信息周刊:待价而沽“黑客经济”揭秘

　　零售商TJX公司近日表示，该公司于去年12月发现，其用于存储信用卡、借记卡、支票以及退货交易数据的计算机系统被黑客攻破。但维萨国际组织(Visa)的安全官员称，他们发现，自去年11月中旬以来，针对与TJX资产相关的信用卡和借记卡的欺诈行为与日俱增，其中包括该公司旗下的T.J.Mazz、Marshalls和HomeGoods等商店。这意味着被盗的消费者数据很可能已在互联网上传播，并在黑市网站和聊天室中待价而沽，而且为时至少已有2个月的时间了。

　　虽然独立黑客依然存在(请原谅，在此我们仍然以外行的眼光来看待黑客)。但美国联邦调查局(FBI)在形形色色的黑客社区中发现了货真价实的有组织犯罪，特别是在东欧，该局仅次于反恐和情报的第三大部门——网络犯罪科的特别情报人员克里斯·斯汤戈尔(Chris Stangl)指出，“在那个世界中，你会发现专职攻击计算机系统的黑客、收集数据的人以及靠倒卖数据赚钱的人。”“黑客经济”的花招也在不断创新。

　　恶意软件已成“大气候”

　　黑客经济中的重要社区是诸如病毒、蠕虫和特洛伊木马(木马查杀软件下载)程序等恶意软件。正是这些臭名昭著的漏洞攻击给黑客提供了长驱直入企业系统的“入场券”。

　　互联网安全系统公司(Internet Security Systems)在最近发布的一份报告中警告说，“漏洞攻击服务”(Exploits-as-a-Service)产业正在“蓬勃”兴起，这一产业甚至具备了与计算机行业的合法生产渠道近似的庞杂的制造和分销网络。该报告指出，“管理漏洞攻击提供商开始秘密收购漏洞攻击代码，然后对之进行加密，以防止盗版，再以天价卖给垃圾邮件销售商。”

　　与任何市场经济一样，多数贵重物品都价值不菲。去年12月，有人发现，微软公司(Microsoft，下称微软)最近发布的Windows Vista操作系统中的一个漏洞在罗马尼亚的一个网络论坛上被标以5万美元的高价，安全厂商趋势科技公司(Trend Micro)的首席技术官(CTO)莱蒙德·吉恩(Raimund Genes)分析道。他还称，2005年，恶意软件业的收入甚至超过了合法信息安全厂商260亿美元的营收额。

　　如此的大笔收入自然也吸引着重量级的犯罪。零时间漏洞攻击(Zero-Day Exploit)是指一旦漏洞被发现后，黑客抢在厂商发布相应的补丁软件之前，即利用安全漏洞实施攻击。吉恩还透露说，去年，零时间漏洞攻击的售价已高达每个漏洞2万~3万美元。