暗网地下交易：你的密码只值一分钱

fairgrant

过去的两周里，互联网世界的安全团队几乎都陷入泥淖。几乎每一天，都有数以亿万计的被窃取的用户信息资料出现在暗网上，从主要的互联网企业那里流出的数据售价仅为几个比特币的价值（每个约400美元）。每个销售底货背后都有一个共同的名字：Peace_of_mind。

Peace_of_mind 或者称之为Peace，在暗网的黑市TheRealDeal上贩卖数据。他（或者是她）的评价页面基本上是百分之百的满意度，买家给的反馈能达到A+++，买家提出的问题也能迅速得到反馈。在Peace日益庞大的数据商品中，包括1亿6700万LinkedIn用户账号，3亿6000万MySpace用户账号，6800万Tumblr用户账号，以及来自俄罗斯社交媒体平台 VK.com的1亿账号，加上最近曝出的7100万Twitter账号，总计超过8亿，并且这个数字还在持续增长中。

Peace获取数据的渠道目前尚不清楚。这些数据大部分都是来自之前2012年的数据泄露，但是后果已经非常严重,可能是因为很多受害者在不同网站使用相同的密码。黑客还入侵了扎克伯格，Twitter创始人Ev Williams和众多名人的Twitter账户，甚至还有歌手德雷克和凯特佩里,可能还存在更多不为人知的攻击。事实上，这些数据泄露覆盖范围非常广泛，几乎每一个生活在数字世界中的人都会或多或少受到影响。

这周早些时候, Wired杂志通过暗网的RealDeal市场交易系统联系到了名为“Peace”的黑客，并且以加密的匿名通讯方式对他进行了采访。几乎Peace所说的所有言论都无法得到证实。我们暂且就把这些言论当做是一个隐秘的、匿名的、可恶的犯罪黑客的未经证实的陈述吧。以下是我们6月6日进行采访时的对话，为了更清晰地向大家展示，我们进行了一些编辑。

以下内容来自WIRED对Peace的采访实录，整理如下：

——我的第一个问题是：所有的这些网站平台的用户凭证，你是如何得手？

好吧，这些用户凭证都已经被俄罗斯的一个团队黑过了。其中的一部分工作是由我完成的，剩下的是其他人干的。

——你自己是俄罗斯人吗？

是的。

——你能告诉我你在哪个地区吗？

在这个仍在密切调查的节骨眼儿，我不会说。

——你的团队叫什么名字？

抱歉，现在我不能给出这样的细节信息。

——表面上看，你所贩卖的数据都是一些旧的数据。（当然很明显这些对黑客来说仍然很有价值。）例如， Linkedin的数据是2012年的，MySpace的数据看来也是2013年的。那么你们一直掌握着这些数据却直到现在才仅仅贩卖它们，是为什么呢？

好吧，这些数据是被整个团队所共享的，并且有我们自己的用途。这段时间，一些成员开始把这些数据贩卖给别人，买家是经过我们挑选的，并非在公共论坛上随机交易之类的，而是那些将数据用于自身目的并且不会进行转卖的买家。这样经过很长一段时间后，个别拥有这些数据的人开始公开批量地贩卖数据了。（如10万用户信息售价100美刀等。）当我看到这个情形，我决定自己也要赚点外快，并且开始公开交易了。

——所以你是脱离团队自己一个人来出售数据的吗?你这么做他们有没有什么想法?

其实，这个团队早就已经解散了。团队领导者很早之前就”退休”了。然后有人(Tessa)就开始未经允许的出售数据。团队中大部分其他成员都去做其他事情了，而且很多都不再联系。所以即使他出售数据也不会有什么后果。对我个人来说，很早之前我就想加入这个行列并且贩卖数据赚钱了。

——为什么这个团队最开始没有贩卖收集到的所有数据?

如果数据公开就没有什么价值了。我们有自己的用途，其他买家也有他们自己的意图。并且买家希望这些数据尽可能保持隐秘，所以很多数据库就没有公开，而且一直隐蔽地使用了好几年。

——你所谓的“自己的用途”是什么？如果你秘密交易这些数据你又如何能赚到更多的钱？

好吧，最主要的用途是兜售信息。对于那些寻求特定目标的私人买家来说，我们当然能赚到很多钱。同样的，密码重复使用显然使得那些高调侵入别人账户的人成了近日头条。因为许多人并不会在不同的平台设置不同的密码，这就导致了你的Netflix, Paypal, Amazon等等的用户数据可以被成批出售。

——在你还没有开始贩卖整个数据资料库之前，你想对那些秘密贩卖LinkedIn部分数据库的同伴说什么？

我认为公开那些信息并不会使我获得最大的利益。无论如何，对我自己而言，在公开交易中，我用LinkedIn的数据赚了15000美刀。

——那MySpace和Tumblr的数据价值多少呢？

两者很接近，差不多20000美刀。

——也就是说，他们中的每个都是10000美刀？

Myspace要更多一点。Tumblr的数据较少一点...... 但Myspace赚得更多也是由于Tumblr的密码使用了哈希加盐的方式进行加密。

——Myspace也是哈希加密的，不是吗？但没有加盐？

是的，它是哈希加密的，没有加盐。

——Fling的数据价值多少？

差不多是1200美刀，记不太清确切数字了。

——你还有没有一些尚未拿出来交易的数据库？

是的，大约还有10亿用户信息，同样也是2012-2013年的。

——来源于哪些服务？

主要是社交媒体和电子邮箱。

——我的意思是，哪个网站？能不能具体说一点？

好吧，我现在不能说。我不想让那些公司有所准备，让用户重置密码。

——你打算什么时候交易剩下的数据？

这一周的某个时间吧。我会每周交易一件。

——你们手中一共有多少个网站数据？

唔......超过1亿用户的有7个。如果我缩小用户数值统计的话，2000万、6000万等等，另有五个。

——你和你的团队是如何入侵这些网站的？

好吧，那取决于这些企业和执法机关发现的时间。

——你为什么同意接受采访与我交流，希望没有冒犯到你?

没有，好吧，我是觉得MySpace、Tumblr和领英的这群人太特么搞笑了，他们还威胁说要跟执法部门合作来进行调查。那我就给他们一点线索，让他们觉得能抓到我什么的。

——你觉得你能逃避法律的制裁吗?

哈哈，你说呢，这就是我的强项。

——你说你至今已经交易的差不多25000美刀而且有很大的风险。

那是对外宣称的。而且不到一个月交易额就达到了25000美刀。对我来说没什么风险，因为他们无能为力。我说过，差不多一个月就可以轻而易举的获得大量现金，足够买一辆好车了。

——你这么自信不会被抓是因为你在俄罗斯吗？难道俄罗斯警方不会偶尔引渡黑客吗？超过10亿密码足够引起社会关注了。

好吧，这就有点复杂了，不过到时会我自有妙计脱身。

——你的名字”Peace_of_mind”是怎么来的?

其实它就是和平的意思，不过是我从”RealDeal”暗网市场上得来的。我就是突然想到的，真的，没什么特别的。

——为什么用”Peace”?

[没有回答]

——你能证明你真的有来自12个网站的10亿多密码并且准备贩卖吗?读者们表示很怀疑。

呵呵，让他们在接下来的一两周内去邮箱查收密码重置邮件吧。

利刃小组-陌子熙

哎，网络安全，现在网络不安全了