CCF-GAIR 2020
您正在使用IE低版浏览器,为了您的雷锋网账号安全和更好的产品体验,强烈建议使用更快更安全的浏览器
此为临时链接,仅用于文章预览,将在时失效
专栏 正文
发私信给傲客
发送

4

暗网地下交易:你的密码只值一分钱

本文作者:傲客 2016-06-16 19:14
导语:你知道自己的真爱的名字、宠物的生日和终身难忘的纪念日,在地下产业链里值多少钱吗?

雷锋网按:本文由i春秋论坛网友风语者字幕组原创翻译自Wired杂志,授权雷锋网(公众号:雷锋网)首发。

暗网地下交易:你的密码只值一分钱

过去的两周里,互联网世界的安全团队几乎都陷入泥淖。几乎每一天,都有数以亿万计的被窃取的用户信息资料出现在暗网上,从主要的互联网企业那里流出的数据售价仅为几个比特币的价值(每个约400美元)。每个销售底货背后都有一个共同的名字:Peace_of_mind。

Peace_of_mind 或者称之为Peace,在暗网的黑市TheRealDeal上贩卖数据。他(或者是她)的评价页面基本上是百分之百的满意度,买家给的反馈能达到A+++,买家提出的问题也能迅速得到反馈。在Peace日益庞大的数据商品中,包括1亿6700万LinkedIn用户账号,3亿6000万MySpace用户账号,6800万Tumblr用户账号,以及来自俄罗斯社交媒体平台 VK.com的1亿账号,加上最近曝出的7100万Twitter账号,总计超过8亿,并且这个数字还在持续增长中。

Peace获取数据的渠道目前尚不清楚。这些数据大部分都是来自之前2012年的数据泄露,但是后果已经非常严重,可能是因为很多受害者在不同网站使用相同的密码。黑客还入侵了扎克伯格,Twitter创始人Ev Williams和众多名人的Twitter账户,甚至还有歌手德雷克和凯特佩里,可能还存在更多不为人知的攻击。事实上,这些数据泄露覆盖范围非常广泛,几乎每一个生活在数字世界中的人都会或多或少受到影响。

这周早些时候, Wired杂志通过暗网的RealDeal市场交易系统联系到了名为“Peace”的黑客,并且以加密的匿名通讯方式对他进行了采访。几乎Peace所说的所有言论都无法得到证实。我们暂且就把这些言论当做是一个隐秘的、匿名的、可恶的犯罪黑客的未经证实的陈述吧。以下是我们6月6日进行采访时的对话,为了更清晰地向大家展示,我们进行了一些编辑。

以下内容来自WIRED对Peace的采访实录,整理如下:

——我的第一个问题是:所有的这些网站平台的用户凭证,你是如何得手?


好吧,这些用户凭证都已经被俄罗斯的一个团队黑过了。其中的一部分工作是由我完成的,剩下的是其他人干的。



——你自己是俄罗斯人吗?

是的。



——你能告诉我你在哪个地区吗?


在这个仍在密切调查的节骨眼儿,我不会说。




——你的团队叫什么名字?


抱歉,现在我不能给出这样的细节信息。



——表面上看,你所贩卖的数据都是一些旧的数据。(当然很明显这些对黑客来说仍然很有价值。)例如, Linkedin的数据是2012年的,MySpace的数据看来也是2013年的。那么你们一直掌握着这些数据却直到现在才仅仅贩卖它们,是为什么呢?



好吧,这些数据是被整个团队所共享的,并且有我们自己的用途。这段时间,一些成员开始把这些数据贩卖给别人,买家是经过我们挑选的,并非在公共论坛上随机交易之类的,而是那些将数据用于自身目的并且不会进行转卖的买家。这样经过很长一段时间后,个别拥有这些数据的人开始公开批量地贩卖数据了。(如10万用户信息售价100美刀等。)当我看到这个情形,我决定自己也要赚点外快,并且开始公开交易了。



——所以你是脱离团队自己一个人来出售数据的吗?你这么做他们有没有什么想法?


其实,这个团队早就已经解散了。团队领导者很早之前就”退休”了。然后有人(Tessa)就开始未经允许的出售数据。团队中大部分其他成员都去做其他事情了,而且很多都不再联系。所以即使他出售数据也不会有什么后果。对我个人来说,很早之前我就想加入这个行列并且贩卖数据赚钱了。



——为什么这个团队最开始没有贩卖收集到的所有数据?


如果数据公开就没有什么价值了。我们有自己的用途,其他买家也有他们自己的意图。并且买家希望这些数据尽可能保持隐秘,所以很多数据库就没有公开,而且一直隐蔽地使用了好几年。

——你所谓的“自己的用途”是什么?如果你秘密交易这些数据你又如何能赚到更多的钱?

好吧,最主要的用途是兜售信息。对于那些寻求特定目标的私人买家来说,我们当然能赚到很多钱。同样的,密码重复使用显然使得那些高调侵入别人账户的人成了近日头条。因为许多人并不会在不同的平台设置不同的密码,这就导致了你的Netflix, Paypal, Amazon等等的用户数据可以被成批出售。



——在你还没有开始贩卖整个数据资料库之前,你想对那些秘密贩卖LinkedIn部分数据库的同伴说什么?


我认为公开那些信息并不会使我获得最大的利益。无论如何,对我自己而言,在公开交易中,我用LinkedIn的数据赚了15000美刀。



——那MySpace和Tumblr的数据价值多少呢?


两者很接近,差不多20000美刀。



——也就是说,他们中的每个都是10000美刀?


Myspace要更多一点。Tumblr的数据较少一点...... 但Myspace赚得更多也是由于Tumblr的密码使用了哈希加盐的方式进行加密。




——Myspace也是哈希加密的,不是吗?但没有加盐?


是的,它是哈希加密的,没有加盐。




——Fling的数据价值多少?


差不多是1200美刀,记不太清确切数字了。




——你还有没有一些尚未拿出来交易的数据库?


是的,大约还有10亿用户信息,同样也是2012-2013年的。




——来源于哪些服务?


主要是社交媒体和电子邮箱。



——我的意思是,哪个网站?能不能具体说一点?


好吧,我现在不能说。我不想让那些公司有所准备,让用户重置密码。



——你打算什么时候交易剩下的数据?


这一周的某个时间吧。我会每周交易一件。



——你们手中一共有多少个网站数据?


唔......超过1亿用户的有7个。如果我缩小用户数值统计的话,2000万、6000万等等,另有五个。



——你和你的团队是如何入侵这些网站的?


好吧,那取决于这些企业和执法机关发现的时间。



——你为什么同意接受采访与我交流,希望没有冒犯到你?


没有,好吧,我是觉得MySpace、Tumblr和领英的这群人太特么搞笑了,他们还威胁说要跟执法部门合作来进行调查。那我就给他们一点线索,让他们觉得能抓到我什么的。



——你觉得你能逃避法律的制裁吗?


哈哈,你说呢,这就是我的强项。



——你说你至今已经交易的差不多25000美刀而且有很大的风险。


那是对外宣称的。而且不到一个月交易额就达到了25000美刀。对我来说没什么风险,因为他们无能为力。我说过,差不多一个月就可以轻而易举的获得大量现金,足够买一辆好车了。



——你这么自信不会被抓是因为你在俄罗斯吗?难道俄罗斯警方不会偶尔引渡黑客吗?超过10亿密码足够引起社会关注了。


好吧,这就有点复杂了,不过到时会我自有妙计脱身。



——你的名字”Peace_of_mind”是怎么来的?


其实它就是和平的意思,不过是我从”RealDeal”暗网市场上得来的。我就是突然想到的,真的,没什么特别的。



——为什么用”Peace”?

[没有回答]



——你能证明你真的有来自12个网站的10亿多密码并且准备贩卖吗?读者们表示很怀疑。


呵呵,让他们在接下来的一两周内去邮箱查收密码重置邮件吧。

访谈纪实,可在i春秋学院查看视频素材:《地下交易,账号密码只卖1分钱》

雷锋网注:本文首发雷锋网,转载请联系我们授权,并保留出处和作者,不得修改文章。

雷锋网原创文章,未经授权禁止转载。详情见转载须知

分享:
相关文章

文章点评:

表情

专栏作者

书读三五卷,心怀天地宽。 我才不会告诉你我是i春秋的。
当月热门文章
最新文章
请填写申请人资料
姓名
电话
邮箱
微信号
作品链接
个人简介
为了您的账户安全,请验证邮箱
您的邮箱还未验证,完成可获20积分哟!
请验证您的邮箱
立即验证
完善账号信息
您的账号已经绑定,现在您可以设置密码以方便用邮箱登录
立即设置 以后再说