暗網(wǎng)地下交易：你的密碼只值一分錢(qián)

雷鋒網(wǎng)按：本文由i春秋論壇網(wǎng)友風(fēng)語(yǔ)者字幕組原創(chuàng)翻譯自Wired雜志，授權(quán)雷鋒網(wǎng)首發(fā)。

過(guò)去的兩周里，互聯(lián)網(wǎng)世界的安全團(tuán)隊(duì)幾乎都陷入泥淖。幾乎每一天，都有數(shù)以億萬(wàn)計(jì)的被竊取的用戶信息資料出現(xiàn)在暗網(wǎng)上，從主要的互聯(lián)網(wǎng)企業(yè)那里流出的數(shù)據(jù)售價(jià)僅為幾個(gè)比特幣的價(jià)值（每個(gè)約400美元）。每個(gè)銷售底貨背后都有一個(gè)共同的名字：Peace_of_mind。

Peace_of_mind 或者稱之為Peace，在暗網(wǎng)的黑市TheRealDeal上販賣數(shù)據(jù)。他（或者是她）的評(píng)價(jià)頁(yè)面基本上是百分之百的滿意度，買(mǎi)家給的反饋能達(dá)到A+++，買(mǎi)家提出的問(wèn)題也能迅速得到反饋。在Peace日益龐大的數(shù)據(jù)商品中，包括1億6700萬(wàn)LinkedIn用戶賬號(hào)，3億6000萬(wàn)MySpace用戶賬號(hào)，6800萬(wàn)Tumblr用戶賬號(hào)，以及來(lái)自俄羅斯社交媒體平臺(tái) VK.com的1億賬號(hào)，加上最近曝出的7100萬(wàn)Twitter賬號(hào)，總計(jì)超過(guò)8億，并且這個(gè)數(shù)字還在持續(xù)增長(zhǎng)中。

Peace獲取數(shù)據(jù)的渠道目前尚不清楚。這些數(shù)據(jù)大部分都是來(lái)自之前2012年的數(shù)據(jù)泄露，但是后果已經(jīng)非常嚴(yán)重,可能是因?yàn)楹芏嗍芎φ咴诓煌W(wǎng)站使用相同的密碼。黑客還入侵了扎克伯格，Twitter創(chuàng)始人Ev Williams和眾多名人的Twitter賬戶，甚至還有歌手德雷克和凱特佩里,可能還存在更多不為人知的攻擊。事實(shí)上，這些數(shù)據(jù)泄露覆蓋范圍非常廣泛，幾乎每一個(gè)生活在數(shù)字世界中的人都會(huì)或多或少受到影響。

這周早些時(shí)候, Wired雜志通過(guò)暗網(wǎng)的RealDeal市場(chǎng)交易系統(tǒng)聯(lián)系到了名為“Peace”的黑客，并且以加密的匿名通訊方式對(duì)他進(jìn)行了采訪。幾乎Peace所說(shuō)的所有言論都無(wú)法得到證實(shí)。我們暫且就把這些言論當(dāng)做是一個(gè)隱秘的、匿名的、可惡的犯罪黑客的未經(jīng)證實(shí)的陳述吧。以下是我們6月6日進(jìn)行采訪時(shí)的對(duì)話，為了更清晰地向大家展示，我們進(jìn)行了一些編輯。

以下內(nèi)容來(lái)自WIRED對(duì)Peace的采訪實(shí)錄，整理如下：

——我的第一個(gè)問(wèn)題是：所有的這些網(wǎng)站平臺(tái)的用戶憑證，你是如何得手？

好吧，這些用戶憑證都已經(jīng)被俄羅斯的一個(gè)團(tuán)隊(duì)黑過(guò)了。其中的一部分工作是由我完成的，剩下的是其他人干的。

——你自己是俄羅斯人嗎？

是的。

——你能告訴我你在哪個(gè)地區(qū)嗎？

在這個(gè)仍在密切調(diào)查的節(jié)骨眼兒，我不會(huì)說(shuō)。

——你的團(tuán)隊(duì)叫什么名字？

抱歉，現(xiàn)在我不能給出這樣的細(xì)節(jié)信息。

——表面上看，你所販賣的數(shù)據(jù)都是一些舊的數(shù)據(jù)。（當(dāng)然很明顯這些對(duì)黑客來(lái)說(shuō)仍然很有價(jià)值。）例如， Linkedin的數(shù)據(jù)是2012年的，MySpace的數(shù)據(jù)看來(lái)也是2013年的。那么你們一直掌握著這些數(shù)據(jù)卻直到現(xiàn)在才僅僅販賣它們，是為什么呢？

好吧，這些數(shù)據(jù)是被整個(gè)團(tuán)隊(duì)所共享的，并且有我們自己的用途。這段時(shí)間，一些成員開(kāi)始把這些數(shù)據(jù)販賣給別人，買(mǎi)家是經(jīng)過(guò)我們挑選的，并非在公共論壇上隨機(jī)交易之類的，而是那些將數(shù)據(jù)用于自身目的并且不會(huì)進(jìn)行轉(zhuǎn)賣的買(mǎi)家。這樣經(jīng)過(guò)很長(zhǎng)一段時(shí)間后，個(gè)別擁有這些數(shù)據(jù)的人開(kāi)始公開(kāi)批量地販賣數(shù)據(jù)了。（如10萬(wàn)用戶信息售價(jià)100美刀等。）當(dāng)我看到這個(gè)情形，我決定自己也要賺點(diǎn)外快，并且開(kāi)始公開(kāi)交易了。

——所以你是脫離團(tuán)隊(duì)自己一個(gè)人來(lái)出售數(shù)據(jù)的嗎?你這么做他們有沒(méi)有什么想法?

其實(shí)，這個(gè)團(tuán)隊(duì)早就已經(jīng)解散了。團(tuán)隊(duì)領(lǐng)導(dǎo)者很早之前就”退休”了。然后有人(Tessa)就開(kāi)始未經(jīng)允許的出售數(shù)據(jù)。團(tuán)隊(duì)中大部分其他成員都去做其他事情了，而且很多都不再聯(lián)系。所以即使他出售數(shù)據(jù)也不會(huì)有什么后果。對(duì)我個(gè)人來(lái)說(shuō)，很早之前我就想加入這個(gè)行列并且販賣數(shù)據(jù)賺錢(qián)了。

——為什么這個(gè)團(tuán)隊(duì)最開(kāi)始沒(méi)有販賣收集到的所有數(shù)據(jù)?

如果數(shù)據(jù)公開(kāi)就沒(méi)有什么價(jià)值了。我們有自己的用途，其他買(mǎi)家也有他們自己的意圖。并且買(mǎi)家希望這些數(shù)據(jù)盡可能保持隱秘，所以很多數(shù)據(jù)庫(kù)就沒(méi)有公開(kāi)，而且一直隱蔽地使用了好幾年。

——你所謂的“自己的用途”是什么？如果你秘密交易這些數(shù)據(jù)你又如何能賺到更多的錢(qián)？

好吧，最主要的用途是兜售信息。對(duì)于那些尋求特定目標(biāo)的私人買(mǎi)家來(lái)說(shuō)，我們當(dāng)然能賺到很多錢(qián)。同樣的，密碼重復(fù)使用顯然使得那些高調(diào)侵入別人賬戶的人成了近日頭條。因?yàn)樵S多人并不會(huì)在不同的平臺(tái)設(shè)置不同的密碼，這就導(dǎo)致了你的Netflix, Paypal, Amazon等等的用戶數(shù)據(jù)可以被成批出售。

——在你還沒(méi)有開(kāi)始販賣整個(gè)數(shù)據(jù)資料庫(kù)之前，你想對(duì)那些秘密販賣LinkedIn部分?jǐn)?shù)據(jù)庫(kù)的同伴說(shuō)什么？

我認(rèn)為公開(kāi)那些信息并不會(huì)使我獲得最大的利益。無(wú)論如何，對(duì)我自己而言，在公開(kāi)交易中，我用LinkedIn的數(shù)據(jù)賺了15000美刀。

——那MySpace和Tumblr的數(shù)據(jù)價(jià)值多少呢？

兩者很接近，差不多20000美刀。

——也就是說(shuō)，他們中的每個(gè)都是10000美刀？

Myspace要更多一點(diǎn)。Tumblr的數(shù)據(jù)較少一點(diǎn)...... 但Myspace賺得更多也是由于Tumblr的密碼使用了哈希加鹽的方式進(jìn)行加密。

——Myspace也是哈希加密的，不是嗎？但沒(méi)有加鹽？

是的，它是哈希加密的，沒(méi)有加鹽。

——Fling的數(shù)據(jù)價(jià)值多少？

差不多是1200美刀，記不太清確切數(shù)字了。

——你還有沒(méi)有一些尚未拿出來(lái)交易的數(shù)據(jù)庫(kù)？

是的，大約還有10億用戶信息，同樣也是2012-2013年的。

——來(lái)源于哪些服務(wù)？

主要是社交媒體和電子郵箱。

——我的意思是，哪個(gè)網(wǎng)站？能不能具體說(shuō)一點(diǎn)？

好吧，我現(xiàn)在不能說(shuō)。我不想讓那些公司有所準(zhǔn)備，讓用戶重置密碼。

——你打算什么時(shí)候交易剩下的數(shù)據(jù)？

這一周的某個(gè)時(shí)間吧。我會(huì)每周交易一件。

——你們手中一共有多少個(gè)網(wǎng)站數(shù)據(jù)？

唔......超過(guò)1億用戶的有7個(gè)。如果我縮小用戶數(shù)值統(tǒng)計(jì)的話，2000萬(wàn)、6000萬(wàn)等等，另有五個(gè)。

——你和你的團(tuán)隊(duì)是如何入侵這些網(wǎng)站的？

好吧，那取決于這些企業(yè)和執(zhí)法機(jī)關(guān)發(fā)現(xiàn)的時(shí)間。

——你為什么同意接受采訪與我交流，希望沒(méi)有冒犯到你?

沒(méi)有，好吧，我是覺(jué)得MySpace、Tumblr和領(lǐng)英的這群人太特么搞笑了，他們還威脅說(shuō)要跟執(zhí)法部門(mén)合作來(lái)進(jìn)行調(diào)查。那我就給他們一點(diǎn)線索，讓他們覺(jué)得能抓到我什么的。

——你覺(jué)得你能逃避法律的制裁嗎?

哈哈，你說(shuō)呢，這就是我的強(qiáng)項(xiàng)。

——你說(shuō)你至今已經(jīng)交易的差不多25000美刀而且有很大的風(fēng)險(xiǎn)。

那是對(duì)外宣稱的。而且不到一個(gè)月交易額就達(dá)到了25000美刀。對(duì)我來(lái)說(shuō)沒(méi)什么風(fēng)險(xiǎn)，因?yàn)樗麄儫o(wú)能為力。我說(shuō)過(guò)，差不多一個(gè)月就可以輕而易舉的獲得大量現(xiàn)金，足夠買(mǎi)一輛好車了。

——你這么自信不會(huì)被抓是因?yàn)槟阍诙砹_斯嗎？難道俄羅斯警方不會(huì)偶爾引渡黑客嗎？超過(guò)10億密碼足夠引起社會(huì)關(guān)注了。

好吧，這就有點(diǎn)復(fù)雜了，不過(guò)到時(shí)會(huì)我自有妙計(jì)脫身。

——你的名字”P(pán)eace_of_mind”是怎么來(lái)的?

其實(shí)它就是和平的意思，不過(guò)是我從”RealDeal”暗網(wǎng)市場(chǎng)上得來(lái)的。我就是突然想到的，真的，沒(méi)什么特別的。

——為什么用”P(pán)eace”?

[沒(méi)有回答]

——你能證明你真的有來(lái)自12個(gè)網(wǎng)站的10億多密碼并且準(zhǔn)備販賣嗎?讀者們表示很懷疑。

呵呵，讓他們?cè)诮酉聛?lái)的一兩周內(nèi)去郵箱查收密碼重置郵件吧。

訪談紀(jì)實(shí)，可在i春秋學(xué)院查看視頻素材：《地下交易，賬號(hào)密碼只賣1分錢(qián)》

雷鋒網(wǎng)注：本文首發(fā)雷鋒網(wǎng)，轉(zhuǎn)載請(qǐng)聯(lián)系我們授權(quán)，并保留出處和作者，不得修改文章。

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。