我就是突然想到的，真的，沒什么特別的。

——為什么用”Peace”?

[沒有回答]

——你能證明你真的有來自12個(gè)網(wǎng)站的10億多密碼并且準(zhǔn)備販賣嗎?讀者們表示很懷疑。

呵呵，讓他們?cè)诮酉聛淼囊粌芍軆?nèi)去郵箱查收密碼重置郵件吧。

訪談紀(jì)實(shí)，可在i春秋學(xué)院查看視頻素材：《地下交易，賬號(hào)密碼只賣1分錢》

雷鋒網(wǎng)注：本文首發(fā)雷鋒網(wǎng)，轉(zhuǎn)載請(qǐng)聯(lián)系我們授權(quán)，并保留出處和作者，不得修改文章。

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。