# 佈雷特·約翰遜：美國頭號通緝網路罪犯 > 曾登上頭號通緝名單的網路罪犯講述身份盜用產業的運作方式與自己後來的轉變。 - 原標題：#272 – Brett Johnson: US Most Wanted Cybercriminal - 期數：第 272 期 - 釋出日期：2022-03-27 - 嘉賓 / 主題：佈雷特·約翰遜 - 網頁版：https://lex.qiaomu.ai/tw/ep/brett-johnson/ - 官方頁面：https://lexfridman.com/brett-johnson/ - 精讀字數：約 20153 字（閱讀約 45 分鐘） > 本文為 lex.qiaomu.ai 基於原始訪談的 AI 改寫中文精讀，非官方翻譯；引用請註明出處並連結網頁版。 2006年9月的一個早上，拉斯維加斯。佈雷特·約翰遜（Brett Johnson）醒來，開啟電腦，登入 cartersmarket.com。前一天晚上他剛從 ATM 裡取走 16 萬美元。 論壇首頁掛著一條帖子，帖子裡是他的真名，旁邊寫著：美國頭號通緝。 在那個圈子裡，沒有人知道他的真名。他叫 Gollum，叫 Gollumfun。現在所有人都知道了。帖子裡還寫著他跟特勤局的關係，寫著"安康魚行動"（Operation Anglerfish）。論壇裡的反應很直接：幹掉這個狗孃養的。 他盯著螢幕看了一會兒，把心裡那句話念出聲來："約翰遜先生，你上了美國頭號通緝名單。接下來你打算幹什麼？" 然後他自己回答："我要去迪士尼世界。" 他真的去了。開著吉普從拉斯維加斯一路開到奧蘭多，買了兩張年票，一張迪士尼，一張環球影城。又用現金買下一套還沒裝修好的分時度假屋，12,900 美元，轉頭去傢俱店刷了 3 萬美元。之後的六週，他每天去迪士尼玩。 ## 十歲那年，妹妹拎著一包豬排走進門 佈雷特·約翰遜出生在東肯塔基。按他自己的說法，那地方跟德州、路易斯安那的部分地區一樣，如果你沒本事找到正經工作，那就去做騙局、做局、做欺詐，隨你怎麼稱呼。 他母親是這一行的"隊長"。這個女人偷過一臺卡特彼勒 D9 推土機，108,000 英鎊的傢伙，直接開上公路運走。她在便利店假裝滑倒，起訴店主。她還給鄰居當皮條客，一個叫黛比的鄰居需要錢，她就負責找男人，抽成。 他把母親形容成一個不斷試探的人。她要測試你能被她傷害到什麼程度，然後還會回來繼續愛她。她對每一段關係都這麼幹，對丈夫，對兩個孩子，都是如此。 > 她拿皮帶扣抽我和丹妮絲。那是我們住在一輛單寬拖車裡的時期，我們倆在床上躲，丹妮絲一腳把她踹進了衣櫃。然後丹妮絲站起來說，你打我們打到頭了。（佈雷特·約翰遜） 父親是另一種人。佈雷特說他爸爸是個好人，只是忘了自己是個好人。這個人有原則，但他太愛妻子，怕她離開，所以她要做任何事，犯罪、出軌，他都忍。有兩次他實在忍不住，第一次是佈雷特七八歲的時候，父親提出離婚，母親拿著刀架在他喉嚨上，說的是"你別想把我兒子偷走"。 然後她哭了，跑去浴室假裝割腕，把父親的注意力從剛才那把刀上引開。 佈雷特十歲那年，妹妹丹妮絲九歲，某天拎著一包豬排走進家門。他問哪來的，她說偷的。他說，教我怎麼弄。從此兄妹倆開始偷食物。偷到想要三明治的時候發現麵包塞不進褲子，於是有了更精細的方案：去 Kmart 拿一件連帽衫，剪掉吊牌，穿在身上走出去，把一條麵包塞進袖子裡。帽衫不能穿在身上塞麵包，拉鍊一拉麵包會被壓扁，也容易被看出來。 這套動作他十歲就自己推演出來了。他說，因為他已經在看父母怎麼做事。母親從來沒把這些藏起來，所有事都當著孩子的面發生，沒有關起門來的討論。 更糟的是，他身邊沒有體面人。他說自己一直到 16 歲才見到第一個體面的人，是個高中英語老師。 母親發現兄妹倆偷東西之後，沒有阻止。她加入了。她還要他把外婆也拉進來。佈雷特和丹妮絲負責偷東西、負責分散保安注意力，母親和外婆下手。 ## 電梯裡的那一拳，和一個把他當兒子的老師 15 歲那年，他被母親長期的言語虐待磨到了某個臨界點。那天他給在佛羅里達的父親打電話，本來打算搬過去跟父親住。父親告訴他，自己要結婚了，佈雷特不能來了。 他掛掉付費電話，走進一家醫院，進了電梯。一個女人同時走進來，長得極像他母親。他在電梯裡把那個女人打了一頓。門開的時候，一個保安認出了他，因為他跟保安的兒子一起打過籃球。他又把保安打倒，跑回家。 一個小時後，肯塔基州警來了。他在縣監獄待了三個月，那個縣沒有少管所，他被單獨監禁。開庭，認罪，一級傷害。法官判了已服刑期，附加一次心理評估，送他去路易斯維爾待了 30 天，然後放人。之後要求他接受心理諮詢，他一次都沒去過。 他成了縣裡的賤民。轉學第一天，同學們堵在校門口不讓他進。母親在那邊吵，他說算了，走吧。去了市裡的學校，校長說丹妮絲可以來，他不行。最後去了 15 英里外的一所鄉村高中。 第一天走進教室，把材料遞給班主任卡羅爾·科姆斯（Carol Combs）。科姆斯後來跟他說，她當時聽到這個聲音，抬頭一看，問：孩子，你演過戲嗎？ 他說沒有，但他對學術隊感興趣。科姆斯同時是戲劇組和學術隊的負責人，她開出條件：想進學術隊，得先演話劇。 他在她手下成了全州最頂尖的學術隊選手之一，當上隊長，橫掃東肯塔基各縣。有一次比賽遇到他原來的學校，對方隊長一進門就問：你們隊裡有那個約翰遜小子？科姆斯回答：那個約翰遜小子就是我們隊。 高三那年，他拿了全州最佳男演員和最佳女演員兩個獎，是州里唯一做到這一點的男生。獎學金來了好幾個，他一個都沒接。他說自己當時害怕離開。 後來在社群大學，新來的戲劇導演從加州請來了愛德華·伊曼紐爾（Edward Emmanuel），《三個忍者》（3 Ninjas）的編劇。伊曼紐爾看完他一人分飾 18 個角色的演出，當場給了聖何塞州立的獎學金，說你現在是小池塘裡的大魚，我們要把你變成大池塘裡的大魚。兩週後他開車來接佈雷特談細節，進屋 15 分鐘，出來時臉色慘白，一句話沒說就開車走了。 佈雷特後來才知道，他母親在屋裡掏出一把刀，告訴那人：我要殺了你，你別想把我兒子偷走。 這條線斷了。他徹底走進另一條路。 ## 藍豆豆、假駕照，和第一個騙他的人 為了湊結婚的錢，他偽造了一場車禍。車是在拍賣會上 500 美元買的雪佛蘭，他表弟羅尼為了讓事故看起來更真，當天去牙醫那裡拔了一顆牙，要求不打麻藥不縫合，然後帶著滿襯衫的血出現在現場。他們謊稱去山裡看望佈雷特的母親，返程時衝下山坡。保險賠了。 婚後他一邊打 60 小時工一邊上 18 學時課，還包攬做飯打掃，因為他不讓妻子幹活。撐不住，辭了工作，重新做欺詐。先是電話營銷，賣墓地，賣馬戲團票，賣慈善食品籃。他從公司偷走客戶電話名單，自己單幹，每週出去收兩次支票。某次敲開一戶人家的門，對方是執法人員。 他因欺詐盜竊在縣監獄待了三個月。 出來後回到肯塔基，住在岳父母家。岳父母有一臺惠普桌上型電腦，他上網閒逛，發現了 eBay。一開始只是在 eBay 上找賣家，用空頭支票付款，賭對方不會跨州追幾百塊錢。 真正讓他找到感覺的，是"豆豆娃"（Beanie Babies）。 某天晚上他看《內部版》（Inside Edition），節目在講一隻叫 Peanut 的寶藍色大象豆豆娃，eBay 上賣 1,500 美元。第二天他翹課，跑遍肯塔基所有的 Hallmark 門店找 Peanut。當然找不到。後來他發現有灰色的小象賣 8 美元，就買了一隻，又去 Kroger 買了包藍色 Rit 染料，回家給象染色。 染失敗了。那玩意是滌綸的，從染缸裡撈出來像長了癬。 他換了思路：上網找了一張真品照片，貼到 eBay 上，先假設有人會贏拍，然後再編故事說郵寄途中出了問題。有個女人贏了。他立刻發起社會工程攻勢，第一句話就把對方置於防守位置：我們沒做過生意，我甚至不知道能不能信你。為了保護我們雙方，請你去美國郵政買兩張匯票，總額 1,500 美元，由政府發行，這樣大家都安全。收到匯票我立刻發貨。 她照做了，一句都沒多問。 他兌現匯票，把那隻染壞的象寄了過去。電話立刻打過來。他說：女士，你訂的是一隻藍色大象，我寄給你的就是一隻藍色大象。 她一直打。他沒接。 > 我發現的規律，也是幾乎所有網路罪犯最早學到的一課：只要你把受害者拖得夠久，一直推脫，很多人會氣到甩手走人。你再也不會聽到他們的訊息。而且直到今天，這些人裡沒有一個去報警。他們嚥下去了。（佈雷特·約翰遜） 為什麼嚥下去？他拆解過：一是疲憊，流程太麻煩；二是羞恥，媒體和家人都在責怪受害者，你為什麼會點那個連結，你為什麼會給不認識的人打錢；三是不知該找誰，跨州的案子本地警察管不了，金額不夠聯邦立案，聯邦讓你找本地，本地讓你找案發地，案發地讓你本人過來一趟。 ## "所有犯罪都應該從身份盜用開始" 他繼續做，從盜版軟體做到改裝晶片。世嘉土星、PS1 要裝直讀晶片才能跑盜版盤，他就賣晶片、裝晶片。接著是有線電視機頂盒，裝了能看所有付費頻道。再往後是衛星 DSS 卡，18 英寸的 RCA 衛星接收系統，把卡拔出來重新程式設計，所有頻道全開。 轉折點來自一個加拿大法官的判決。那位法官裁定，加拿大公民盜用衛星訊號合法，理由是 RCA 不在加拿大銷售這套系統。同時 PayPal 正好興起。 一夜之間，美國出現一個小產業：去百思買花 100 美元買一套系統，在停車場拆箱，把卡拔出來，機器扔掉，卡程式設計，寄到加拿大，一張 500 美元。他一週能做 3,000 到 4,000 美元，訂單多到做不完。 然後他想明白一件事：訂單為什麼一定要做完？客戶在加拿大，他在美國，誰來投訴？他早就知道人不投訴。 他開始收錢不發貨。PayPal 早期在安全上毫無概念，錢直接進他名下的銀行賬戶。每週四五萬美元讓他開始害怕，他判斷該做洗錢了，最直接的辦法是搞一張假駕照，用假身份開戶，從 ATM 取現。 他不知道去哪搞假證。在網上找了兩個星期，找到一個自稱"假證俠"（Fake ID Man）的人，網站做得有模有樣，還有使用者評價。他寄了 200 美元和自己的照片。 對方捲款跑路。 他氣瘋了，開始在論壇上天天罵。當時網路犯罪圈沒有像樣的社群，只有 IRC 聊天室，一條不斷滾動的公共聊天板，你不知道對面是誰，絕大多數人在吹牛，你沒法驗證任何東西。 他找到一個叫"假證圖書館"（Counterfeit Library）的網站，主業是賣假文憑假證書，附帶一個沒人用的論壇。他開始每天在上面發帖罵騙子。同一時間，另外兩個人也冒了出來：一個叫 Mr. X，在洛杉磯；一個叫 Beelzebub，在薩斯喀徹溫省的穆斯喬。 幾周之後，Beelzebub 透過 ICQ 找他，說我能給你做假駕照。佈雷特說那就做。對方說要收費。兩個人吵了一輪，Beelzebub 說了句後來被佈雷特反覆引用的話：這行你要是不能信人，你就做不成。 > 我收你 200 美元，但我會把駕照寄給你。這個生意裡，你必須信任別人，否則你一定會失敗。（Beelzebub，轉述自佈雷特·約翰遜） 兩週後，駕照到了。名字是 Steven Schwecki，俄亥俄州，是個真人，那個人至今還在 ADP 做薪酬工作。 佈雷特說，那是他這輩子見過最漂亮的東西。回頭看，做得其實一般。 ## Shadow Crew 真正發明的東西，是給罪犯用的信任基礎設施 他把網路犯罪拆成三個必需環節：獲取資料、實施犯罪、變現。 三個環節必須同時成立，缺一個，這門生意就做不成。問題在於一個人幹不了三樣。賣資料的人手上有信用卡號、有個人資訊、有改號電話、有遠端桌面，但他們通常不知道怎麼寫套現，更不知道怎麼把錢洗乾淨變成手裡的現金。技能差異、地理限制，都會卡住某一段。 所以你只能依賴在你不會的領域裡比你強的人。這意味著你必須信任他們。 這就是 Shadow Crew 的價值。 在他之前，"假證圖書館"是個 eBay 和 PayPal 詐騙的小站點，加上假證件生意，大概兩三千會員。他成了站裡唯一的"評測員"，因為 Beelzebub 要賣駕照、Mr. X 要賣社保卡，而佈雷特自己什麼貨都不賣，這反而讓他評測算中立。誰被他評過，誰就能賺錢；誰沒過他這關，就跟誰都不做生意。 然後一個烏克蘭人出現了。 德米特里·戈盧博夫（Dmitry Golubov），當時是個垃圾郵件傳送者，手裡有大量信用卡資料。他冒出一個念頭：會不會有人願意花錢買被盜的信用卡資訊？他打電話給朋友，朋友再打給朋友，在敖德薩開了一場線下會議，150 個網路罪犯到場。這就是 CarderPlanet 的起點，也是今天所有信用卡盜刷產業的開端。 但戈盧博夫遇到了三環節裡最要命的一環。東歐那邊的欺詐發生得太密集，每一張卡都被銀行停了。就算你是合法持卡人，也刷不出來。他有世界上最多的資料，能實施犯罪，但沒法把現金拿到手。 於是他跑到 Counterfeit Library 的公共論壇發帖：我有信用卡資料，給我一個收貨地址、一個一次性手機號，等五個工作日，你想要什麼就下單。 論壇炸了。會員的反應是：這不可能真的，你一定是執法部門。 佈雷特決定自己試一次。他給了地址和號碼，等五天，試著在戴爾下了一單 5,000 美元。失敗。他在 ICQ 上找對方，對方說再給一次機會。他又給了新地址，等了五天，這次打的是 Thompson's Computer Warehouse 4,000 美元加戴爾 5,000 美元。貨到了。 他把評測發出去。 > 那一夜之間，我們從一個 eBay 和 PayPal 詐騙站，變成了一個信用卡盜刷站。錢來得非常快。（佈雷特·約翰遜） ## 磁條上有三道資料，而所有銀行都少做了一件事 他在這段裡講的技術細節，值得完整記下來。 銀行卡背面的磁條上有三道資料。第一道是持卡人姓名。第二道是卡號，加斜槓，加一段 16 位演算法。第三道叫"隨機資料"，沒人用。 市面上買賣的是第二道，業內叫 dump。你在店裡插卡或者刷卡，發出去做驗證的只有第二道。第一道會在收銀員的螢幕上顯示出來。 所以標準操作是：買 10 條 dump，做 10 張卡，10 張卡的第二道各不相同。第一道全部寫成同一張假駕照上的名字。刷卡時第二道去驗證，第一道顯示在收銀員眼前。如果對方要看證件，你掏出那張假駕照。皆大歡喜，你帶著相機和勞力士走出去。第一道和第二道之間沒有任何關聯，這就是整套手法的支點。 烏克蘭人接下來乾的事更狠。他們發現沒有一家銀行在第二道上真正實現了雜湊校驗。第二道里那段 16 位演算法，本來是用來防止偽造的，但銀行沒實現。也就是說，只要卡號後面隨便填 16 位數字，卡就能被編碼，能拿去 ATM 取現，因為密碼是真的。 這項技術被叫做 CVV1 洩露。 結果是，卡不在場欺詐（CNP）的收入，從每月 3 萬到 4 萬美元，變成每天 3 萬到 4 萬美元。 烏克蘭人依然沒法套現。於是分成定在四六。美國人當取款手，拿四成，剩下的透過西聯匯款、預付卡、後來的 eGold 和 Liberty Reserve 轉回去。加密貨幣登場之前，這條路已經跑了很多年。 Shadow Crew 後來還接入過印第安納州的性犯罪者登記庫、德州的駕照資料庫，最後是加州死亡索引。他試過用死者的身份申請社保，卡在"需要本人到場面談"這一步。32 歲的人扮不了 65 歲。他換了個思路：拿死者身份報稅。 美國國稅局會在核實僱主之前先發退稅，這個漏洞至今仍在。他把單筆退稅壓到 3,000 美元左右，用加州死亡索引裡真實存在的人，手工填。 填一份花六分鐘。一天干 10 小時，一週幹 3 天。換 IP、換地址、換一切。第四天開車出去踩點，在地圖上標出 ATM 的位置。第五第六天取現。 > 一個揹包能裝 15 萬美元的 20 元面額鈔票。每張 20 美元重一克，所以執法部門查獲現金的時候，很多時候直接稱重。（佈雷特·約翰遜） 他就這麼幹了 10 個月，每週 16 萬美元。錢堆在客房裡，堆到必須學洗錢。製片公司、汽車美容公司、考慮過快餐車。國內賬戶、墨西哥、加拿大，最後一站是愛沙尼亞的銀行。 他說，2005 年 2 月 8 日他被捕，最後一次資產查封通知是 2010 年收到的。 ## 暴力是怎麼進來的 Shadow Crew 時期，他們自認是極客，是騙子，是社會工程師。暴力不在考慮範圍內。佈雷特定過幾條規矩：不做兒童色情，不做偽鈔，不做毒品。他說真正被遵守的只有兒童色情這一條，而且還有例外，比如"冰人"麥克斯·巴特勒（Max Butler）那次，用兒童色情圖片塞滿對手郵箱，然後報警。 轉折來自前面提到的那個烏克蘭人 Script。有人欠他錢不還。他在 Shadow Crew 上發了一組照片，配一段完整的敘事：一輛麵包車，人被撞進車裡，門開著，人被綁著，正在被用刑。 帖子的意思是：這就是偷我錢的下場。 佈雷特的第一反應是不可能，只是嚇唬人。第二反應是，那是真的。 他後來在訪談裡承認了一件很難聽的事。他跟妻子開玩笑說自己認識一個有 8,000 個比特幣的人，也許可以說服對方交出訪問許可權。妻子問怎麼說服。他說，錘子加腳趾。他說這是玩笑，但他也知道那條線在哪。 > 我一度真的可能會做那種事。那就是 Script 的問題：錢太多了。暴力也可以是漸進的，你多做一點，再做一點，慢慢就脫敏了。（佈雷特·約翰遜） 他拿羅斯·烏布利希（Ross Ulbricht）舉例。羅斯不是暴力的人。但當他手上握著 2,400 萬美元的比特幣，是整個暗網唯一的玩家，他覺得自己被威脅了，覺得有人要出賣他，於是他以為自己僱了殺手。 佈雷特把網路犯罪的動機分成三類：地位、現金、意識形態。他自己那群人全是現金，一個不落。羅斯是意識形態。他見過絲綢之路 2 號的運營者，說那類人完全是另一個物種，現金驅動的人停下來相對容易，意識形態驅動的人停不下來。 ## 暗網是海軍的專案，比特幣的第一批使用者是毒販 Tor 瀏覽器由美國海軍開發，目的是讓特工之間能匿名通訊。到今天，Tor 最大的資金來源仍然是美國軍方。專案後來開源，電子前哨基金會接手贊助，對外說法變成了幫人穿透國家防火牆、保護舉報人。 有人忘了提醒一句：任何能用來洗錢和匿名的技術，第一批採用者一定是犯罪分子。 2005 到 2006 年，佈雷特還在給特勤局幹活，某天收到一份備忘錄，講的就是 Tor，說這個要小心。他們一群人開啟試著用，完全沒法用，太慢，因為沒人在用。 幾年後，中本聰提出比特幣，羅斯·烏布利希把它接了過去。絲綢之路只收比特幣。佈雷特對這件事的評論很直接：加密貨幣最初的用例就是一群人要買大麻，需要一個付錢的辦法。這話今天沒人願意承認。 Shadow Crew 留下的真正遺產，是那套信任機制。論壇讓幾周甚至幾個月前的對話可以被檢索、被引用、被學習。有引薦系統、評價系統、託管系統。你看一個 ID 就知道這個人能不能合作。這套東西后來被暗網市場完整繼承。 ## Shadow Crew 最瘋狂的一段，是它被自己人賣掉的經過。 論壇需要一個技術員來維護軟體。一個叫金·泰勒（Kim Taylor）的助手某天帶來一個人，說是懂這套系統，佈雷特說那就簽下他。這個人的網名叫 KumbaJonny，做了一陣子技術之後，開始以 Scarface 的名義賣信用卡。 他本名叫阿爾伯特·岡薩雷斯（Albert Gonzalez）。 在成為 Shadow Crew 的技術員之前，他在洛杉磯一家 T-Mobile 門店工作，幹過一件當時上了大新聞的事：把帕麗斯·希爾頓手機裡的通訊錄匯出來公開。他還不止做了這一件事。洛杉磯的特勤局分局當時用的是 T-Mobile 的手機，於是他手上有了特勤局調查 Shadow Crew 的簡訊記錄，然後他把這些簡訊發在了 Shadow Crew 上。 > 我坐在那兒，坐在金字塔頂端，看著這些東西想，這事不會有好結局。絕對不會有好結局。（佈雷特·約翰遜） 阿爾伯特被抓的原因很蠢。新澤西，大白天，他在一臺 ATM 前站了 40 分鐘，一張卡接一張卡地插進去，取出現金塞進揹包。街對面正好有兩個警察，看了他 40 分鐘。其中一個終於說，我過去看看那小子在幹什麼。 他戴著假髮，全套偽裝。警察問，孩子，你在幹什麼。他當場崩了。 進了局子之後，他第一句話是：我想為特勤局工作。 佈雷特對當年那批特勤局探員的評價很刻薄。他說那不是他現在的看法，是當年的情況。他先用了"能力問題"這個詞，然後說，換個說法就是"一幫白痴"。他們完全不懂數字世界。阿爾伯特告訴他們，你們可以試試 VPN。他們問，什麼是 VPN。他解釋完，他們說，這主意不錯。 於是 VPN 架起來了，由特勤局運營。阿爾伯特回到 Shadow Crew，重新掌握了局面，把懷疑他的人都封掉，然後宣佈：為了安全，以後所有交易都必須走這個 VPN。 四五個月裡，特勤局記錄下了大約 700 萬美元的交易流水。 2004 年 8 月，Shadow Crew 上了《福布斯》封面，標題是《誰在偷你的身份》。2004 年 10 月 26 日，美國特勤局在六個國家、六個小時內逮捕了 33 人。佈雷特當時在南卡羅來納州的查爾斯頓，看著新聞。 他是公開報道里"跑掉的那個"。還有幾個人也沒被抓，其中一個網名叫 Tron，能幾乎無限制地訪問美國銀行的系統。特勤局查到了他在烏克蘭，飛機都已經起飛，他們打電話通知烏克蘭警方。電話一掛，烏克蘭警察就開車過去告訴他：他們要來抓你了。他跑去了南美，六七年之後才落網。 管一群罪犯比犯罪本身更難 在退出之前，佈雷特手上同時管著好幾支隊伍。他講了一個堪稱鬧劇的故事，用來解釋為什麼他最後還是決定退出。 一個叫大衛·托馬斯（David Thomas）的人，網名 El Mariachi，在內布拉斯加州因支票詐騙被通緝，跑到 Shadow Crew 上講了一通悲慘故事。大家給他湊了錢，佈雷特還給他找了份活，跟著一個低階別的卡販子幹。 幹了幾個星期，托馬斯說掙不到錢。佈雷特就找了烏克蘭的朋友 Big Buyer 幫忙。Big Buyer 給了托馬斯一筆錢，讓他從德州搬到華盛頓州的伊薩誇（Issaquah），租個辦公室，計劃是：Big Buyer 下單，貨發到辦公室，托馬斯收貨，掛到 eBay 上賣，五五分。 第一單是 outpost.com，1.8 萬美元，這是該網站當時收到的最大單筆訂單。貨到了。 然後佈雷特的二把手金·泰勒聽說這事，46 歲，在丹佛的 Tattered Cover 書店上班，網名"傑森·伯恩"，自認是個狠角色。他執意要去伊薩誇分一杯羹。佈雷特說，去吧，小心點。 兩個人在伊薩誇見面，通宵喝酒慶祝，因為此前從沒見過面。與此同時，Big Buyer 下了第二單，1.7 萬美元，發到同一個地址。Outpost 已經知道第一單是欺詐，直接打電話給伊薩誇警方。警方的回覆是：能不能先寄幾個空箱子過來。 行規是這樣的：如果用的是完整的賬戶許可權，下單之後，要在到貨當天早上登入那個賬戶，能登進去就去取貨，登不進去就回去睡覺。 這兩個人整晚都在喝酒，沒人去登入。Big Buyer 在那邊急得給佈雷特打電話，說找不到人。 第二天，托馬斯開著一輛 70 年代的凱迪拉克，泰勒坐副駕，托馬斯的女朋友坐後座，開進園區。托馬斯掃了一眼停車場，看見一輛麵包車裡有人側著身子坐著，跟泰勒說，那是臥底。泰勒說，沒事。 泰勒走進去取包裹，人沒了，伊薩誇警察出來了。托馬斯在車裡看著，掉頭就跑，最後在州際公路上被抓，錢包裡有三張假駕照加一張真的。 托馬斯在內布拉斯加有通緝令，保不出來。泰勒沒有，佈雷特安排人把他保了出來，又託朋友把他接到猶他州住下。三週後，那個朋友打來電話說，這個人必須走。佈雷特問怎麼了。對方說，他每天唯一在做的事就是嗑搖頭丸，整天。 佈雷特把他送去了丹佛，跟另一支隊伍合夥。泰勒把那些人全害得被抓了。 > 到這一步我已經完全沒脾氣了，只想甩手走人。正好我的退休期也到了，我說算了，我不幹了。（佈雷特·約翰遜） ## 他在特勤局的辦公室裡繼續作案 2005 年 2 月 8 日在查爾斯頓被捕的過程，是他人生裡最狼狽的一段。 那之前他剛從一個叫伊麗莎白的女人手裡拿到了一枚三克拉的蒂芙尼鑽戒。鑽戒是在 eBay 上找到的，2 萬美元，付的是偽造的銀行本票。婚禮定在 2 月 26 日。 被抓是一次控制下交付，停車場裡有 30 個探員，FBI 和查爾斯頓警方都在。45 分鐘之內特勤局接手了案子，他們清楚抓到的是誰。 當天晚上七點，探員們說要搜他家。他說，我簽字同意搜查，條件是讓我跟著去，我要見她一面。 到了門口，屋裡燈暗著，他先喊話讓她把狗關起來，怕探員開槍打狗。然後一群人衝進去翻東西，把她按在一邊問話，問他的真名是什麼。她被拿走了一塊手錶，鑽戒留下了。 第二天開庭，她和她父親都來了，坐在後排哭。保釋金 30 萬美元。之後每天都有十幾項新指控進來。 她在三個月裡來探視兩次，接到三四通電話。佈雷特當時的感受是：我是受害者，她為什麼不來。 > 現在我明白了。她也是真的愛我。她發現我是個什麼樣的人，那種打擊是摧毀性的。（佈雷特·約翰遜） 兩週後，兩個新澤西的特勤局探員飛過來，把他從牢裡提出來，說我們拿到了你的膝上型電腦。他承認裡面有東西。探員說那你會被起訴。 然後對方看著他問：你能為我們做點什麼嗎。 佈雷特的原話是：你讓我回到伊麗莎白身邊，你讓我做什麼都行。 對方說，我們會把你弄出去。 他們在牢裡又晾了他三個月，讓他嚐嚐滋味。最後是他妹妹丹妮絲把保釋金降到 1,000 美元，付掉了。那時候丹妮絲已經因為他跟脫衣舞女交往而跟他斷絕關係。 出獄那晚 11 點，他站在查爾斯頓縣監獄的停車場，身邊一個特勤局探員陪著。伊麗莎白有個朋友開豪華轎車行，她坐著一輛加長轎車過來，從後備箱提出兩個塑膠箱，裡面是他的衣服，扔在地上，走過來抱了他一下，說回頭聯絡，上車走了。 他蹲在地上哭。旁邊的探員問，那是你未婚妻嗎。他說是。探員說，我很抱歉。 他當時名下只剩 30 美元，第一晚的旅館錢是那個探員墊的。探員一走，他走半英里到沃爾瑪買了張預付簽帳金融卡，回到房間就開始重啟報稅欺詐。然後打電話求伊麗莎白回來，說他會被聘用做顧問，一切都會好起來。全是謊話。 他們搬到哥倫比亞市，那是南卡的聯邦分局所在地。他的工作內容是在辦公室裡上網、找目標、收集情報、教探員網路犯罪怎麼運作。他有一臺筆記本接外部線路，連著牆上一塊 50 英寸等離子屏，旁邊還有一臺桌上型電腦，屋裡始終有兩名特勤局探員加一名南卡執法人員盯著。 頭兩週所有人都極其認真，問東問西。第三週開始，這份工作對他們變得無聊透頂，因為他在網上的速度太快，盯著看毫無樂趣。探員們開始在電腦上看黃片。 同時他們裝了鍵盤記錄器，還有 Spectre Pro 和 Camtasia，每晚把所有操作截圖刻進光碟堆成一摞。佈雷特判斷這些人根本不會去翻那些光碟。 於是他在特勤局的辦公室裡，當著探員的面，重新開始犯罪。持續了 10 個月。 這段關係裡有個細節特別扎人。負責他這個案子的兩個探員，吉姆·羅馬科內（Jim Ramacone）和博比·柯比（Bobby Kirby），是那種真的想拉他一把的人。幾年後他有機會跟柯比一起吃飯，為當年害對方和另一個探員被開除而道歉。柯比跟他說，我們當時是你的朋友，真的是你的朋友。 > 我跟他說，我在努力做個更好的人。他說，佈雷特，你一直都是個好人，你只是自己不知道。（佈雷特·約翰遜） 最後暴露的是一起失效的抓捕。他在網上認識的一個叫肖恩·米姆斯（Sean Mims）的人，被他教會了報稅欺詐。他事先跟肖恩約定：如果我消失了，你不要聯絡我。他消失了幾個月，重新上線第一天，肖恩就來聯絡他。於是肖恩成了目標，被鎖定，抓捕日定在 2006 年 3 月，代號"滾石行動"。 行動當晚，特勤局衝進肖恩的公寓，什麼都沒找到。公寓管理員解釋說，肖恩自己花錢給租來的公寓鋪了 3 萬美元的義大利瓷磚，而且昨晚叫了一輛 U-Haul 把東西全搬走了。 特勤局回頭找他，要求測謊。他拒絕，對方說那就把你關回去。律師在電話裡說，你可以試著透過。三個問題：你有沒有跟人聯絡過？你有沒有在辦公室之外用過電腦？你有沒有聯絡媒體或者向任何人通風報信？ 三個問題他全都栽了，因為他當時正在接受《紐約時報》記者的採訪。 保釋撤銷，回到查爾斯頓縣監獄。一週後，法官裁定撤銷保釋的程式不當，保釋恢復。沒有人通知特勤局。他自己走出了監獄大門。 ## 四個月，60 萬美元，和一張迪士尼年票 他先給一個他給過 6 萬美元的脫衣舞女打電話，借 1,000 美元，許諾兩週還 3,000。約在奧古斯塔市見面，拿到錢，上了 I-20 公路往西開，沒有目的地。 在達拉斯，他找到一家預付簽帳金融卡供應商，靠社會工程說服對方在沒有駕照、沒有付款的情況下給了他 60 張卡。用這些卡套出大約 16 萬美元利潤，買了一輛吉普切諾基。計劃是攢夠錢逃到巴西的弗洛里亞諾波利斯，在那邊重新開張。 四個月裡他偷了 60 萬美元。落到拉斯維加斯那天，前一晚剛從 ATM 取出 16 萬。 然後就是開頭那一幕：在 cartersmarket.com 上看見自己的真名，旁邊寫著美國頭號通緝。 他去了迪士尼。在環球影城大道旁邊買下分時度假屋，又花 3 萬美元買傢俱，還把自己被查封的價值 3 萬美元的 DVD 收藏買了回來。六週裡每天去迪士尼。 抓住他靠的是傳統刑偵加一個"觸發魚"（triggerfish），現在叫"黃貂魚"（stingray），一種偽基站定位裝置。2006 年 9 月 16 日早上十點半，星期六，他聽見敲門聲，從貓眼往外看，沒人。開門出去，走廊盡頭是博比·柯比，一個南卡的人，還有一名橘郡警察。 他們轉過身，說，嘿，佈雷特。他說，嘿，博比，你好嗎。對方說，挺好，你呢。他說，我挺好，要進來坐坐嗎。對方說，先把銬子戴上吧。 柯比進屋問，這裡有什麼東西嗎。他說，臥室裡有 12 萬美元。柯比說，真的？他說，對，還有一把 AK47。柯比臉都白了，問，你有步槍？他說，開玩笑的。 然後是"柴油療法"（diesel therapy）。從奧蘭多橘郡轉到南卡哥倫比亞，路上途經每一個縣監獄，每站都走一遍六小時的收押流程，剛躺到鋪位上就有人來說，該走了。這是故意設計的，為的是從身心兩頭把人磨碎。 ## 他用一個假藥癮，換來了更短的刑期 在橘郡的聯邦羈押區，一個叫 Yeti 的獄友告訴他，聯邦監獄唯一能減刑的辦法是參加戒毒專案。他說自己不用毒品。對方說，你不會給自己找一個毒品問題嗎。 於是他在路上每一站都告訴獄警，自己有酒精和可卡因依賴。他說這段時自己也笑，說這套是電影《不羈夜》（Boogie Nights）裡學的。到了哥倫比亞，他有一整條請求幫助的記錄。心理醫生來做四小時面談，問到用什麼藥、怎麼用、用多少。他說每天八分之一盎司的可卡因，鼻吸。醫生問，有沒有什麼不良反應。他說，硬不起來。 > 那句話寫進了我的量刑前報告。所有聯邦犯人都會有一份這樣的報告，緩刑官和檢察官做詳細背景調查，告訴法官該判多少年。（佈雷特·約翰遜） 開庭那天，檢察官站起來大吼，說約翰遜操縱了特勤局，操縱了檢察官，然後指著法官說，他今天正在操縱您。我們要求按量刑指南上限判。 他在監獄裡跟所有人說過，超過 60 個月我就不待了。 法官說，75 個月。 他問律師能不能爭取到戒毒專案，法官說不行，但可以建議他去評估。他轉頭問律師，最快什麼時候能到營地（camp，指低戒備監獄）。律師說，如果你不上訴，我能很快把你送去。他說，上訴個屁，送我去營地，剩下的事我自己來。 他託家人專門去找沒有圍欄的營地，最後選定了肯塔基州的阿什蘭。六週後到了那裡，一道 14 英尺的圍欄，頂上拉著刀片刺網。他不爬圍欄，於是走進去。 進去第一件事是問，有沒有圍牆外面的工作。獄警說，你可以去國家森林幹活。他說不去，我會死在外面。獄警說，那你可以做園林綠化。他說，我會用打草機。 兩天後他走進綠化辦公室，桌子後面的牆上掛著一張巨大的航拍圖，整個監區和周邊地區標得清清楚楚。他可以坐在那兒規劃逃跑路線。 他的父親在那段時間出現了。這個他多年沒說過話的人，在他被判刑那天站起來跟法官說，希望佈雷特出獄後能跟他一起住，重新開始。佈雷特當時覺得那是廢話。父親開始來探視，第三次探視時說，我在網上讀了關於你的事，你弄了那麼多錢，你能不能教別人怎麼做。 佈雷特後來說，他一直以為父親是想利用他。真實情況也許是，父親只認得那個跟母親一起犯罪的他，那是父子之間唯一能說上話的地帶。 他答應了，條件是父親把僅有的 4,000 美元現金給他，再送一套換洗衣服、一部手機、一張駕照。父親能拿出的唯一一張駕照，是佈雷特自己的。 到營地六到八週，他成了綠化隊最賣力的犯人，有一次獄警把他在山坡上安排去掃地，他就掃山。六週之後他跑了。三個星期後在列剋星敦被抓，距離營地約 250 英里。他把頭髮染成火紅色，曬得很黑，完全不像自己，但不得不用真駕照，因為那是他唯一有的。美國法警挨家挨戶問遍了那一帶的旅館。一個法警從窗外走過，停下來，退回去，往窗裡看，敲玻璃，指著他，又指指門。 ## 八個月單獨監禁，一本欽定版聖經 逃獄的量刑出奇地輕。檢察官要求法官考慮他逃跑時隨身帶著膝上型電腦和身份盜用材料。法官說，你要起訴就該起訴，我只審逃獄這一項。 然後法官翻著那份量刑前報告說，看起來你現在保持沉默，為你自己省掉了一項很嚴重的指控。 他說，是的，法官大人。 法官又說，報告裡還顯示，在你沾上那些毒品之前，你曾經是個相當不錯的公民。 他說，是的，法官大人。 法官判了 15 個月，加上強制戒毒專案。戒毒專案能減一年刑期，還能進半年過渡教習所。算下來，因為逃獄，他比原本該出獄的時間早了三個月。 代價是八個月的單獨監禁。6 乘 9 英尺的房間，一張墊子，一個馬桶。頭一個月沒有書，沒有紙，沒有筆。之後給了一本欽定版聖經。再之後才有別的書進來。 他一天睡 16 到 18 個小時。法律規定每天放風一小時，實際上一週能有一小時就算走運。一週洗兩次澡，一個月打一次電話。頭一週最難，人在裡面會撞牆，因為睡不著，沒事可做。之後會適應。 > 你會把一切都過一遍。所有人，所有事。伊麗莎白，我母親，全部。（佈雷特·約翰遜） 之後他被轉到德州大泉（Big Spring），西德州，電影《殺出個黎明》開場那地方。熱到電臺會發警告，讓你別開車上某些街道，因為路面化了。 他在那裡學到，真正的監獄不是獄警管的，是犯人管的。大泉是空軍基地改建的懲戒性監獄。他走進監區，在門口等他的叫尼克·桑德弗（Nick Sandifer），雅利安兄弟會的司庫。第一個問題是：還有白人進來嗎。他說，我不知道，四五個吧。第二個問題是：你犯了什麼事。 他說，計算機犯罪。還笑了笑。 在監獄的語境裡，"計算機犯罪"通常意味著兒童色情。真的駭客、盜刷的，會直接說自己是什麼。他花了很久解釋，對方一群人圍著他，說你故事講得不錯。 更麻煩的是《連線》雜誌。他在裡面接受凱文·波爾森（Kevin Poulsen）採訪，寫了一篇關於麥克斯·巴特勒的報道。雜誌上了封面，整篇故事在監區裡傳開。文章裡寫他是"特勤局線人"。 在監獄裡，告密者和戀童癖是一個等級。 獄長把他叫進辦公室，問，你是不是接受了《連線》採訪。他說是。獄長問，你知不知道他們會殺了你。獄長又說，你是不是覺得不安全，你要說不安全，我就把你轉走。轉走意味著又是八個月單獨監禁。他說，我很安全。 第二天他走進監區，尼克躺在床上，雜誌攤開在看。他走過去說，尼克，你在看什麼。對方說，隨便看看。他說，我幫你省點事，翻到那一頁，你要找的在那兒。 尼克說，我早就知道了。佈雷特問，我們有麻煩嗎。尼克問，這監獄裡有你告過的人嗎。他說沒有。尼克說，那在有人進來之前，你這事不算告密。不過我需要你幫個忙。 於是他有了兩份工作。第一份是每週三晚上六點到八點半教文學課，全監區各個族裔的人都來報名，偶爾有獄警進來看看。他們不教文學，他們教欺詐。這就是他沒被打斷腿的原因。 第二份工作，是替白人囚犯群體去跟新來的白人搭話。他能在犯人下車的瞬間分辨出誰是搶銀行的，誰是因性侵進來的。他的任務是告訴那些人：我不在乎你因為什麼進來，但如果你身上是那種指控，你現在告訴我，一切都沒事。你不說，你去跟那邊那幾個人混，他們一旦知道了，會殺了你。 監獄有一套很像黑幫的規則。性侵、傷害兒童、傷害女性，是壓在最低層的。這些人不許跟任何人說話，不許看電視，只能去圖書館，只能跟同類來往。有人要敲詐他們，他們必須接受，不許告發，否則死。所有人都很快學會這套。 他在裡面看過兩次殺人，經歷三次監獄暴動，四年多里見過四起自殺。 殺人那兩次都發生在傍晚。所有人繞著四分之一英里的跑道逆時針走，跑道內側有兩個手球場。你會看到人群像鳥群一樣忽然朝門口湧過去。抬頭看遠處，一個犯人把另一個按在地上，把對方的頭往水泥地上砸。獄警不會上去攔，因為獄警可能會受傷。獄警要 15 分鐘才出來，等他們出來，事情已經結束，那個人的頭已經不成形了。 然後全監區封鎖，所有犯人排成兩隊，一個個進屋，門在身後關上，獄警問兩個問題：你看見什麼了嗎。沒有。如果你看見了，你會說嗎。不會。然後讓你滾出去。在裡面多待一會兒的人，自動成為嫌疑人。 ## 出獄後他偷過廁紙 2011 年出獄，三年緩刑，不許碰電腦。他有過一個去英國替德勤開網路犯罪辦公室的 offer，不行。一家做釣魚防護的公司請他，不行。快餐店的崗位要碰電腦，不行。餐廳服務員的崗位要接觸信用卡，更不行。 他說自己literally找不到任何工作，領食品券，室友付一半房租。他養了一隻貓叫 Monster，能買得起貓糧，買不起廁紙。他在巴拿馬城海灘偷廁紙。 一個朋友把他的資料掛到了婚戀網站 Plenty of Fish 上。一個叫米歇爾（Michelle）的女人回覆了。他上傳的是監獄裡拍的照片，表情嚴肅。米歇爾的第一句話是：你為什麼不笑。他回：這就是我的笑臉。 他們開始約會。他快要付不起房租的時候，搬去跟她住了。她在 Craigslist 上看到一則園林綠化的招工廣告，他打了電話，老闆叫達斯汀·德·拉穆斯（Dustin DeRamus），兄弟倆在自己家裡做這門生意。聊了 20 分鐘，達斯汀問，我能問你個問題嗎，你是不是在逃。他說不是，為什麼這麼問。達斯汀說，你看起來不像幹這行的人。 他把自己是誰、做過什麼都說了。達斯汀說，我得想想。那天是週五。週日晚上達斯汀打來電話，問，如果我僱你，你真的會幹活嗎。他說，你給我工作，我保證拼命幹。達斯汀說，六點來。 他的工作是每天推十小時割草機，一週五天，一週 400 美元。他幹到晚上進門就倒，第二天起床再幹。後來達斯汀的兄弟退出，達斯汀想讓他入夥對半分。他說不行，因為他找到了另一份工作，給油田培訓做銷售，一週 1,500 美元。他按緩刑規定提前告知了對方自己的犯罪史，對方說不能僱他。達斯汀那邊已經招了新人，回不去了。 他又成了那個必須證明自己有用的人。米歇爾一個人上班，他想，至少我能往家裡弄點吃的。他登上暗網，拿盜來的信用卡訂食品。後來想，孩子還需要衣服，於是開始偷衣服。 他因為一單食品被捕。米歇爾不知道他在幹這些。她接到電話趕到警察局。 量刑那天，米歇爾站起來告訴法官，他對她兩個兒子，比他們的親生父親做得好。他在哭。緩刑官站起來說，我們認為約翰遜先生是個好人，這次是一次性的。檢察官說了同樣的話。法官判了一年。緩刑官又站起來說，法官閣下，如果您判他一年零一天，他就能拿到表現良好的減刑，能早點回家。 法官改判一年零一天，他實際坐了 10 個月。 > 那是我發現米歇爾不需要我能給她什麼的時候。她從始至終要的就是我這個人。她一直站在我這邊。（佈雷特·約翰遜） 出獄後他們結婚，緩刑結束，他可以碰電腦了。他翻開 LinkedIn，給一個叫基思·穆拉爾斯基（Keith Mularski）的 FBI 探員發了私信。這個人在匹茲堡分局，參與過對他的抓捕。私信的內容大意是：我尊重你做的一切，你乾得很出色，順便說一句，我想做合法的事。 兩個小時後對方回覆了，給他提供人脈、建議，把他帶到自己的羽翼之下。之後身份盜用委員會的主席做了同樣的事，CNP 組織請他演講，微軟請他做顧問。微軟這一單，讓整個行業對他建立了足夠的信任。 ## 社會工程師是怎麼長出來的 訪談裡最值得反覆讀的一段，是他解釋這門手藝的起源。 他說自己在童年就成了社會工程師。因為身邊的大人不可預測，他必須隨時判斷對方在想什麼，並且試著操控這個判斷，這是生存技能。他見過的頂尖網路罪犯，很多都有同樣的經歷：先在童年學會這套工具，長大之後拿它去害人。 這套能力要求極高的共情。你必須準確地把自己的想法放進對方的處境裡，才能預判他會怎麼反應。但實施犯罪要求你完全不在意對方的痛苦。 他不同意這等於反社會人格。他的解釋是，絕大多數網路罪犯會給自己的行為找理由，並且真心相信那些理由。他的理由是"為了家人"，為了妻子，為了那個脫衣舞女女朋友。理由讓人可以繼續做下去。 > 社會工程很多時候不是編一個新故事，是餵給對方他想相信的東西。你要在幾秒鐘內判斷出這個人的驅動力是什麼。（佈雷特·約翰遜） 他講了兩段具體案例。 第一段是釣魚。他們是做釣魚最早的一批人，當時沒人見過這種攻擊，所以一封郵件就能騙到完整的身份檔案。他們釣到了大約 20 萬個 eTrade 賬戶，登入名、密碼、社保號、出生日期、母親孃家姓，全套。eTrade 當時沒有防護，可以隨意提現，ACH 轉賬直接走。他們靠這個活了四到六個月。後來 eTrade 全面封鎖提現，但賬戶還在手上。 怎麼變現？找一個把退休金全押在藍籌股上的富人，同時找一隻垃圾股，開一個新賬戶買入那隻垃圾股，把富人的賬戶清空，也買入同一只垃圾股。拉高出貨。為了幾千美元，毀掉一個人的退休賬戶。eTrade 的態度是：不是我們的問題，是他自己把密碼交出去的。 他說這個邏輯今天還在，Zelle 詐騙就是同一個結構，金融機構永遠在說自己的系統是安全的，是使用者犯錯。 第二段是商業郵件詐騙（BEC）。攻擊者先確定目標公司裡的薪酬專員和 CEO，做一次魚叉式釣魚，只為拿到 CEO 的郵箱許可權。然後進去讀郵件，專門讀發給薪酬部門的那些，看這兩人之間的關係是什麼樣的，聊不聊孩子，聊不聊休假，語氣是親近還是公事公辦。 摸清之後，對薪酬專員也做一次魚叉釣魚。同時註冊一個 Unicode 域名，把公司名裡的英文字母 I 換成西裡爾字母裡那個看起來一樣、頂上沒有點的字母。進入薪酬專員的郵箱，遮蔽掉真 CEO 的地址，替換成那個假域名，用完全正確的語氣、完全正確的關係，發一封信：我們在更新收款賬戶，這筆款請改打到新賬戶，以後所有付款都走這裡。 組織越大越容易中招，因為責任被分散，每個人都預設這件事有別人在把關。 ## 防守方一直在做錯的事 他給出的第一個事實是那個 90%。所有攻擊裡九成用的是已知漏洞。零日攻擊存在，但一個等著靠零日賺錢的罪犯會餓死。 第二個事實是企業不共享資訊。犯罪團伙之間資訊自由流動，公司之間因為隱私顧慮、競爭顧慮互相封鎖。他把這看成結構性劣勢。 第三個事實是大量案件不報案。他接觸過財富 50 強公司，抓到內鬼之後不追訴，讓對方籤保密協議，賠一筆錢，事情到此為止。 他不認為這是灰色地帶。不追訴就意味下一次還會發生，意味整個行業的風險收益比沒有變化。 第四個事實更刺人。市面上有 7,500 家安全公司，其中相當一部分在賣安慰劑。他舉的例子是 RFID 防盜錢包。他說自己沒見過多少真正在犯罪側做 RFID 盜刷的人。這類產品提供的是一種心理上的安全感，而不是實際的防護。 他認同的思路叫"抬高犯罪成本"。目標不是把攻擊面全部堵死，那不可能，攻擊面太大。目標是讓打你的代價高到不值得，讓罪犯轉頭去挑下一個目標。 具體到落地，他說的都是最土的東西：打補丁，更新系統，修已知漏洞。這些擋不住 SolarWinds，擋不住 NotPetya，但 SolarWinds 是特例，絕大多數案件的入口是那九成裡沒修的洞。 關於 SolarWinds 他講得很清楚。這家公司提供的軟體是大量企業安全體系的地基，很多安全公司自己都在用，因為它能給出整個系統的快照。俄羅斯的一個小組攻進去之後，等於同時獲得了所有客戶的全景：所有 IP、所有郵件、所有通訊、所有秘密。如果客戶用了微軟的產品，攻擊者連原始碼都能看。 他判斷這是不可恢復級別的攻擊。真正的後果不是當下的新聞熱度，是那些人現在手裡握著原始碼，可以一行一行地讀，去找新的零日。原本零日很稀少，這一下開啟了一個全新的攻擊面。 他也談了對追責的看法。有一份 130 頁的集體訴訟在整理 SolarWinds 多年來如何隱瞞漏洞、如何對提醒他們的人說"滾開"。他的判斷是：犯罪的唯一責任人是犯罪的人，SolarWinds 有它該負的賬，但"犯蠢不是犯罪"。 國家層面，他提到四個主要玩家：伊朗、朝鮮、中國、俄羅斯。俄羅斯的模式是跟本地說俄語的駭客合作，需要情報就拿走情報，剩下的讓這些人自己賣錢。朝鮮純粹是為了弄錢，因為實在沒有別的辦法，偷了大量的比特幣，技術水平很高。中國主要盯著智慧財產權。 ## 他為什麼現在不擔心自己的安全，而家人擔心 訪談裡有一段直接問到這個問題。他間接和直接接觸過的危險人物數量很大，今天網路犯罪的生態裡已經嵌著黑幫和卡特爾。毒品天然和暗網市場纏繞在一起，因為利潤太高，暴力隨之而來。二十世紀的卡特爾把他們的手段帶進了二十一世紀的技術裡。 他說家裡人擔心，他自己反而可能陷得太深，感知不到那種危險。 他的立場是：他靠不怕點名活下來的。不怕點公司的名，不怕點個人的名，不怕直接針對犯罪團伙。這是他在這行建立信任的方式。 關於身份驗證公司 ID.me，他講得最激動。那是他在 LinkedIn 上開火的一件事，他自己說，部分導致對方丟了一份 8,600 萬美元的政府合同，物件是美國國稅局。 他的說法是，ID.me 本質上是一家營銷公司，對外包裝成身份驗證公司。它被國稅局、社保局、退伍軍人事務部、二十幾個州的失業救濟系統使用。問題不在於一傢俬營公司有什麼政策，問題在於一個公民本來就有權獲得某項政府服務，政府卻強制他把完整的身份檔案交給一傢俬營公司，而這家公司拿這份檔案去做營銷、去變現。 > 我不在乎你是一傢俬營公司，你想怎麼做是你的自由。我不接受的是，公民為了拿到本來就屬於他的服務，被迫交出這些東西。（佈雷特·約翰遜） 他還拆了那套"我們剝離了個人身份資訊"的說辭。他說，剝離了 PII，你依然能用生物特徵、瀏覽過的站點，把那一個人從所有人裡單獨拎出來。那還是身份。 他自己也承認這話說起來荒誕：佈雷特·約翰遜成了隱私倡導者。 ## 他對年輕人的那句話 訪談最後問，如果面對一個高中或大學的年輕人，他想說什麼。 他說，你想過的一生，應該是幫人的一生，不是傷人的一生。這個感受他最強烈的一次，是第一次走進匡蒂科（Quantico）。他看到美國最聰明的一批人，放棄了在市場上能賺到的錢，因為他們相信自己在幫人。而他自己把整個職業生涯用在傷害別人上。 他說想賺錢沒問題，想測試系統沒問題，想繞開一些規則也沒問題，只要不違法。他自己就喜歡幹這些。但如果你能守住那條線，幫人，不傷人，最後你大概不會走錯。 關於希望，他給了一個具體的觀察。真正糟糕的時候，人會聚起來。出現不公的時候，人會站起來。他每天看福克斯和 CNN，就是為了讓自己對所有人都生氣，他很清楚這些媒體的機制是餵養憤怒。 伊麗莎白教過他一件事。認識她之前他是新聞癮君子，家裡永遠開著幾個新聞頻道。她完全不看新聞。他當時不理解，現在理解了。 關於人生的意義，他的回答和他講的防守邏輯是同一個東西。所有人都只盯著自己，而安全問題唯一解法是每個人都替別人看一眼。 ## 一個人可以同時是這兩件事 訪談裡有一句他被反覆追問的話，是那個被他在 eBay 上騙走銀幣收藏的女人。 她一輩子收集銀幣，八九十磅。她在商品頁面上寫著自己是單親媽媽，那是她能給房子換屋頂的唯一一筆錢，房子要給她和孩子們遮風擋雨。 那時候 Shadow Crew 已經上了《福布斯》封面，已經被特勤局端掉，他已經是公開報道里跑掉的那個人。他缺錢，需要跑到海外，於是開始用假銀行本票做貨到付款，騙人把東西寄過來，用他的 UPS 賬號，說本票等同於現金。 他講這一段時說的是：我不在乎。我在乎的是我自己。 > 這話很難說出口。你根本不在乎你對別人做了什麼，你只在乎你自己。但這就是當時的真相。（佈雷特·約翰遜） 還有一個只有 900 美元的案子。他剛開始做網路犯罪，技術正在成型，騙了一個人 900 美元。那個人回了一封郵件，大意是：我猜你需要這筆錢，沒關係，你留著吧。 他說到這裡時說自己起了雞皮疙瘩。 訪談裡他反覆劃的那條線是這樣的：童年的事不是他能選的，成年之後的選擇是他的。他花了兩年半才承認，他犯罪不是因為脫衣舞女女朋友，不是因為妻子，不是因為家庭，是因為他想做，他選擇了做。 他母親至今仍然不承認自己做過什麼。他給母親的最後通牒是：等你能承認你虐待過身邊的人，承擔這個責任，能跟我談這件事，我們再說話。第一年她打電話來罵他和他妻子，之後慢慢安靜了，兩年多沒聯絡。 他說他愛他母親，但他母親不是好人。這句話是他父親在電話裡跟他說的，他父親說，自己花了好幾年才明白這一點。 他父親現在心臟有病，不打算做手術，說了一句"我準備好了"。他 52 歲，以前會勸，這次他說，我理解。 他妹妹丹妮絲小時候以為會有人來救他們。他說，他當時的回答沒有經過思考：丹妮絲，我知道不會有人來。 兩個人的路就是從那兒分開的。丹妮絲酗酒，嘗試過自殺，最後逃出去了，當了老師，是個好母親，一個憤怒的好母親。他留在原地，一直做下去。他妻子後來跟他說，他是在替妹妹擋下那些事，他去參與那些犯罪，這樣丹妮絲就不用參與。 還有那個女孩伊麗莎白。她說，如果她不嫁給佈雷特，她這輩子就不會結婚。據他所知，她至今未婚。 她現在偶爾還會跟他說，她曾經告訴一個朋友，佈雷特是唯一一個要求她戒毒的男人。 她戒了。那天早上他把她從俱樂部接回來，前一晚他寫了一封信放在枕頭上。信裡的意思很簡單：我愛你，如果你停不下來這件事，我回來的時候你不要在這裡。他去了哥倫比亞市，晚上回來，她辭了工作。那天晚上她把毒品也停了。 然後他為了留住她開始燒錢，每晚 300 到 600 美元的晚餐，每週 1,000 美元的鞋，每週 2,000 美元的包。他大部分的錢已經洗到愛沙尼亞去了。 ## 給今天讀者的幾件具體的事 - 把打補丁當成每週的固定動作。九成攻擊用的是已知漏洞，這不是防禦的上限，是防禦的底線，很多公司連這條線都沒守。 - 接到任何要求變更收款賬戶、核對密碼、更新資料的電話或郵件，掛掉，用你自己從官網或卡背面找到的號碼回撥。這個動作能擋掉絕大多數社會工程攻擊。 - 給支付和轉賬設定延遲。任何"立刻、馬上、不然就出事"的指令，都是被設計出來的緊迫感，主動拖二十四小時是最有效的解藥。 - 如果你是公司裡負責付款的人，把大額變更賬戶的流程寫成必須雙人複核，且複核人不能是發起人。攻擊者最喜歡的是一個人能拍板的流程。 - 如果你的企業被入侵，走法律程式，不要籤保密協議私了。不追訴意味著風險收益比沒有變化，下一批人會繼續來。 - 對被騙的人少一點責怪。受害者不報案的一大原因是羞恥，媒體和家人都在問"你為什麼會點那個連結"。這句話會讓下一個人選擇沉默。 - 認真讀一遍你在用的政府服務、求職平臺、身份驗證平臺讓你籤的授權條款，尤其是它能不能把你的身份資料用於營銷。你不一定有權拒絕，但你至少應該知道。 - 如果你身邊有人沉迷於某種東西，無論那是毒品、賭博、犯罪還是別的，先接受一個事實：在他的排序裡，那件事永遠排在你前面。你要做的是判斷什麼時候離開，以及離開之後是否還願意在對方真正決定改變時回來。 - 如果你自己正卡在某條回不了頭的路上，找一個願意相信你能變好的人。佈雷特說他能走到今天，唯一的原因就是有人給了他機會，如果那個 FBI 探員沒有在兩小時內回覆他的私信，他確信自己會在監獄裡再待二十年。