文章来自于：科学松鼠会-小红猪小分队 http://songshuhui.net/archives/14426.html
原文链接：http://www.newscientist.com/article/mg20227091.400-how-much-is-your-identity-worth.html
被窃取的银行账户信息、信用卡号和邮箱密码正以令人吃惊的数量在互联网上交易，Jim Giles拜访了虚拟世界中的阴暗面。
我很好奇。今年的早些时候银行寄给我一张新的信用卡，而我并没有要求他们这么做，银行又没有详细向我解释原因，就只含糊的提到是为了“安全”方面的问题。
我仍然不知道为什么我的卡被换掉了，但是我的直觉告诉我：总部位于新泽西的叫做Heartland Payment Systems的公司有大量的信息被拦劫了。Heartland在零售商和信用卡公司之间扮演了中间人的角色，它每月要进行约100 million笔交易。据信，一群黑客在2008年3月的某个时点突破了公司的防火墙。他们安装了某种软件，在大约四个月的时间里秘密地把借记卡和信用卡交易明细传输到了某外部计算机上。看起来很可能成千上万的银半夜凉初透行卡都被盗了。
像很多其他人一样，我最初没能理解关于Heartland的新闻意味着什么——可能是因为它是在奥巴马就职那天公布的。但是我迟到的发现使我开始想象如果我的信用卡信息被窃取了，那将会发生什么。所以我致电了总部位于伊利诺斯州Burr Ridge的网络安全公司Team Cymru。几周之后，计算机犯罪专家Steve Santorelli 和 Levi Gundert带我进入了一个蔓延的犯罪世界，它是如此巨大和无处不在以至于已经没有人能够控制它了。
（图片略） *所有交易者的姓名都被换掉了，一些消息也确定呗更改过。
加入这个黑瑞脑消金兽社会让人吃惊得容易。它由在线聊天室和论坛组成交易网络。在那些聊天室和论坛中，窃取的信息被公开交易，还有实施各种网络花招所需的软件现货供应。加拿大Calgary的安全公司Symantec的Dean Turner说，“这是一项价值上亿美元的生意。它组织得非常好。犯罪需要的任何东西都可以买得到。”
事情不是一直是这样的。早期黑客犯罪需要很高的技术水平。但是有组织的犯罪加入进来了，黑市也变成了一个任何人只要花钱就可以实施网络犯罪的服务行业。Santorelli 和 Gundert刚把我加入一个聊天室，消息就开始出现了。
<cinch>
我最近刚黑了英国的cvv2。（I got fresh hacked UK cvv2’s）
我的向导们向我解释道，这句话的意思是一个代号“cinch”的黑客正在出售他窃取的英国信用卡信息。“CVV2”的意思是他或她掌握了信用卡卡号、有效日期、账单地址和卡背面的三位安全码——也就是说，所有你在大多数购物网站上进行交易所需的信息。买这些需花费50美分到12美元不等，具体数额取决于卡的信用额度、地区和你购买的数量。
Gundert说cinch或者他的助手可能黑了某购物网站或者像Heartland这样的中间商。购物网站一般都会采取严密的电子防护措施，但是黑客让人恐怖的擅于在他们的防护中寻找和开发漏洞。一旦被黑客侵入，他们就能挖出信用卡信息并卖掉它们。而购物网站可能永远不会知道它的防护措施已经被攻破了。
Symantec估计三分之一的地下交易都是关于各种类型的信用卡信息的（参见39页）。当我正和Santorelli和Gundert说话的时候，一个新的，更加危险的消息出现了：
<loopz>
英国、美国Dump Track 1 Track 2
Loopz出售“dumps”——CVV2和信用卡磁条或者很多欧洲信用卡采用的集成电路中含有的信息（它们分别被称作Track 1和Track 2）。
Dumps更加有价值。知道这些信息之后，罪犯就可以复制信用卡并几乎可在任何地方进行消费。卡复制设备卖20000-30000美元不等，但是可以从合法的途径购得。如果这个对于买家来说投资过于巨大，他们可以把信息电邮给专门复制信用卡的罪犯——由他们来进行复制并且把信用卡邮寄给买家，每张卡仅需几美元。
我给loopz发了一个消息，询问价格和数量。几分钟之后我就收到了回复：他有10个dump，每个15美元。
对于这些可能变现上千美元的信息来说，这个价格低得有点可笑了。在过去的几个月中，loopz可能已经这么疑惑过好多次了。但是这个市场和别的市场一样，都是由供给和需求共同组成的，而且目前价格大幅下降了。我们不大可能找出这个现象出现的确切原因，但是它应该不是由经济不景气造成的：Turner说，信用卡诈骗正是一桩证明经济衰退的生意。Santorelli猜测是因为市场由于从Heartland偷来的信息大量涌入而饱和了。
但是，和别的交易一样，买方仍然需要提高警惕。跟loopz交易的那个人很可能最后什么也得不到。Santorelli说聊天室中9/10的交易者都是“rippers”——也就是那些拿了钱然后跑路的诈骗高手。为了避免这种现象的出现，很多聊天室运营者都加入了等级系统，而这些系统跟你在eBay或者Amazon上看到的并无二致。聊天室中的340人里面大多数都跟loopz一样是没有等级的，但是有一小部分人的名字旁边有带颜色的点，这些点表示他们在以前的交易中获得了某种信用等级：随着交易者声誉的增加，点的颜色会从黄色到绿色再到蓝色最后变成红色。我想这就所谓盗贼的荣誉吧。
聊天室里有少数几个“诚信”卖家，其中有一个叫netter的——他名字旁边的点是蓝色的。
“一些聊天室给交易者划分了信用等级，我想这就所谓盗贼的荣誉。”
<netter>
出售美国Fulls Cvv2
Info+SSN MMN DOB 每套8美元
这条消息透露了netter的盗贼本质——不管他的信用等级有多高。“Fulls”是一句黑话，意思是包括信用卡信息和其他个人信息（SSN指社会保险号码，MMN指母亲的娘家姓，DOB指生日）在内的一系列信息。罪犯能使用这些信息申请信用卡提现或者在银行开户来洗黑钱。
像Heartland那样的零售系统通常不存储个人信息，但是黑客们发现骗人们交出他们的个人信息是如此容易。Gundert说“基本可以确定Netter这些信息是钓鱼钓来的。”他指的是黑客们使用的一种骗东篱把酒黄昏后局。在这种骗东篱把酒黄昏后局中，黑客通过把用户链接到与银行网页几乎相同的网站上而诱使他们透露出个人信息——就像netter出售的那些一样。
钓鱼听起来好像很复杂——五年前也确实是这样——但是和普通电子商务一样，黑客经济也已经成熟了。现在没有专业知识的罪犯只要肯花钱也都能钓鱼了。我就看到了好几个“钓鱼套装现货供应”的广告，还有一些提供被黑了的服务器端口（这需要钓鱼者自己维护他们的钓鱼网站）。另外还有一些hawking scanners——在网络上漫游，寻找服务器防火墙漏洞的软件——出售。如果想要，还能买到email登录信息，以占用别人的网络空间，但是很少人会这么做。（I could also have bought hacked email logins, which can be used to squat on the web space that comes free with most internet accounts but which few people use.我想这句的意思大概是因为有很多网站都是用邮箱登录的，所以知道别人的邮箱登录信息之后就可以随意登录他的这些页面——例如饭否- -| 虽然这个是中国特色吧，但是不知道咋说>_<）
钓鱼不是唯一的窃取登录账号、密码的方式。黑客们还能偷偷摸摸的在你的电脑上安装盗号木马，一般这种木马都是通过电子邮件附件的形式传播的。你收到的是一封看起来很像是某个朋友发来的邮件，但是一旦你打开附件，盗号木马就会自动安装到你的电脑上，它会监视你的键盘动作，并把这些信息传递到某台远程计算机上——这台计算机就被称作“dropzone”。（未完待续）
