暗网地下交易:你的密码只值一分钱

过去的两周里,互联网世界的安全团队几乎都陷入泥淖。几乎每一天,都有数以亿万计的被窃取的用户信息资料出现在暗网上,从主要的互联网企业那里流出的数据售价仅为几个比特币的价值(每个约400美元)。每个销售底货背后都有一个共同的名字:Peace_of_mind。

Peace_of_mind 或者称之为Peace,在暗网的黑市TheRealDeal上贩卖数据。他(或者是她)的评价页面基本上是百分之百的满意度,买家给的反馈能达到A+++,买家提出的问题也能迅速得到反馈。在Peace日益庞大的数据商品中,包括1亿6700万LinkedIn用户账号,3亿6000万MySpace用户账号,6800万Tumblr用户账号,以及来自俄罗斯社交媒体平台 VK.com的1亿账号,加上最近曝出的7100万Twitter账号,总计超过8亿,并且这个数字还在持续增长中。

Peace获取数据的渠道目前尚不清楚。这些数据大部分都是来自之前2012年的数据泄露,但是后果已经非常严重,可能是因为很多受害者在不同网站使用相同的密码。黑客还入侵了扎克伯格,Twitter创始人Ev Williams和众多名人的Twitter账户,甚至还有歌手德雷克和凯特佩里,可能还存在更多不为人知的攻击。事实上,这些数据泄露覆蓋范围非常广泛,几乎每一个生活在数字世界中的人都会或多或少受到影响。

这周早些时候, Wired杂志通过暗网的RealDeal市场交易系统联系到了名为“Peace”的黑客,并且以加密的匿名通讯方式对他进行了采访。几乎Peace所说的所有言论都无法得到证实。我们暂且就把这些言论当做是一个隐秘的、匿名的、可恶的犯罪黑客的未经证实的陈述吧。以下是我们6月6日进行采访时的对话,为了更清晰地向大家展示,我们进行了一些编辑。

以下内容来自WIRED对Peace的采访实录,整理如下:

——我的第一个问题是:所有的这些网站平台的用户凭证,你是如何得手?

好吧,这些用户凭证都已经被俄罗斯的一个团队黑过了。其中的一部分工作是由我完成的,剩下的是其他人干的。

——你自己是俄罗斯人吗?

是的。

——你能告诉我你在哪个地区吗?

在这个仍在密切调查的节骨眼儿,我不会说。

——你的团队叫什么名字?

抱歉,现在我不能给出这样的细节信息。

——表面上看,你所贩卖的数据都是一些旧的数据。(当然很明显这些对黑客来说仍然很有价值。)例如, Linkedin的数据是2012年的,MySpace的数据看来也是2013年的。那么你们一直掌握着这些数据却直到现在才仅仅贩卖它们,是为什么呢?

好吧,这些数据是被整个团队所共享的,并且有我们自己的用途。这段时间,一些成员开始把这些数据贩卖给别人,买家是经过我们挑选的,并非在公共论坛上随机交易之类的,而是那些将数据用于自身目的并且不会进行转卖的买家。这样经过很长一段时间后,个别拥有这些数据的人开始公开批量地贩卖数据了。(如10万用户信息售价100美刀等。)当我看到这个情形,我决定自己也要赚点外快,并且开始公开交易了。

——所以你是脱离团队自己一个人来出售数据的吗?你这么做他们有没有什么想法?

其实,这个团队早就已经解散了。团队领导者很早之前就”退休”了。然后有人(Tessa)就开始未经允许的出售数据。团队中大部分其他成员都去做其他事情了,而且很多都不再联系。所以即使他出售数据也不会有什么后果。对我个人来说,很早之前我就想加入这个行列并且贩卖数据赚钱了。

——为什么这个团队最开始没有贩卖收集到的所有数据?

如果数据公开就没有什么价值了。我们有自己的用途,其他买家也有他们自己的意图。并且买家希望这些数据尽可能保持隐秘,所以很多数据库就没有公开,而且一直隐蔽地使用了好几年。

——你所谓的“自己的用途”是什么?如果你秘密交易这些数据你又如何能赚到更多的钱?

好吧,最主要的用途是兜售信息。对于那些寻求特定目标的私人买家来说,我们当然能赚到很多钱。同样的,密码重复使用显然使得那些高调侵入别人账户的人成了近日头条。因为许多人并不会在不同的平台设置不同的密码,这就导致了你的Netflix, Paypal, Amazon等等的用户数据可以被成批出售。

——在你还没有开始贩卖整个数据数据库之前,你想对那些秘密贩卖LinkedIn部分数据库的同伴说什么?

我认为公开那些信息并不会使我获得最大的利益。无论如何,对我自己而言,在公开交易中,我用LinkedIn的数据赚了15000美刀。

——那MySpace和Tumblr的数据价值多少呢?

两者很接近,差不多20000美刀。

——也就是说,他们中的每个都是10000美刀?

Myspace要更多一点。Tumblr的数据较少一点...... 但Myspace赚得更多也是由于Tumblr的密码使用了哈希加盐的方式进行加密。

——Myspace也是哈希加密的,不是吗?但没有加盐?

是的,它是哈希加密的,没有加盐。

——Fling的数据价值多少?

差不多是1200美刀,记不太清确切数字了。

——你还有没有一些尚未拿出来交易的数据库?

是的,大约还有10亿用户信息,同样也是2012-2013年的。

——来源于哪些服务?

主要是社交媒体和电子邮箱。

——我的意思是,哪个网站?能不能具体说一点?

好吧,我现在不能说。我不想让那些公司有所准备,让用户重置密码。

——你打算什么时候交易剩下的数据?

这一周的某个时间吧。我会每周交易一件。

——你们手中一共有多少个网站数据?

唔......超过1亿用户的有7个。如果我缩小用户数值统计的话,2000万、6000万等等,另有五个。

——你和你的团队是如何入侵这些网站的?

好吧,那取决于这些企业和执法机关发现的时间。

——你为什么同意接受采访与我交流,希望没有冒犯到你?

没有,好吧,我是觉得MySpace、Tumblr和领英的这群人太特么搞笑了,他们还威胁说要跟执法部门合作来进行调查。那我就给他们一点线索,让他们觉得能抓到我什么的。

——你觉得你能逃避法律的制裁吗?

哈哈,你说呢,这就是我的强项。

——你说你至今已经交易的差不多25000美刀而且有很大的风险。

那是对外宣称的。而且不到一个月交易额就达到了25000美刀。对我来说没什么风险,因为他们无能为力。我说过,差不多一个月就可以轻而易举的获得大量现金,足够买一辆好车了。

——你这么自信不会被抓是因为你在俄罗斯吗?难道俄罗斯警方不会偶尔引渡黑客吗?超过10亿密码足够引起社会关注了。

好吧,这就有点复杂了,不过到时会我自有妙计脱身。

——你的名字”Peace_of_mind”是怎么来的?

其实它就是和平的意思,不过是我从”RealDeal”暗网市场上得来的。我就是突然想到的,真的,没什么特别的。

——为什么用”Peace”?

[没有回答]

——你能证明你真的有来自12个网站的10亿多密码并且准备贩卖吗?读者们表示很怀疑。

呵呵,让他们在接下来的一两周内去邮箱查收密码重置邮件吧。

访谈纪实,可在i春秋学院查看视频素材:《地下交易,账号密码只卖1分钱

来源:雷锋网

未经允许不得转载:博海拾贝 » 暗网地下交易:你的密码只值一分钱