拿病毒勒索算啥,这还有更绝的

2017.09.16

自 2 个月前,WannaCry 出现,勒索病毒给全球网络带来的破坏就没消停。前一阵子,PetyaWrap,一个 WannaCry 的变种病毒,又传播开来。至此,骇客们给全球经济带来的损失至少已有数十亿美元。

在线勒索已是一种商业模式

从勒索病毒这个称呼不难看出,这些病毒有着共同的特征:它们都会通过「掠走」别人的东西(硬盘上的资料),继而索要赎金。如果被索者不给,被「掠走」的资料就会被「撕票」,以至再无法找回。
总结来说,病毒之所以能勒索,是因为满足了以下 4 个条件:

  1. 在你非自愿情况下占有你的信息
  2. 你认为被「掠走」的信息是重要的
  3. 销毁资料可以构成威胁(因为你没有其他备份)
  4. 最终能让骇客获得利益

这些正是在线勒索的商业模式得以成立的基本条件
此外,这次勒索病毒还表现出了许多病毒都有的特性——无差别地展开攻击。它们并不会顾虑这是谁的电脑,以至于 WannaCry 出现之后,英国就有 16 家医院中招。甚至,其后继者 PetyaWrap 更是连乌克兰副总理都没放过。所以可以说,这类病毒的攻击亦是一种恐怖主义行为

但云服务削弱了勒索的影响

前面说到了,勒索病毒要想拿到「赎金」,必须满足「你认为被掠走的信息是重要的」这个前提。换而言之,你需要认可交「赎金」相较资料丢失是划算的(毕竟没法跟骇客一对一砍价)。
现实证明,并没有那么多人符合这个条件。据 CNBC 报道,截至 WannaCry 爆发第 3 天,既「赎金」翻倍前夕,转给勒索者的比特币价值不过 5 万美元。彼时,该病毒已经造成了价值数十亿美金的破坏。
其实,对于普通用户而言,硬盘资料价值的衰减早就开始了
随着智能手机,和包括社交网络在内的云服务的普及,相当多个人照片、视频、文档都即时转移到了云端。作为消费品的音乐、电影更是可以直接在线播放,连播放列表都无需保存在本地。
这里并不是说用户自己保管的数据不重要了。我身边就有好几人经历过 iPhone 被骇客远程锁死,而后被索要解锁钱的情况。1由于向苹果申诉解锁遥遥无期,有的拖上两个月也得不到官方解决,许多不愿交「赎金」者最后只得选择花费数百元求助于「万能的淘宝」。2
但这笔花费所要换回的,已不仅限于手机上的数据,还包括价值数千元手机的使用权。可谓是软、硬件捆绑才能卖得上这好价钱。

注意力经济下,你的目光更容易遭到勒索

虽然在云服务影响下,希捷和西数这类全球硬盘巨头生意低迷,频频裁员,但另一方面,注意力经济却高速发展。以美国移动广告产业为例,其 10 年来复合年增长率竟达 87%,至 2016 年已有 366 亿美元的市场规模。
如今,相当多的互联网公司也都是围绕用户注意力做文章。Google、Facebook、百度、阿里巴巴这些大公司是如此;微信自媒体,直播网红亦然。

黑色产业自然不会错过这次机会。常见报端的「呼死你」就是最典型的例子。
据人民网资料,这类软件始于2003 年广州等地城管威慑「城市牛皮癣」的需要——如果「牛皮癣」制造者不缴罚款,电话就会遭受不间断地拨叫。但到了 2008 年,另据《广州日报》报道,这类软件已泛滥于不法分子间,并用于敲诈勒索。他们甚至同样承诺,付了钱,骚扰就会罢休。另外,一些淘宝卖家也用此来威胁用户,要求修改差评。3
尽管曾出现过不法之徒把电话呼叫转移到 110 上的事件,并对警方造成了干扰,但是至今一些地区的城管仍在用这种方式执法。敲诈勒索者当然也不会收手。
从「呼死你」的勒索模式来看,它同样满足了前面说到的 4 个条件:

  1. 在你非自愿情况下,占据你的注意力
  2. 你认为你的注意力非常重要
  3. 持续地骚扰可毁掉你在手机上花费的注意力
  4. 勒索者能获得收益,即便有时勒索金额不过 50 元4

可运用以上 4 点赚钱的不只是「呼死你」,还有苹果设备的 iMessage、日历、相册。
由于苹果产品机制的问题,知道你 iCloud 邮箱的人均可向你的发送消息、共享日程及相册。这一点也被不法者利用来群发垃圾信息,譬如线上赌场的广告。5
不过,仅群发垃圾信息还构不成勒索。除非发布者主动声称,在你注册赌场账号后,此类消息就会停止。

有些我们司空见惯的勒索,要的不是钱

相比要钱的勒索病毒和「呼死你」,其他一些勒索方式虽有广泛的影响,但还没有得到人们的重视。

社交关系勒索:不投票就踢出群

据成都商报报道,前一阵子,成都一男子就因反对拉票,被人踢出了毕业十年多年后才建立的高中微信群。这个事件中,绑架对象就是高中同学的社交关系,而「赎金」仅是在微信里投票而已。
当然,被踢出也意味着这次勒索并没有成功。“只是为了微信投票的同学群,不进也罢“该男子说。看来,这个社交圈还没重要到不可替代的地步。
然而,基于社交关系勒索的基石正愈发牢固。随着越来越多的人把线上社交关系都转移到微信通讯录,而不「备份」其他的通讯方式,面对勒索,也只能任人宰割了。
换个角度看,在线社交领域的垄断企业同样可以利用这一点牟利。比如,它可以限制你和高频聊天对象的通讯次数,除非你为此付费。由于社交关系是你主动交给 App 的,所以这甚至算不上勒索,而只是增值服务而已。这就是垄断的力量,我们也只能但愿这一天不会到来。

道德绑架:「不转发,死全家」

诸如「不XX,不是中国人」,「不XX,死全家」这类带有诅咒性质的话,并不是随社交网络诞生才出现的新鲜事物。
但的确是社交网络放大了诅咒的施加范围。尤其是数以亿计的中老年,都是从微信才开始「触网」。其中许多人对诅咒内容缺乏免疫力也不难怪。
另一方面,社交网络还为诅咒的传播提供了动力。因为伴随诅咒的传播,「做号者」的图文消息阅读量也会提到提升,进而令其赚得更多广告收入成为可能。
也正因为如此,在线勒索商业模式的第 4 个条件,才得以成立了。

还有一些被包容的「勒索」

根据前文的例子,我们可以总结到:

  • 寻找重要的信息,可提升勒索的价值
  • 寻找稀缺的信息,可提升勒索成功的概率
  • 有一个安全的收账方式,可保障勒索持续进行下去

但只做到这三点,并不意味着它就是在勒索。因为有些信息根本是我们主动交给「勒索者」的。
比如,某些招聘平台会向求职者发送「有公司看过你简历」的通知。但求除非求职者交上一笔费用,否则就无法看到公司的名字以及更详细的资料,甚至不能确定这个「看过你简历」的公司是否真实存在。
这一方法对于社交网站/相亲网站也同样适用。QQ 空间会员就是最典型的例子。如果你不订阅所谓的黄钻服务,就无法确定到访者到底是不是自己在意的那个人。
此外,某些招聘平台还会根据你的个人数据,向你提供付费版的「竞争力报告」。这有点像同时给一大群人做免费体检,然后说「要想看报告得交钱」一样。

不管怎么说,互联网已让「勒索」也成为一件需要烧智商的事。想不动脑子就能赚钱,只会变得越来越困难了。


  1. 通常是因为邮箱服务商被黑后, iCloud 账号密码随即被撞库获取所导致。  

  2. 我曾就此事咨询过手机维修行业的一位资深人士。据他透露,这类订单幕后还是交由苹果「内部人士」解锁的。我很难不怀疑,从勒索开始实施到淘宝店家「完美解锁」,整个过程不是一个完整的产业链在运作。  

  3. 这个过程倒是和 WannaCry 的出现有些类似。该病毒利用的漏洞,最初就是从美国国家安全局的武器库中流出的。  

  4. 在政府大力推行诸如电话卡、电子支付等实名制的情况下,骇客们想安全获取和转移赃款越来越不容易。这也是 WannaCry 要求中招者用比特币作「赎金」的原因——这种电子货币能做到完全匿名。  

  5. 奇怪的是,今年五月后我再没收到过此类消息。可能是苹果增强了拦截机制也说不定。  

Comments
Write a Comment