在這篇文章中，我們將跟大家討論有關電子商務網(wǎng)站、銀行網(wǎng)站、以及熱門在線服務中用戶被盜憑證的一些故事。并且一起來看一看，攻擊者如何通過竊取用戶密碼來發(fā)大財…

[[219672]]

在此之前，普通的網(wǎng)絡犯罪分子如果想要訪問某個受密碼保護的特殊網(wǎng)站時，他們一般都會先去暗網(wǎng)論壇逛一圈，看看能不能從暗網(wǎng)市場商家那里找到相關的BOT日志，并定期租用這些日志的訪問權限來更方便地竊取網(wǎng)站密碼。

這些BOT日志賣家指的是一些運行了大型僵尸網(wǎng)絡的網(wǎng)絡犯罪分子，這些僵尸網(wǎng)絡由功能強大的惡意軟件驅動，并能夠從全網(wǎng)范圍內的用戶Web瀏覽器以及基于Web的登錄表單中竊取賬號密碼。只需要幾美金(等值的虛擬貨幣)，他們就能夠買到這些日志的訪問權。而且如果賣家同意的話，犯罪分子可以花更多的錢來直接購買指定賬號的憑證信息。

但是，目前僵尸網(wǎng)絡主機所收集到的絕大多數(shù)被盜憑證仍然處于未使用/未出售的狀態(tài)(除了某些高價值的銀行賬號)。實際上，這些“商品”并不能給犯罪分子們提供巨大的短線盈利，而且存在很大程度的浪費現(xiàn)象。

但是時代已經改變了!現(xiàn)在暗網(wǎng)市場的競爭也越來越激烈，很多黑市網(wǎng)站都開始比拼誰賣的憑證更便宜更準確，而這種類似“價格戰(zhàn)”的競爭方式也讓很多僵尸網(wǎng)絡不再像之前那樣受歡迎了。

下圖顯示的是一個暗網(wǎng)犯罪分子出售盜竊憑證的盈利情況，只有當某人購買被盜憑證時，僵尸網(wǎng)絡主機才能得到收入。到目前為止，他已經出售了超過35000份憑證信息，并且在幾個月內收入就已經超過了28.8萬美元，相當于每一份憑證可以幫他賺8.19美金。

這個專門出售被盜憑證的暗網(wǎng)服務名叫Carder’s Paradise，該服務的賣家版名叫Seller’s Paradise。需要注意的是，犯罪分子把被盜憑證上傳到這里時，并不會第一時間得到收入，只有當他人購買了他上傳的被盜憑證之后，他才能得到報酬。不過這個家伙還算是比較幸運的了，因為已經有差不多9000名客戶從他這里購買了被盜憑證，但是我們這里無法確定他手上總共有多少被盜憑證(肯定超過了35000份)，因為控制面板中只會顯示已成功出售的憑證數(shù)量。

值得一提的是，這個犯罪分子會在多個不同的暗網(wǎng)服務中出售相同的憑證信息。

根據(jù)Carder’s Paradise的廣告介紹，廠商跟被盜憑證出售人之間是五五分賬的，而該暗網(wǎng)服務中不同電商網(wǎng)站以及銀行網(wǎng)站的憑證售價平均為15美元。下圖顯示的是該暗網(wǎng)服務中在售的被盜憑證列表：

實際上，airbnb.com、comcast.com、creditkarma.com、logmein.com和uber.com的用戶憑證價格就是15美元，而AT&T無線的用戶賬號+密碼+目標用戶郵箱訪問權套餐價值約為30美金。

該服務中售價最貴的被盜憑證就是frys.com這種電子商城的了($190)，我不清楚為什么它比其他的都要貴那么多，但毫無疑問的是frys.com的用戶憑證可以給犯罪分子們帶來不小的利益。

這個暗網(wǎng)服務完整的憑證價格列表可以從這個【PDF】中找到，如果你需要CSV格式的話，可以點擊【這里】獲取。

除此之外，這個暗網(wǎng)服務不僅只會出售被盜憑證，它還會出售受害者的個人身份信息，目標用戶的信征個人消費評分越高，身份信息的售價就越高。比如說，如果目標用戶的個人信征評分為850分的話，他的個人信息售價將高達150美元。評分跟價格列表如下：

除此之外，該服務還可以給犯罪分子提供幾乎每一位美國公民的完整信用報告(從三大主要的信用機構獲取)，每份報告的價格平均為35美元。

可能有的同學知道，美國信用機構Equifax在今年年初曾泄露了超過1億4500萬名美國公民的社保安全號碼、生日以及其他敏感數(shù)據(jù)，這可把大家給嚇壞了!但是正如研究人員這么多年來一直在提醒大家的，美國公民的重要個人信息一直都在地下網(wǎng)絡犯罪領域中泛濫。

如果你發(fā)現(xiàn)自己的身份信息被竊取了，你可以趕緊凍結你自己以及你配偶的信用檔案(包括自己孩子的)。日常的信用評級監(jiān)控也是非常有用的，雖然這些服務不能防止犯罪分子用你的身份信息開新戶，但是它們可以幫助你知道自己的身份信息是否被竊取，

最后，還是一個老生常談的話題，即：在多個網(wǎng)站服務上重復使用相同的密碼絕對是一件非?？膳碌氖虑?。需要提醒大家的是，網(wǎng)絡犯罪分子之所以愿意花錢去買這些被盜憑證，主要也是因為很多用戶會在多個網(wǎng)絡服務中使用完全相同的用戶賬號以及密碼。多余的就不說了，一句話：還是雙因素身份驗證(2FA)，請在任何可能的地方開啟2FA功能，永遠不要嫌麻煩，因為等到真正的麻煩到來時，你才知道什么叫麻煩!