新闻 创新 业界 数码 财经 电商 观点 人物 生活 综合

中国黑客隐秘江湖:顶尖高手月入千万美元

2015-08-28 13:56:05      来源:i黑马

赵伟用了一个比喻,互联网世界就像一个海洋渔场,以前用鱼叉捕鱼,现在升级为巨型捕鱼船。“成千上万的鱼落入网中,他们可能只挑选其中最肥美、最珍贵的一条,其他再放掉,就这么任性。”

对这个问题最有发言权的,恐怕是中国最顶尖的白帽黑客团队Keen。在国际安全比赛中,他们曾因30秒找到苹果手机系统漏洞而轰动世界。

Keen团队从表面上看是攻击的一方,实质是为了寻找漏洞及时修补,攻击是为了更好地防守。Keen团队已是国际上最顶尖的漏洞猎手。

Keen团队创始人王琦(绰号“大牛蛙”)说,大数据时代,明显的攻击(譬如盗刷银行卡等)将不再是主流,主流的是隐蔽性攻击。

“大数据时代,数据就是钱”,王琦说。黑客们可以从互联网中盗取各种数据,“地下社工库”就是其发展的结果。

社工库的地下暗战

社工库,传说互联网中的地下宝藏。盗取用户数据的黑客们组成了利益联盟,将各种渠道获取的数据进行汇总分析。姓名、身份证、银行卡、密码只是最基本的信息,这个地下数据库甚至能精细到征信、体检、病史、性格爱好等。这些数据可以勾勒出被盗用户的完整肖像。

互联网用户数据泄露从未消停,京东用户密码泄露,12306火车购票网站用户数据满天飞等,这些被曝光的数据只是地下社工库中的冰山一角。

只要搜索“社工库”,就能找到一些可查询泄露数据的网站。《创业家》记者将自己常用的邮箱和用户名输入,发现密码早已泄露。同时又将几个朋友的邮箱输入,也均能查到外泄密码。

互联网上的用户信息已被扫荡成什么样子,业内有句话叫“十墓九空”,可见已然千疮百孔。

近几年,中国互联网金融兴起,P2P金融遍地开花,以每天新增一两家的速度急速发展。在K眼中,这些公司都是肥肉:有钱,创业型公司,对安全没有重视。他进入这些网站,比进后花园还容易。

横扫一片,无往不利。K进入互联网金融平台的后台,将有价值信息盗取出来,专业术语叫“脱库”。

如何从浩如烟海的数据中找到价值信息,K有一项超出常人的天赋。他的实战经验丰富,对于安全人员的套路和战术,他了然于胸。他能猜出他们下一步行动,甚至能猜出管理员密码。

他曾经入侵一家互联网金融公司,在几个G的后台数据中,一分钟内准确找到了备份系统的机密文件夹。

“我猜到了管理员可能设立的文件夹名字。”就是如此可怕的直觉。

K转手将用户数据卖给勒索机构,让他们拿着数据去威胁互联网金融公司。“一旦公布数据,公司会名誉扫地,甚至面临破产,因此一般的公司都愿意掏钱,息事宁人。”

数据盗取的另一种合作方式是定制化服务。一些企业想购买竞争对手或合作伙伴的核心数据和用户资料,就会让黑客去盗取数据。

“了解黑产后,你会觉得,商业战场没有公平可言。如果你想买到对手的核心数据,只要找到靠谱的人,2万元就能搞定。”K说。

数据的沉淀,则形成了社工库。像K这样手头有大量数据的黑客,就会与一些类似的黑客们合作,将手头的数据汇总,积累越多,价值越大。

如果说互联网进入大数据时代,那么社工库就是地下非法大数据。现在整理社工库的黑客团伙,都在沉淀数据。其详尽已达到可怕的程度,可利用这些数据完整模拟出一个人。目前社工库数据的主要用途是高级金融诈骗。

未来的潜能?大数据有多大的潜能,社工库就有多大。

值得庆幸的是,这个世界像赵伟一样的人并不少。他们试图搭建起核心信息数据的安全城堡,守住网络的最后阵地。

青藤云安全的CEO张福,80后黑客。他在大学时代就表现出惊人的黑客天赋,毕业后进入盛大、昆仑万维等企业掌舵技术和业务安全部门。他是国内为数不多的,打通网络业务研发和安全体系两个领域的黑客。

2014年,张福放弃百万年薪和即将兑现的千万股票,与传奇黑客风宁一起组建了青藤云安全公司。他们正在开发一款SaaS模式的云端安全产品。这款产品的魅力之处就在于,会根据不同企业的需求,自适应构建安全体系。

某种意义上说,青藤云安全的产品也在试图扭转攻防之间的悬殊。传统互联网公司受到攻击,即便最终解决,这个经验也不会外传给别的公司,所谓“家丑不可外扬”,其封闭性是导致防守方成长缓慢的重要原因。但如果100家企业用青藤云安全产品,只要其中一家企业挡住攻击,其他家也会免受同样威胁,“攻击者批量攻击,我们是批量防御。”

安全产品升级,加固城墙、提高壁垒是一种对战方案。而蔡晶晶提供了另外一种解决途径,他派来了更多的援军。

2014年11月,工信部电子科技情报所提出,目前中国网络安全人才缺口上百万。截至2014年,中国2500多所高校中开设“信息安全专业”的只有103所,博士点、硕士点不到40个,每年培养的信息安全人才不到1万人。

早在2012年,蔡晶晶就意识到了这一点,他离开“启明星辰”自己创业,试图将“启明星辰”积累的人才培养经验推广到更多企业。他的公司推出了“e春秋”系统,专门用于企业内部的人才培养。今年6月份,他又推出了“i春秋”系统,用于培养民间安全人才。“i春秋”不仅找来业内大牛录制教学视频,还提供在线实战和比赛的竞技平台。

如果时间倒流回到19岁,蔡晶晶再次面对那位专家,他会说:“我们说得都对,安全产品需要更人性化的设计,安全人才也同等重要。”

“我到底是谁?”

K最近专注的“生意”,是攻陷国外消费网站,获取用户信用卡数据。国外信用卡消费不需密码。他倒手将黑卡卖给盗刷团伙,月入千万。

他没日没夜地加班。以前每天只“工作”4小时的生活规律完全打破。

网友评论

今日推荐
精选图文
48小时频道点击排行
Copyright @ 2008-2017 www.gxff.cn All Rights Reserved 中国创新网 版权所有 联系我们: chuangxin@sohu3.com