4
雷鋒網按：本文由i春秋論壇網友風語者字幕組原創翻譯自Wired雜志，授權雷鋒網首發。
過去的兩周里，互聯網世界的安全團隊幾乎都陷入泥淖。幾乎每一天，都有數以億萬計的被竊取的用戶信息資料出現在暗網上，從主要的互聯網企業那里流出的數據售價僅為幾個比特幣的價值（每個約400美元）。每個銷售底貨背后都有一個共同的名字：Peace_of_mind。
Peace_of_mind 或者稱之為Peace，在暗網的黑市TheRealDeal上販賣數據。他（或者是她）的評價頁面基本上是百分之百的滿意度，買家給的反饋能達到A+++，買家提出的問題也能迅速得到反饋。在Peace日益龐大的數據商品中，包括1億6700萬LinkedIn用戶賬號，3億6000萬MySpace用戶賬號，6800萬Tumblr用戶賬號，以及來自俄羅斯社交媒體平臺 VK.com的1億賬號，加上最近曝出的7100萬Twitter賬號，總計超過8億，并且這個數字還在持續增長中。
Peace獲取數據的渠道目前尚不清楚。這些數據大部分都是來自之前2012年的數據泄露，但是后果已經非常嚴重,可能是因為很多受害者在不同網站使用相同的密碼。黑客還入侵了扎克伯格，Twitter創始人Ev Williams和眾多名人的Twitter賬戶，甚至還有歌手德雷克和凱特佩里,可能還存在更多不為人知的攻擊。事實上，這些數據泄露覆蓋范圍非常廣泛，幾乎每一個生活在數字世界中的人都會或多或少受到影響。
這周早些時候, Wired雜志通過暗網的RealDeal市場交易系統聯系到了名為“Peace”的黑客，并且以加密的匿名通訊方式對他進行了采訪。幾乎Peace所說的所有言論都無法得到證實。我們暫且就把這些言論當做是一個隱秘的、匿名的、可惡的犯罪黑客的未經證實的陳述吧。以下是我們6月6日進行采訪時的對話，為了更清晰地向大家展示，我們進行了一些編輯。
以下內容來自WIRED對Peace的采訪實錄，整理如下：
——我的第一個問題是：所有的這些網站平臺的用戶憑證，你是如何得手？
好吧，這些用戶憑證都已經被俄羅斯的一個團隊黑過了。其中的一部分工作是由我完成的，剩下的是其他人干的。
——你自己是俄羅斯人嗎？
是的。
——你能告訴我你在哪個地區嗎？
在這個仍在密切調查的節骨眼兒，我不會說。
——你的團隊叫什么名字？
抱歉，現在我不能給出這樣的細節信息。
——表面上看，你所販賣的數據都是一些舊的數據。（當然很明顯這些對黑客來說仍然很有價值。）例如， Linkedin的數據是2012年的，MySpace的數據看來也是2013年的。那么你們一直掌握著這些數據卻直到現在才僅僅販賣它們，是為什么呢？
好吧，這些數據是被整個團隊所共享的，并且有我們自己的用途。這段時間，一些成員開始把這些數據販賣給別人，買家是經過我們挑選的，并非在公共論壇上隨機交易之類的，而是那些將數據用于自身目的并且不會進行轉賣的買家。這樣經過很長一段時間后，個別擁有這些數據的人開始公開批量地販賣數據了。（如10萬用戶信息售價100美刀等。）當我看到這個情形，我決定自己也要賺點外快，并且開始公開交易了。
——所以你是脫離團隊自己一個人來出售數據的嗎?你這么做他們有沒有什么想法?
其實，這個團隊早就已經解散了。團隊領導者很早之前就”退休”了。然后有人(Tessa)就開始未經允許的出售數據。團隊中大部分其他成員都去做其他事情了，而且很多都不再聯系。所以即使他出售數據也不會有什么后果。對我個人來說，很早之前我就想加入這個行列并且販賣數據賺錢了。
——為什么這個團隊最開始沒有販賣收集到的所有數據?
如果數據公開就沒有什么價值了。我們有自己的用途，其他買家也有他們自己的意圖。并且買家希望這些數據盡可能保持隱秘，所以很多數據庫就沒有公開，而且一直隱蔽地使用了好幾年。
——你所謂的“自己的用途”是什么？如果你秘密交易這些數據你又如何能賺到更多的錢？
好吧，最主要的用途是兜售信息。對于那些尋求特定目標的私人買家來說，我們當然能賺到很多錢。同樣的，密碼重復使用顯然使得那些高調侵入別人賬戶的人成了近日頭條。因為許多人并不會在不同的平臺設置不同的密碼，這就導致了你的Netflix, Paypal, Amazon等等的用戶數據可以被成批出售。
——在你還沒有開始販賣整個數據資料庫之前，你想對那些秘密販賣LinkedIn部分數據庫的同伴說什么？
我認為公開那些信息并不會使我獲得最大的利益。無論如何，對我自己而言，在公開交易中，我用LinkedIn的數據賺了15000美刀。
——那MySpace和Tumblr的數據價值多少呢？
兩者很接近，差不多20000美刀。
——也就是說，他們中的每個都是10000美刀？
Myspace要更多一點。Tumblr的數據較少一點...... 但Myspace賺得更多也是由于Tumblr的密碼使用了哈希加鹽的方式進行加密。
——Myspace也是哈希加密的，不是嗎？但沒有加鹽？
是的，它是哈希加密的，沒有加鹽。
——Fling的數據價值多少？
差不多是1200美刀，記不太清確切數字了。
——你還有沒有一些尚未拿出來交易的數據庫？
是的，大約還有10億用戶信息，同樣也是2012-2013年的。
——來源于哪些服務？
主要是社交媒體和電子郵箱。
——我的意思是，哪個網站？能不能具體說一點？
好吧，我現在不能說。我不想讓那些公司有所準備，讓用戶重置密碼。
——你打算什么時候交易剩下的數據？
這一周的某個時間吧。我會每周交易一件。
——你們手中一共有多少個網站數據？
唔......超過1億用戶的有7個。如果我縮小用戶數值統計的話，2000萬、6000萬等等，另有五個。
——你和你的團隊是如何入侵這些網站的？
好吧，那取決于這些企業和執法機關發現的時間。
——你為什么同意接受采訪與我交流，希望沒有冒犯到你?
沒有，好吧，我是覺得MySpace、Tumblr和領英的這群人太特么搞笑了，他們還威脅說要跟執法部門合作來進行調查。那我就給他們一點線索，讓他們覺得能抓到我什么的。
——你覺得你能逃避法律的制裁嗎?
哈哈，你說呢，這就是我的強項。
——你說你至今已經交易的差不多25000美刀而且有很大的風險。
那是對外宣稱的。而且不到一個月交易額就達到了25000美刀。對我來說沒什么風險，因為他們無能為力。我說過，差不多一個月就可以輕而易舉的獲得大量現金，足夠買一輛好車了。
——你這么自信不會被抓是因為你在俄羅斯嗎？難道俄羅斯警方不會偶爾引渡黑客嗎？超過10億密碼足夠引起社會關注了。
好吧，這就有點復雜了，不過到時會我自有妙計脫身。
——你的名字”Peace_of_mind”是怎么來的?
其實它就是和平的意思，不過是我從”RealDeal”暗網市場上得來的。我就是突然想到的，真的，沒什么特別的。
——為什么用”Peace”?
[沒有回答]
——你能證明你真的有來自12個網站的10億多密碼并且準備販賣嗎?讀者們表示很懷疑。
呵呵，讓他們在接下來的一兩周內去郵箱查收密碼重置郵件吧。
訪談紀實，可在i春秋學院查看視頻素材：《地下交易，賬號密碼只賣1分錢》
雷鋒網注：本文首發雷鋒網，轉載請聯系我們授權，并保留出處和作者，不得修改文章。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
