「一路回溯到早期的分時系統，我們這些搞系統的人就把使用者、以及他們寫的任何程式碼，都視為我們與彼此的死敵。我們像是暴力貧民窟裡的警力。」——尼德漢（Roger Needham）

「虛偽的臉必須藏起虛偽的心所知道的事。」——《馬克白》

為什麼要先認識敵人#

意識形態家處理他們希望世界成為的樣子，工程師處理世界實際的樣子。 如果你要防禦系統，第一件事就是知道敵人是誰。

早期電腦大多沒有真正的敵人：系統彼此隔離、只服務一家公司或一所大學；學生想駭進去多拿點資源，系統管理員想擋，但那多半是遊戲。1980 年代末 PC 病毒出現、1988 年網際網路蠕蟲爆發之前，幾乎沒人認真看待惡意程式。

大家都上網之後，情況改變了：

• 1990 年代中：第一批垃圾郵件。
• 1990 年代末：第一次分散式阻斷服務（DDoS）攻擊；網路泡沫的郵購爆炸帶來信用卡詐欺。
• 2000 年代中期是分水嶺——地下市場出現，讓壞人得以專業分工：一個幫派寫惡意程式、另一個收割銀行憑證、還有的設計提領（cashout）手法。他們因此得以精進、規模化、全球化，就像十八世紀末的製造業一樣。
• 同期各國政府投入「掌握網際網路」（NSA 用語）——學會像 Google 那樣大規模蒐集並索引資料，提供給分析師。
• 社群網路出現，讓每個人都能在線上有個家。而一旦所有人都上網，那就不只包括間諜和罪犯，也包括混蛋、變態、種族主義者與霸凌者。

你不可能防禦所有可能的威脅，還指望系統以合理成本做有用的事。所以要問：對手會有什麼能力與動機？你對這個評估有多確定？它在系統生命週期內可能怎麼改變？

本章依動機把線上與電子威脅分成四類：

1. 間諜——政府為國家理由所做的監控、入侵與操弄，從網路情報到網路衝突行動。
2. 罪犯——動機主要是錢。
3. 極客／研究者——為樂趣、為錢，或出於社會良知而尋找並通報漏洞，逼迫廠商修補軟體、清理作業。
4. 沼澤裡的惡意行為者——理由是個人的，主要犯下針對「人」的罪行，從網路霸凌到跟蹤狂。

微軟、Google、Facebook 這類大型服務商必須擔心全部四類；多數公司與個人只會遇到其中一部分。但安全工程師理解全貌很重要，才能幫客戶想清楚自己的威脅模型該長什麼樣。

間諜#

政府對網路有一整套被動監控與主動攻擊的工具，數百家廠商販售竊聽、無線截收、以及利用各種漏洞接管電腦與手機的設備。但各國在規模、目標與能力上差異顯著。

就算間諜今天不在你的威脅模型裡，他們用的工具遲早也會落到罪犯手上。

五眼聯盟#

2013 年 6 月 7 日星期五，史諾登（Edward Snowden）揭露案發生——這一行在那之後的每個人都記得自己當時在哪裡。

Prism#

《衛報》頭條是〈NSA 的 Prism 計畫接取 Apple、Google 等公司的使用者資料〉。真相是：Prism 是 NSA 對「原本提供給 FBI 執行有令狀竊聽之存取管道」的內部代號。

美國法律允許在機關說服法院、基於「相當理由」核發令狀後竊聽美國公民；但外國人可以被自由竊聽。

所以對一個外國目標，NSA 分析師只要點一個「我相信此人非美國人」的頁籤，查詢就會自動經由 FBI 基礎設施路由，把該目標的 Gmail 導到分析師的工作站。

這個計畫 2007 年始於微軟；Yahoo 上法院抗爭但敗訴，2008 年底加入；Google 與 Facebook 2009 年加入，Apple 2012 年最後加入。一個大家以為是「提供給執法機關的針對性、有令狀竊聽」的系統，實際上是為外國情報目的提供的規模化存取——外洩投影片稱它是「NSA 報告中最常被使用的 SIGAD」。

更早兩天的第一則報導其實是：外國情報監視法院（FISA court）命令 Verizon 交出所有通聯紀錄（CDR）。資安專業人士不太意外（我們知道情報機關本來就這麼做），但它讓律師與政客炸鍋——因為它證明美國國家情報總監克拉珀（James Clapper）對國會作證「NSA 只在無意間蒐集美國人的國內通訊」是說謊。

Tempora：海底光纜#

2013 年 6 月 21 日曝光的 Tempora，是從國際光纖電纜蒐集情報的計畫。

• 光在康瓦爾一地，200 條跨大西洋光纖被接上，任一時間可蒐集 46 條。
• 每條 10 Gb/s，總資料量可高達每天 21 PB，因此進來的資料流要先做大規模減量（丟掉影片、新聞之類）。
• 材料再用**選擇子（selectors）**篩選——不只是電話號碼，還有 IP 位址這類更一般的搜尋詞——並保存 30 天以備後續調閱。

Tempora 有很重的英國參與。英國實體接觸得到約四分之一的網際網路骨幹，因為現代電纜傾向鋪在舊電話電纜的路徑上，而那些又常鋪在十九世紀電報電纜的同一組端站之間。

換句話說，英國最重要的情報資產之一，是它為了控制十九世紀帝國而建的通訊基礎設施的遺產。 到 2012 年，GCHQ 的 300 名分析師與 NSA 的 250 名分析師，分別用 40,000 與 31,000 個選擇子，每天篩選 6 億次「電話事件」。

Muscular：資料中心之間的明文#

跑在 Tempora 之上的 Muscular（2013 年 10 月 30 日曝光）蒐集大型服務商（如 Yahoo 與 Google）資料中心之間流動的資料。你的信件在送往服務前端的路上可能用 SSL 加密了，但在各公司資料中心之間卻是明文流動。

《華盛頓郵報》刊出 NSA 那張「Google 雲端利用」投影片後（原書圖 2.1；投影片上那個手繪笑臉讓雲端服務業的主管與工程師視為人身侮辱），各公司急著把自家網路上的一切都加密。

這件事提醒了業界：即使你遵守令狀，情報機關只要有辦法，還是會駭你。 它也讓業界外的人停下來想：Google 透過搜尋、郵件、地圖、行事曆等服務積累了如此深入我們生活的存取權，情報機關無限制地取用其紀錄（Facebook 與微軟也一樣）是重大的隱私侵害。

兩年後史諾登指出：許多看似加密的網路通訊其實不然。現代網站使用 Akamai、Cloudflare 這類內容遞送網路（CDN）；網頁流量從使用者的筆電或手機到 CDN 在其 ISP 的接入點之間是加密的，但回程（backhaul）除非額外付費否則不加密——而多數網站不付。於是客戶以為連線是加密的，它擋得住隨意窺探，卻擋不住國家、或任何能讀取骨幹流量的公司。

特種蒐集與供應鏈竄改#

NSA 與 CIA 共同運作特種蒐集處（Special Collection Service, SCS），最顯眼的活動可能是全球美國與盟邦大使館屋頂附近的塑膠面板——底下藏著吸取行動通訊的天線（代號 Stateroom）。

供應鏈竄改也日益重要：SCS 例行攔截從美國出口的路由器等設備，加裝監控植入物、以原廠封條重新包裝，再送往客戶。而供應鏈竄改的極端形式，是 NSA 隱密買下 Crypto AG——冷戰期間不結盟國家的主要密碼設備供應商，一家瑞士公司。

Bullrun 與 Edgehill：削弱密碼學#

Bullrun（NSA 代號）與 Edgehill（GCHQ 代號）指的是「密碼賦能（crypto enabling）」——一個每年一億美元、在技術堆疊各層竄改供應品與供應商的計畫。

它的手段層層遞進：

• 試圖引導或誤導學術研究。
• 把「可信的人」安插進標準委員會，並利用 NIST 的影響力讓弱標準被採用。最壯觀的事件是 Dual_EC_DRBG 醜聞：NIST 標準化了一個基於橢圓曲線的亂數產生器，事後證明其中含有 NSA 後門。
• 但造成最多實際損害的其實是對金鑰長度的限制，搭配對盟邦施加外交壓力以執行出口管制，讓需要出口許可的公司被扭著手臂去用「適當的」標準。

結果是今天仍在使用的許多系統被迫使用弱密碼學，導致從旅館與汽車門鎖到 VPN 的各種漏洞。此外，供應鏈攻擊還把隱蔽漏洞引進廣泛使用的軟體——許多國家在玩這個遊戲，也有一些私人行為者。

Xkeyscore：搜尋這一切#

有了如此龐大的資料蒐集，你需要好的搜尋工具。五眼用 Xkeyscore 搜尋電腦資料——一個分散式資料庫，讓分析師遠端搜尋已蒐集資料並組裝結果。NSA 文件稱它是自己「觸及範圍最廣」的情報開發系統，可搜尋郵件、簡訊、聊天、通訊錄與瀏覽紀錄。

2008 年訓練投影片的範例查詢包括：

• 「我的目標說德語但人在巴基斯坦，怎麼找到他？」
• 「顯示所有來自伊朗的加密 Word 文件。」
• 「顯示伊朗所有的 PGP 使用。」

透過搜尋異常行為，分析師能找到嫌疑人並辨識出強選擇子（郵件地址、電話號碼、IP 位址）供更傳統的蒐集使用。

資料量之大使得流量資料只保存 30 天、內容只保存 3–5 天。

打敗密碼學的其他途徑#

• Longhaul：一個解密服務，吃進密文、吐出明文。詳細的密碼分析技術屬於「極度區隔資訊（ECI）」，未出現在史諾登文件中，但有些文件談到密碼分析的近期突破。

  外洩文件顯示 VPN 加密設定的協定訊息被勤奮蒐集。2015 年有密碼學家推測，某種變形的「Logjam 攻擊」對國家級攻擊者是可行的，可打擊多數 VPN 與許多 TLS 連線之 Diffie-Hellman 金鑰交換所用的 1024 位元質數。另有人指出 NSA 密碼學家參與了相關標準、以及後來發現的協定瑕疵；還有人指出即使沒有數論進展或協定漏洞，NSA 有足夠的錢直接暴力破解 1024 位元 Diffie-Hellman——而既然許多人使用同一小群質數模數（事實確實如此），這筆投資很容易被合理化。

• Quantum：文件記載最完整的 NSA 網路流量攻擊，做法是動態利用通訊端點之一。要竊聽一個到網頁郵件供應商的加密 SSL/TLS 工作階段，Quantum 系統會發射一發「shot」去攻破瀏覽器。變種之一 Quantuminsert 用注入封包把瀏覽器重導到 Foxacid 攻擊伺服器；其他變種攻擊軟體更新，以及在手機 app 中執行程式碼的廣告聯播網。

• CNE（Computer and Network Exploitation）：NSA 對「駭入」的通稱。

案例：Operation Socialist#

GCHQ 在 2010–11 年駭入比利時主要電信商 Belgacom 的代號。攻擊鏈是：

1. 用 Xkeyscore 辨識三名關鍵技術人員；
2. 在他們造訪 LinkedIn 等網站時用 Quantuminsert 接管其 PC；
3. 用他們的系統管理員權限在數十台伺服器安裝惡意程式——認證伺服器（擴大存取）、計費伺服器（掩蓋足跡）、以及公司的核心 Cisco 路由器。

這讓 GCHQ 取得大量行動漫遊流量（Belgacom 為許多外國業者在歐洲漫遊時提供服務），也取得了歐盟執委會與其他歐洲機構的電話系統存取權。

一個北約兼歐盟成員國對另一個成員國的關鍵基礎設施發動網路攻擊，讓許多人措手不及。鑑於這些機構為英國與其他成員國制定許多法律，這幾乎相當於一位美國州長讓州警駭入 AT&T，好竊聽國會與白宮。

後續同樣值得注意：Belgacom 工程師 2012 年開始起疑、2013 年春天確認被駭。2018 年比利時檢察官結案時我們才知道，這次攻擊必定經當時的英國外相海格（William Hague）授權，但證據不足以起訴任何人；調查在技術與政治上都遭受各種阻撓——軟體在被發現後幾分鐘內就開始自我刪除，而歐洲刑警組織（其首長是英國人）等機構拒絕協助。歐洲刑警組織後來採取的政策是：只協助調查「疑似犯罪來源」的入侵；對政府所為的入侵則無話可說。

一份 GCHQ 的 CNE 投影片說明：CNE 用來支援傳統訊號情報（重導流量、以及「賦能」＝破解密碼學）；它必須永遠「英國可否認」；還可用於製造「效果」，例如降級通訊或「更改極端主義網站上使用者的密碼」。

其他文件顯示，情報機關經常鎖定中東、非洲乃至全球的電信商與 ISP 管理員——攻陷一名關鍵技師「通常就是進入網路的入場券」。一位電信高層解釋：「當時行動網路業者對網路安全毫無概念。多數網路對供應商開放遠端維護，只用一組帳號密碼，而中國或印度的那個技師根本不知道自己的 PC 已經被駭。」

分析師的視角#

情報分析師手上有一大袋工具。

• 狩獵階段：用 Xkeyscore 的流量資料繪製聯絡網路，找出組織中的關鍵人物。有各種巧妙工具輔助，例如標記「一起旅行過的手機」的 Cotraveler。
• 蒐集階段：用 Prism 檢視目標在 Facebook、Google、微軟的帳號，用 Xkeyscore 看他們造訪哪些網站。流量資料分析給的更多：儘管加密日益普及，一個家庭的進出通訊仍會洩漏何時、用了哪個 app 或裝置、用了多久。
• 高價值目標：可在其筆電或手機上直接安裝工具——實體定位、變成房間竊聽器、甚至當遠端攝影機；下載通訊錄與聯絡歷史再餵進 Xkeyscore 遞迴搜尋其直接與間接聯絡人；竊聽通訊 app，在內容解密後才蒐集，從而繞過端對端加密；設定警報，在目標收發感興趣的訊息或改變位置時通知。

涵蓋相當完整。而到了要下殺手的時候，目標的手機可以用來導引炸彈或飛彈。難怪史諾登堅持採訪他的記者要把手機放進冰箱。

分析師最後還有一個可隱密上網的代理——通常是殭屍網路上的某台機器。它甚至可能就是你家書房的那台 PC。

攻勢行動與攻擊的規模化#

NSA 局長同時領導美國網戰司令部（US Cyber Command），負責攻勢網路行動。其中真正造成差別的是 Stuxnet。

電腦科學家知道演算法如何**規模化（scale）**很重要，攻擊完全一樣。

竊聽單一支手機很難：你得帶著無線電與密碼分析裝備開車跟在嫌疑人後面、冒著被發現的風險，還得指望在他從一個基地台漫遊到另一個時抓到訊號；或者帶著偽基地台跟車，指望對方手機因訊號較強而漫遊過來——但那又冒著被電子偵測的風險。兩者都是高技術、低產出的工作：大概四分之一的時間會跟丟訊號。

每往上一階，資本成本上升，但每次竊聽的邊際成本下降。五眼的策略本質上就是「蒐集全世界的一切」：建立與維護基礎設施可能要花數十億，但一旦它在那裡，你就擁有一切。

攻勢網路行動同理，它比較像破壞（sabotage）。戰時你可以派突擊隊炸掉敵方雷達站，但做超過一兩次，你的人就會撞上大量哨兵。所以動能攻擊用別的方式規模化：造幾百架轟炸機、幾百門火砲，或（今天）幾千架無人機。

那你要怎麼把網路攻擊規模化到不只癱瘓一座電廠、而是對手的整個電網？五眼的做法是：就像 Google 用幾千台伺服器保存一份網際網路的副本並索引所有內容與連結，美國網戰司令部保存一份索引「全世界機器各自跑什麼版本軟體」的網際網路副本（前述 Mugshot 系統），於是五眼的網路戰士能立刻看出哪些目標可以被哪些 exploit 拿下。

因此對競爭國家而言，關鍵問題不只是「能否創造出一些五眼進不去的電子空間」，而是能否把自己的情報與攻勢能力規模化，而不必倚賴美國。我們在線上看到的掃描與探測數量顯示，NSA 並非唯一在打造可規模化網路武器的一方；其中有些甚至不是國家，而可能只是軍火商或傭兵。

中國#

中國現在是美國的主要競爭者，不只 GDP 第二，也是科技強權。中國缺乏 NSA 的盟友網路與全球基礎設施接取（雖然正在努力），但在境內要求對本地資料的無限制存取。

一連串事件標記了外國服務商在中國的退場：

• 2002 年，Yahoo 的系統被用來設陷阱逮捕異議人士王小寧；2005 年阿里巴巴接手 Yahoo 中國業務；2007 年王的妻子在美國法院控告 Yahoo，並證明 Yahoo 就此事誤導了國會。
• 2008 年披露：中國版 Skype 被修改為掃描敏感關鍵字，命中則把使用者訊息上傳到中國的伺服器。
• 2009 年 12 月，Google 發現對其企業基礎設施的中國攻擊（Operation Aurora）；中國探員駭進 Google 用來為 FBI 執行竊聽的系統，以查出自己在美國的哪些探員正被監控。幾個月後 Google 退出中國。此時 Facebook、Twitter、YouTube 早已被封鎖。

浮現的中國戰略是：國內總體控制，加上日益積極的海外蒐集。

從約 2002 年起，一系列針對美英國防機構與承包商的駭客攻擊（代號 Titan Rain）被歸因於中國軍方。依據美國外國軍事研究辦公室 2004 年的研究，中國軍事準則認為國家正與西方處於戰爭狀態：我們是在延續冷戰、藉由網路對中國輸出顛覆性思想以推翻其共產政權。中國領導人因此把美國服務商、新聞網站與 Tor 這類匿名工具（美國國務院資助它，好讓中國等地人民擊敗審查）視為與觀測其軍事防禦的監視衛星、飛機為同一塊布料。Yahoo 與 Google 因此被視為與洛克希德馬丁、BAe 一樣的合法目標。

隨後是一連串中國國家駭客事件：2009 年與力拓（Rio Tinto）的鐵礦石價格爭議、同年墨爾本國際影展因放映維吾爾領袖紀錄片而被駭；2011 年中國在伊朗人追查出 CIA 的隱密通訊系統後駭入它，處決了約 30 名探員（此事後來才公開）。

第一個閃光燈時刻是 2013 年外洩的五角大廈報告：中國駭客竊取了 F35 聯合打擊戰鬥機以及其他一系列武器系統的部分機密。

申請最高機密權限的員工被要求交代一切可能被用來勒索他們的資訊，從青少年時期的用藥到未出櫃的同志關係；一般最高機密權限要申報過去五年所有的性伴侶，而處理訊號情報材料的 Strap 權限，候選人甚至要申報在教會定期見面的外國人。所以這次外洩影響的遠不只 2,200 萬人。

官方說法是這種侵入性資料蒐集是為了降低情報人員被勒索的風險（憤世嫉俗者則認為也是為了能抹黑吹哨者）。不論動機為何，把所有這類資訊放在同一個地方是蠢到極點；那是一個真正的「毀滅資料庫」。

多年來中國的「和平崛起」準則意味著在夠強之前避免與其他大國衝突。整體姿態是大體防禦性的資訊戰：國內普遍監控、一個比誰都更能抵禦網路攻擊的圍牆花園式國內網際網路，加上可觀且成長中的能力——主要用於支持國家戰略利益的勤奮情報蒐集。

但它已開始以各種方式霸凌他國，有時涉及線上行動：2016 年南海島嶼爭議期間駭入河內與胡志明市機場系統、顯示侮辱訊息並迫使旅客手動報到；2020 年歐盟譴責中國散布關於新冠疫情的破壞性假新聞，澳洲則譴責其在呼籲對疫情起源進行國際調查後遭受的網路攻擊。這些資訊行動展現了一流的公開與隱蔽假訊息能力。

外交評論者也提出平衡的觀察：中國的貿易政策雖具侵略性，但與 1970 年代的日本無異，也不如美國侵略；新冷戰和上一次一樣誤入歧途、一樣可能浪費且危險；中國維護國際秩序多於破壞它，而且比二戰以來的美國維護得更一致。中國的對外宣傳目標是把自己呈現為世界的正面社經典範。

俄羅斯#

俄羅斯和中國一樣缺乏美國的平台優勢，同樣以使用魚叉式釣魚與惡意程式的駭客團隊來彌補。但它走的是低路：經常扮演破壞者，試圖擾亂國際秩序，有時還藉油價上漲（其主要出口）直接獲利。

其線上戰略姿態與中國有四點不同：

1. 它是網路犯罪的主要中心——地下市場最早於 2003–5 年在俄羅斯與烏克蘭出現。
2. 國內網際網路相對開放，且與西方交纏（包括 VK 與 Yandex 這類主要服務商），儘管它正試圖變得更像中國那樣封閉。
3. 重建區域強權的策略執行得比中國積極得多，包括對喬治亞、烏克蘭等鄰國的直接軍事干預。這些干預混合了網路攻擊與「小綠人」（制服上沒有俄羅斯標誌的軍人），外加否認的政治策略。
4. 1989 年蘇聯解體時被美歐羞辱，至今仍感到被包圍。約自 2005 年起，其目標是削弱美國與歐盟，並推廣威權主義與民族主義作為規則導向國際秩序的替代。2013 年後推行得更加強力；隨著英國脫歐、匈牙利、土耳其與波蘭出現威權政府，這個策略看來正在得勝。

NotPetya：至今最具破壞性的網路攻擊#

2017 年 6 月 27 日。

• 初始散布：透過 MeDoc（絕大多數烏克蘭企業使用的會計軟體）的更新服務。
• 橫向移動：在組織內經由 Windows 檔案分享，利用 EternalBlue 漏洞——一個有著有趣身世的 NSA exploit。
• 憑證竊取：搭配從 Windows 記憶體回復密碼的 Mimikatz 工具。
• 酬載：假裝成勒索軟體，加密硬碟並索取 300 美元比特幣。但它沒有替付款者解密的機制，所以其實是破壞性的阻斷服務蠕蟲。唯一的處理方式是重裝作業系統並從備份還原檔案。

EternalBlue 的流轉史很說明問題：2016 年 3 月起，一個中國幫派開始對越南、香港與菲律賓的目標使用它（可能是發現並逆向工程而來——有句話說「你不是發射一件網路武器，你是分享它」）；2017 年 4 月被 Shadow Brokers 外洩；6 月被俄羅斯使用。

NotPetya 癱瘓了銀行、電信商，甚至前車諾比核電廠的輻射監測系統。更嚴重的是，它從烏克蘭擴散到在當地設有辦公室的國際企業：全球最大貨櫃航運公司快桅（Maersk）必須更換多數電腦並賠償客戶延遲，成本 3 億美元；FedEx 也損失 3 億美元、億滋（Mondelez）損失 1 億美元。

億滋的保險公司以「戰爭行為」為由拒賠——因為烏克蘭、美國與英國政府都把 NotPetya 歸因於俄羅斯軍事情報局 GRU。

2016：脫歐與美國大選#

英國脫歐公投中，主要干預是對脫歐陣營的財務支持（後來被認定因超額支出而違法），並輔以社群媒體上的密集造勢。美國大選中，俄羅斯干預在選戰期間即遭歐巴馬總統譴責（導致經濟制裁重啟），事後也被美國情報體系譴責。前 FBI 局長穆勒（Robert Mueller）的調查發現，俄羅斯透過其「網路研究社」水軍農場的假訊息與社群媒體行動、以及 GRU 駭入民主黨全國與競選委員會（尤其是柯林頓競選主委 John Podesta）的郵件，進行了非常廣泛的干預。

這類干預的效果很難評估，兩種說法都值得聽：

• 一份給美國參議院外交委員會的報告描繪了一個持續政策：自普丁掌權以來，俄羅斯持續削弱民主國家與規則導向國際秩序的影響力，扶植左右兩翼的威權政府，能製造麻煩就製造。它指出歐洲國家採用的廣泛防禦措施（關於選舉行為的跨黨派協議、提升選民媒體識讀）值得美國採用。
• 另一方面，本克勒（Yochai Benkler）告誡民主黨人別以為川普當選全是俄羅斯的錯；民眾對政治菁英的疏離，根源老得多也深得多。

俄羅斯與西方的資訊戰早於普丁，它延續了舊蘇聯藉由各種民族解放運動與恐怖組織煽動衝突以削弱西方的策略。而現代版的劇本重點是：不只是駭變電所，而是駭選民的心智——破壞對制度、甚至對事實的信任，利用社群媒體，把政治重塑為演藝事業。

普丁是柔道選手；柔道講的是利用對手的力量與動能把他絆倒。

其餘各國#

其他國家的網路能力範圍很廣，但有共同主題，包括工具的性質與來源。中東各國政府被阿拉伯之春震撼（利比亞甚至在 2010 年 4–7 月關掉網際網路，當時叛軍正用 Google 地圖為美英法戰機產生目標檔），此後發展出結合間諜軟體、對高知名度目標的駭入、水軍農場在公共論壇灌注辱罵留言，再加上實體脅迫的策略。

過去把武器賣給遙遠的獨裁者，不會讓你自己的居民陷入危險；但網路武器有全球性的效果。一位倒楣到出現在某個討厭政府的目標聯絡人清單上的美國人或英國人，即使安坐家中也會被打到。

非政府組織曾試圖遏止這種網路軍火貿易。一案中，NGO 主張敘利亞政府向一家英國公司的德國子公司採購大規模監控設備應受出口管制，但英國當局不願阻擋——GCHQ 認定：如果阿薩德總統的網路上終究會有大規模監控裝置，那應該是英國裝置而不是烏克蘭裝置。

歸因#

常有人說網路不一樣，因為歸因很難。作為一般命題，這是不對的：線上匿名比你想的難得多，即使聰明人也會犯下暴露自己的行動安全錯誤，而威脅情報公司已累積大量資料，在許多案例中能以合理機率歸因，連偽旗行動也不例外。

但有時它確實成立。

罪犯#

網路犯罪現在約佔全部犯罪的一半，不論以數量或金額計（至少在已開發國家）。究竟略多於或略少於一半，取決於定義（線上報稅後，稅務詐欺算不算？）與你問的問題（要不要計入騷擾與網路霸凌）——但即使用窄定義，也仍接近一半。

直到不久前，多數司法管轄區的警方都盡量忽略它：在美國它被打發成「身分竊盜」另外計算；在英國，2005–15 年間受害者被告知去找銀行而不是警察。結果是：當犯罪像其他一切一樣移到線上時，線上的部分沒被計入，於是犯罪看起來下降了。

電腦詐欺自 1960 年代就存在（早期著名案例是 Equity Funding 保險公司，1964–72 年建立超過 6 萬份假保單賣給再保險公司，還特地做了一套電腦系統來追蹤它們）；針對支付系統的電子詐欺自 1980 年代存在；垃圾郵件在 1990 年代網際網路對外開放時到來。

但早期詐騙多半是家庭手工業。現代網路犯罪大概可以定年在 2003–5 年——地下市場出現，讓壞人得以專業分工並把本業做好，正如工業革命對實體經濟所做的一樣。

犯罪基礎設施#

2005 年後，地下市場催生出專門提供犯罪基礎設施的人：殭屍網路牧人、惡意程式開發者、垃圾郵件發送者、提領操作者。

這個生態系或許只有數千人、營收在數千萬到低數億美元之間，卻對產業與社會加諸數十億的成本。網路犯罪工業化後，多數「職缺」現在是客服與系統管理這種無聊角色，包括為了規避執法下架而做的所有繁瑣建置工作。他們任職的「公司」各有專精，創業者與技術專家能賺到真錢。（而且網路犯罪產業在疫情期間相當興旺。）

殭屍網路牧人#

殭屍網路（botnet）——被攻陷電腦組成的網路——最早可能見於 1996 年對紐約 ISP Panix 的攻擊，使用醫院裡被攻陷的 Unix 機器進行 SYN flood。下一個用途是垃圾郵件：2000 年 Earthlink 垃圾郵件者發出超過一百萬封釣魚郵件。

一旦網路罪犯開始組織化，規模就跳上去了。到 2007 年，Cutwail 殭屍網路用超過一百萬台受感染機器，每分鐘發出五千萬封垃圾郵件。

殭屍網路的技術演進是一場攻防賽局：

• 中央 C&C：機器人先聯絡命令與控制伺服器取得指令。這些伺服器會被下架，或被威脅情報公司接管當成 sinkhole 來監測受感染機器，並把清單餵給 ISP 與企業。

• P2P 殭屍網路：2007 年 Storm 突然成長到佔所有 Windows 惡意程式的 8%，主要藉郵件附件感染，並用 eDonkey P2P 網路尋找其他受感染機器。它不只用於垃圾郵件，也用於 DDoS、股票拉抬倒貨詐騙與收割銀行憑證。防守方的反制是讓大量對等節點加入該網路以收割機器人位址清單，2008 年底 Storm 已縮到十分之一。

• 網域產生演算法（DGA）：Conficker 蠕蟲每天產生 250 個網域名，受感染機器會全部試一遍，指望殭屍主人租到了其中之一。防守方起初直接把網域買下來；後來的變種每天產生 5 萬個網域，於是業界工作小組與註冊商協議把這些網域直接停用。2009 年 Conficker 大到約有一千萬台機器，被認為對最大的網站、甚至對國家構成威脅。

  和 Storm 一樣，隨機化是把雙面刃：防守方可以蹲在其中一部分網域上，收割受感染機器的資料饋送。到 2015 年受感染機器已降到不足一百萬台。

不論能否拔掉 C&C 系統，殭屍網路感染的通用解法都是清理受感染機器——但這帶來大量規模與誘因問題。防毒公司提供工具、微軟提供修補，但許多人不用。只要你被感染的 PC 只是偶爾發垃圾郵件、其他方面運作正常，你何必費事？

但頻寬要花 ISP 的錢，所以有些 ISP（尤其是 Comcast 這類有線業者）會辨識受感染機器並把使用者關進「圍牆花園」，直到他們承諾清理。到 2019 年這變得比較少見了——人們的 wifi 上現在有各式各樣的裝置，其中許多根本沒有使用者介面，與人溝通變難了。

2020 年的樣貌是：許多幾萬台機器規模的小型殭屍網路（小到多數防守方懶得理），加上一些傾向多層式的大型網路——底層通常用 P2P 機制讓步兵機器人與少數控制節點通訊，控制節點再用 DGA 找到殭屍主人。把步兵切成多個小殭屍網路，讓防守方難以全部滲透；控制節點則可能位於防守方難以觸及之處。這類殭屍網路 2020 年的大錢看來在點擊詐欺。

最新的創新是 Mirai，一族利用 IoT 裝置的殭屍網路。第一支 Mirai 蠕蟲感染小米製造、具有無法更改之原廠預設密碼的監視攝影機。Mirai 殭屍網路掃描網際網路的 IPv4 位址空間尋找其他脆弱裝置，這些裝置通常在開機後幾分鐘內就被感染。首次大規模攻擊在 2016 年 10 月打垮 DynDNS，讓 Twitter 在美國東岸停擺六小時。此後出現超過一千種變種。

任一時間點大概有半打大型殭屍網路牧人。例如 Mirai 的操作者看來是兩三個團體，可能牽涉數十人。

惡意程式開發者#

除了替全球情報機關及其承包商寫惡意程式的數百名軟體工程師之外，可能還有數百人在為犯罪市場寫惡意程式（沒人真的知道，但可以監測駭客論壇流量來猜數量級）。

這個社群裡有專門分工：

• 有人專注把漏洞變成 exploit——對使用堆疊金絲雀（stack canaries）、ASLR 等技術的現代作業系統來說這並不簡單。
• 有人專攻 exploit 安裝的遠端存取木馬。
• 有人打造韌性 C&C 通訊所需的 P2P 與 DGA 軟體。
• 有人設計銀行詐欺的專用酬載。

價值最高的作業，看來是那些持續升級以應付防毒公司最新反制措施的平台。每個專門市場區隔通常只有少數幾個業者，所以逮捕其中一個確實能造成一段時間的差別。有些供應者位於不引渡本國人的司法管轄區（如俄羅斯），而俄羅斯犯罪軟體不只被俄羅斯國家行為者使用，也被別人使用。

隨著 Android 取代 Windows 成為最常用作業系統，Android 惡意程式也隨之興起。在中國與二手／老舊手機多的國家，這可能是利用未修補漏洞取得 root 的軟體；美歐有大量未修補手機（許多 OEM 在手機停售後就不再提供修補），但那裡的問題往往只是做壞事的 app，例如竊取用來認證銀行交易的簡訊。

垃圾郵件、大量帳號攻陷與雇傭攻擊#

• 垃圾郵件：2010 年時，垃圾郵件讓全球 ISP 與科技公司每年花費約 10 億美元的反制成本，但操作者只賺到大概其中的 1%。主要受益者可能是 Yahoo、Hotmail 與 Gmail 這些網頁郵件服務——它們因規模而能運作更好的垃圾郵件過濾器，2010 年代有數億人轉用它們。垃圾郵件現在是高度專業化的生意，因為突破現代過濾器需要一整箱不斷變化的伎倆；若你想用垃圾郵件散布勒索軟體，付錢給既有服務比從頭學划算得多。

• 大量帳號攻陷：有些殭屍網路持續嘗試猜測密碼與密碼救回問題以攻破郵件與其他線上帳號。一家大型郵件服務商可能每天要救回數萬個帳號。高峰通常出現在駭客從某網站攻陷數百萬組郵件與密碼、然後拿去所有其他網站試——這種**憑證填充（credential stuffing）**在 2019 年仍是數量最大的帳號攻陷嘗試類型。

  主要郵件帳號常帶有其他帳號的救回資訊，運氣好還包括銀行帳號。它們也能用於「受困旅客」這類詐騙：受害者的帳號寄信給所有朋友，說自己在某外國城市被搶、急需錢付旅館費。

• 按安裝付費（pay-per-install）服務：依訂單、大規模地在手機或 PC 上植入惡意程式。手法從各種釣魚誘餌（要你安裝特殊播放器的免費色情網站、運動周邊優惠、時事新聞）到偷渡式下載。這類服務常由殭屍網路提供（它們本來就需要維持自己的數量），對第三方客戶的報價大約是美歐每千台受感染機器 10–15 美元、亞洲約 3 美元。

• 針對性攻擊／雇傭駭客（hack-for-hire）：會為了通常約 750 美元的費用，試圖攻陷特定目標帳號。他們會調查目標、做多次魚叉式釣魚嘗試、嘗試密碼救回程序，並看看能否從關聯帳號突破。這延續了私家偵探的傳統（過去協助離婚案件、替小報跟蹤名人），只是如今服務可以匿名線上購買，倫理約束更少了。研究者揭露的 Dark Basin 就是一家雇傭駭客公司，曾鎖定埃克森美孚的批評者與網路中立倡議者，最終被追溯到印度的一家公司。

提領幫派與勒索軟體#

二十世紀偷信用卡號的人還得費事去買東西再轉賣才能變現。現在有專門的人在地下市場買下被攻陷的銀行憑證並加以利用。

提領技術每幾年就換一次，因為新的路徑會被人在全球洗錢管制中發現，而法規又被微調來堵住它們。有些提領公司組織**車手（mules）**大軍，把部分風險轉嫁給他們：

• 2000 年代中期：車手可能是吸毒者，拿被盜信用卡去店裡買東西。
• 接著是一段時期：不知情的車手被「代表外國公司當代理人可賺大錢」的廣告招募，實際上被用來透過個人銀行帳戶匯出贓款。
• 洗錢者接著改用拉脫維亞的俄資銀行，俄羅斯車手到場提現。
• 然後是設在哥斯大黎加的無照數位貨幣 Liberty Reserve，直到 2013 年被關閉、創辦人被捕。
• 比特幣接手了一陣子，但隨著幣價變得更波動、以及美國財政部開始扭著交易所的手臂要求它們識別客戶，它在網路犯罪社群的人氣下滑。

**勒索軟體（ransomware）**的成長，可能正是加密貨幣人氣下滑的原因之一——涉入的幫派轉向了受害者更容易使用的付款方式。

• 2016–17 年，美國受害者遇到的勒索軟體中，42% 索取 Amazon 禮品卡這類預付憑證，14% 索取電匯，只有 12% 索取加密貨幣；許多針對消費者的低階勒索軟體現在其實是「恐嚇軟體」，根本沒真的加密檔案。
• 2017 年起出現勒索軟體即服務平台；使用這些平台的操作者往往是業餘者，即使你願意付錢他們也解不開。
• 同時有一批更專業的幫派滲透系統、安裝勒索軟體、等到好幾天甚至好幾週的備份資料都被加密，才索取大筆比特幣。這在 2019–20 年快速成長，美國最高知名度的受害者是公部門：數百個地方政府機構與若干醫院發生服務中斷。疫情期間更多醫院被鎖定，加州大學舊金山分校醫學院付了超過一百萬美元。勒索軟體操作者也開始威脅大規模洩露個資，以逼迫受害者付款。

針對銀行與支付系統的攻擊#

對卡片支付系統的攻擊始於遺失與遭竊卡片，1980 年代出現規模化偽造；1990 年代網路泡沫讓許多企業在幾乎不懂如何偵測詐欺的情況下開始線上銷售，進一步推高規模；而正是卡片詐欺在 2000 年代中期催生了地下市場，因為罪犯需要買賣被盜卡號與相關設備、服務的管道。

另一個重要成分是發卡前詐欺，美國稱為「身分竊盜（identity theft）」——罪犯以你的名義取得信用卡、貸款與其他資產，把爛攤子留給你收拾。

這個詞該打上引號，因為它其實只是老派的冒名頂替罪。在二十世紀，若有人跑去銀行冒充我、借了錢然後消失，那是銀行的問題，不是我的問題。到了二十一世紀初，銀行開始宣稱被偷的是「你的身分」而不是「他們的錢」。現在這種責任推卸少了一些，但 FBI 仍把大量網路犯罪記錄為「身分竊盜」，這有助於把它排除在美國主流犯罪統計之外。

卡片詐欺生態系現在相當穩定：2011 與 2019 年的調查顯示，這十年間卡片詐欺金額翻倍，但佔交易金額的比例略降——系統在成長的同時變得更有效率。

許多卡號是在針對零售商的駭客攻擊中被收割的，這對零售商可能非常昂貴（要付錢通知受影響客戶、並補償銀行重發卡片）。如同犯罪基礎設施一樣，總成本可能輕易是罪犯實際得手金額的兩個數量級以上。

線上銀行攻擊在 2005 年隨大規模釣魚攻擊而攀升：看似來自銀行的郵件把客戶趕到仿冒銀行網站以竊取密碼。銀行以雙因子認證、或「每次只問密碼中幾個字母」這種低成本替代品回應；罪犯自約 2009 年起的反應是憑證竊取惡意程式。

• Zeus 與後來的木馬潛伏在 PC 上，直到使用者登入它們認得的銀行網站，然後向車手帳戶付款並對使用者隱藏這些活動——即所謂的「瀏覽器中間人（man-in-the-browser）」攻擊。有些木馬甚至即時連線到真人操作員。
• Zeus 與後來 Dridex 銀行惡意程式背後的罪犯在 2019 年 12 月被美國調查人員點名起訴，被控竊取約一億美元，但他們仍在俄羅斯逍遙法外。

企業還必須注意商業郵件入侵（business email compromise）：罪犯攻陷一個企業郵件帳號後告訴客戶「我們的銀行帳號變了」；或冒充執行長命令財務主管付款；以及假冒銀行人員、話術你交出授權付款的驗證碼。

多數針對公司支付系統的針對性攻擊，理論上可被多數大公司已有的控制程序擋下。所以典型的目標是「管理不善的大公司」，或者「錢多到值得偷、但控制不足以鎖死一切的中型公司」。

產業別的網路犯罪生態系#

銀行以外，若干產業也有自己成形的網路犯罪圈。一個例子是旅遊詐欺：有一整個生態系的人在販售以詐欺手段取得的機票——有些單純用被盜信用卡號買、有些藉操弄或駭入旅行社與航空公司系統直接取得、有些由這些公司的貪腐員工訂票、有些則是直接從民眾手中騙走里程數。

這些低價機票透過垃圾郵件或各種聯盟行銷詐騙直接販售。部分搭乘者知道票有問題，另一些則是傻瓜——這使得「在登機門逮人」很難解決問題。（詐騙者還會在最後一刻才供票，讓警報通常來不及。）

內部攻擊#

自從企業開始僱人，內部人詐欺就是問題：員工騙公司、合夥人互騙、公司騙股東。主要防禦是簿記。 複式簿記的發明（現存最早紀錄來自一千年前的開羅）讓企業得以規模化，超出擁有它的家族。這整個生態系隨技術演進，其設計由四大會計師事務所驅動——它們對審計客戶提出要求，進而推動會計軟體與其支援之安全機制的發展。

執行長犯罪#

公司也互相攻擊，並攻擊自己的客戶。

• 1990 年代起，印表機廠商用密碼學把客戶鎖進專有墨水匣，而賣填充品的公司則在破解那些密碼。遊戲主機廠商對副廠玩的是同一個遊戲。用密碼學做配件控制現在無所不在，連冰箱的濾水芯上都有。

• 美國法院在 Lexmark 訴 SCC 案中判定這樣做沒問題：印表機廠 Lexmark 控告向獨立墨水廠銷售其安全晶片複製品的 SCC，結果敗訴。

  所以既有者現在可以僱用能找到的最強密碼學家去鎖住產品，挑戰者則可以僱用最強的密碼分析家去解鎖，而客戶可以用任何辦法去破解。這裡的衝突是合法且公開的。和國家行為者一樣，企業有時會組建擁有多個博士、數百萬美元經費，以及電子顯微鏡這類資本設備的團隊。

並非所有企業攻擊都如此公開。最著名的隱蔽 hack 大概是福斯汽車（Volkswagen）對歐盟與美國排放測試機制的攻擊：售出柴油車的引擎被寫成在偵測到標準排放測試條件時乾淨運轉，其餘時候則高效運轉。為此福斯執行長被開除並在美國被起訴（德國不引渡他），奧迪執行長則在德國被開除並入獄。福斯提列了 250 億歐元以支應刑事與民事罰款及賠償。其他車廠也在作弊：戴姆勒 2019 年在歐洲被罰 8.6 億歐元，2020 年在美國達成的和解包括四個政府機關 15 億美元罰款加上 7 億美元集體訴訟。

有時產品本身就被設計來打破整類保護系統，例如疊加式 SIM 卡（overlay SIM）：厚僅 160 微米、雙面的 SIM 卡，貼在手機原有 SIM 上以提供第二個信任根。它們原本是為了讓中國人擊敗 2010 年代初的高漫遊費而設計，本質上是對真 SIM 做中間人攻擊，並可用 Javacard 程式化。副作用是——這種 SIM 讓某些類型的銀行詐欺變得非常容易。

所以在為你的系統擬定威脅模型時，停下來想想：在你的競爭者之中，或在與你所依賴之產品的供應商競爭的公司之中，你可能有哪些有能力、有動機的對手？ 顯而易見的攻擊包括工業間諜，但今天的情況遠比那複雜。

吹哨者#

情報機關與隱密的公司容易對「內部人威脅」變得偏執。但 2018 年，巴克萊銀行執行長因試圖追查行內一名吹哨者，被罰 64.2 萬英鎊並被命令退還 50 萬英鎊獎金。所以讓我們把它翻過來，從吹哨者的角度看。

許多吹哨者是想做對的事，常常是相當平凡的層次——舉報收受供應商賄賂的經理，或性騷擾員工的主管。在銀行這類受監理產業，他們可能有舉報不法的法律義務，以及對雇主主張洩密的法律豁免。即使如此，他們仍常因權力不對等而落敗：被開除，而問題照舊。

許多安全工程師以為對付洩密者的正確對策是技術性的，例如資料外洩防護（DLP）系統。但讓員工能穩健舉報不法的機制，通常更重要。

有些組織（銀行、警隊、線上服務商）有舉報員工犯罪的機制，卻沒有針對管理階層決策提出倫理疑慮的有效流程。

而即使是基本的吹哨機制也常常是事後才想到的：它們通常把申訴人導向人資，而不是董事會的審計委員會。外部機制也未必好到哪去。

一家大型服務公司 2019 年為客戶提供「吹哨熱線」，但那個網頁的程式碼裡有 LinkedIn、Facebook 與 Google 的追蹤器——它們因此能識別不滿的員工——還有來自 CDN 的 JavaScript，散落著更多 IT 公司的 cookie 與 referrer。任何懂技術的洩密者都不會用這種服務。

這多半是政策問題而非技術問題。很難設計出一種技術機制，讓誠實的員工能舉發已滲入組織文化的濫權（例如普遍的性騷擾或財務不當行為）。

多數情況下，吹哨者是誰立刻就一目了然，所以關鍵因素是吹哨者能否得到外部支持——例如，他還找得到下一份工作嗎？這不只是形式上的法律保護問題，也是文化問題。

降到一般商業公司的層次：如果你的一名員工在偷你的錢，另一名想告訴你，你最好讓這條路走得通。

極客#

第三類攻擊者是像作者這樣的人——調查漏洞並通報以便修補的研究者。

動機相當多樣：

• 學者出於好奇尋找新攻擊，回報是專業聲望——這能為教授帶來升遷、為協助的學生帶來工作。
• 資安公司的研究者尋找有新聞價值的 exploit；在 Black Hat 這類會議上曝光能贏得新客戶。
• 業餘駭客把破解東西當挑戰，就像有人爬山或下棋；駭客行動主義者則是為了惹惱他們認為邪惡的公司。

不論在法律的哪一邊，我們傾向是好奇的內向者，需要感覺自己在掌控中，但會接受挑戰並尋找那份「衝勁」。回報常常是名聲——透過學術發表、為顧問業務贏得客戶、贏得學會或政府機關的獎章，甚至只是在社群媒體上。

有時我們是出於惱怒而動手，好繞過某個阻止我們修理自己東西的機制；有時則帶有利他成分。例如曾有人向作者團隊抱怨：銀行卡被偷走拿去買東西，銀行卻拒絕退款，聲稱一定是用了他們的 PIN——但事實上並沒有。團隊追查這些案例，發現了晶片卡與 PIN 系統的 No-PIN 與 preplay 攻擊（壞人其實早就發現了，但團隊複現它們並為部分受害者討回公道）。

從法律威脅到負責任揭露#

發現並通報漏洞的資安研究者過去有被法律威脅的風險，因為公司有時覺得這比修好東西便宜。於是有些研究者改為在郵件論壇上匿名揭露臭蟲——但這意味著壞人可以立刻使用它們。

到 2000 年代初，資訊業演化出**負責任揭露（responsible disclosure）的實務：研究者在公開揭露前數月先向維護者揭露臭蟲。許多公司經營臭蟲賞金（bug bounty）**計畫；結果是獨立研究者現在能靠賣漏洞賺到不小的錢，不只一位勤奮的研究者已賺進超過一百萬美元。

但 Stuxnet 之後，各國政府競相囤積漏洞，於是我們看到有些公司向研究者收購漏洞、把它們武器化、再賣給網路軍火供應商。一旦被使用，它們就會擴散、最終被逆向工程並修補。

有些較傳統的產業仍未採納負責任揭露。福斯汽車控告伯明罕與奈梅亨大學的研究者——後者逆向工程了一些線上偷車工具，並記錄了福斯遙控鑰匙系統有多糟。公司敗訴，出了大醜，還幫忙宣傳了自家車輛的不安全。

隨著軟體滲透一切，軟體業的工作方式終將更廣泛地擴散開來。在那之前我們可以預期動盪。

掩蓋損害客戶問題的公司，將必須面對一種可能性：不是內部吹哨者、就是外部安全研究者會弄清楚發生了什麼事；而當那發生時，通常已經有一套既定的負責任揭露流程可以援引。這會對那些沒讓商業模式與之對齊的公司課以成本。

沼澤#

第四類是濫用（abuse），通常指針對「人」而非針對財產的犯行。範圍從校園網路霸凌，一路到國家資助的 Facebook 廣告活動——後者能讓人們用死亡威脅淹沒立法者。

駭客行動主義與仇恨行動#

宣傳與抗議隨技術演化：古代社會只能靠史詩；城市讓人能在廣場演說、直接對數百人溝通；書寫的發明讓規模再上一階。十六世紀印刷術的擴散，導致十七世紀的宗教戰爭、十八世紀的日報與十九世紀的大眾報紙。行動者學會在大眾媒體上競爭注意力，並隨著廣播與電視的到來磨練技巧。

網路時代的行動主義起初是用線上媒體動員人們做傳統遊說（例如寫信給立法者）；2011 年，Wael Ghonim 這樣的行動者用社群媒體觸發了阿拉伯之春。此後各國政府開始鎮壓，而行動主義也擴散進線上仇恨行動與激進化。

許多仇恨行動由政府或反對黨隱密資助，但絕不是全部——單一議題的倡議團體也是玩家。

如果你能鼓動數百人寄出憤怒的郵件或推文，接收端的公司或個人就會有真正的麻煩。阻斷服務攻擊能中斷營運，而「起底（doxxing）」能造成真實的品牌損害，並對高層與員工造成痛苦。

行動者在目標、組織凝聚力與違法程度上差異很大，光譜從完全守法的 NGO（讓支持者寫信給立法者），到略帶邊緣的（用機器人點擊新聞以操弄媒體分析數據，讓編輯更關注他們的議題），再到向可敬報紙投書的吹哨者、躲在 Twitter 帳號輕度匿名背後騷擾他人的政治黨徒、駭入目標公司破壞其網站甚至起底他們的駭客。頂端則是最終因恐怖主義罪名入獄的硬核分子。

線上羞辱已成為流行的抗議手段。它可以相當自發，事件一爆紅就形成義警式的快閃暴民。早期例子發生在 2005 年首爾：一名年輕女子未清理她的狗在地鐵車廂中的排泄物，另一名乘客拍下並放上網；幾天內「狗屎女」就被追殺到躲藏起來，並放棄了大學學業。

Gamergate 則顯示了 Twitter 這類平台的威力：2014 年 8 月一名前男友公開對一位女性遊戲開發者發表辱罵評論，引爆風暴，並串聯成對遊戲業女性、以及批評該業界男性主導文化之女性主義者的厭女批評洪流。多人被起底、被 SWAT 惡作劇報警，或被逼得離家。

騷擾在 4chan 這類匿名留言板上被協調，攻擊者會聯手圍剿特定目標——而該目標接著還會被主流保守派記者批評。這個運動看似無領導者且不斷演化，一個持續的主題是對「社會正義戰士」的怒罵。它似乎促成了兩年後影響 2016 年大選的另類右翼（alt-right）運動的形成。

對線上憤怒暴民力量的日益理解，正導致政客去主動煽動它們——從試圖抹黑對手的地方政客，到試圖左右對手國選舉的國家。憤怒的暴民在已開發國家的現代政治中已經夠討厭了；在低度開發國家更糟，印度這類國家出現真正的私刑（執政的印度人民黨至少自 2011 年起就在建立水軍大軍以騷擾政敵與公民社會批評者）。

同時社群媒體公司面臨審查線上內容的壓力，而由於 AI 程式很難分辨玩笑、辱罵、陰謀論與外國政府的資訊戰，它們最後只能僱用越來越多的審查員。

兒童性虐待材料#

1990 年代網際網路引起政府注意、他們思考如何掌控它時，第一個被規管的就是兒童性虐待（CSA）影像——2001 年的《布達佩斯公約》。

由於法律限制讓執法機關以外的人幾乎無法研究，我們對 CSA 材料的真實盛行率所知甚少。

在許多國家，對 CSA 材料的處理方式對實際減害的關注遠低於它應得的程度。許多關於線上性犯罪的法律設計拙劣，看來更多是被「利用公憤」驅動，而非被「把受害者數量與傷害降到最低」驅動。

CSA 或許是「如何不要做線上規管」的案例研究，因為它同時展現了：鑑識失敗、下架失敗、武器化，以及法律－規範落差。

• 鑑識失敗：最惡名昭彰的是英國的 Operation Ore。數千名男性在其信用卡號被發現於一個虐待網站上後，因涉嫌 CSA 犯行被捕；其中大概一半後來證實是信用卡詐欺的受害者。數百名無辜男性的人生被毀，而巴西與印尼的兒童受害者卻什麼也沒得到。

• 下架失敗：多數國家的 CSA 下架由警方、或依公部門規則運作的受監理機構（美國的 NCMEC、英國的 IWF）壟斷，耗時數天到數週。若政府改用銀行對付釣魚網站時所用的民間承包商，速度會快得多。

• 武器化：公部門壟斷源自許多國家把持有 CSA 材料訂為嚴格責任罪。這不只讓人難以透過一般濫用檢舉管道處理這類材料，也讓它可被武器化——抗議者可以把材料寄給目標，然後向警方檢舉他們。

• 法律－規範落差：隨著青少年間「性訊息（sexting）」流行而浮現。不管你喜不喜歡，2008 年智慧型手機到來後，向（真實或想像中的）伴侶傳送私密照片在許多國家已成為青少年的常態行為。這距布達佩斯公約僅僅七年，而該公約的簽署國大概無法想像未成年人的性影像可能是虐待以外的東西。

  拜該公約所賜，在 63 個批准國中，持有任何 18 歲以下者的私密照片現在都可能導致入獄。青少年對學校老師「不要拍不要傳」的訓話一笑置之，但最終結果是真實的傷害：孩子可能被誘騙或施壓而分享自己的照片；即使最初的分享是雙方同意的，接收者日後也可能用它勒索、或只是傳出去給大家笑。而接收者——即使無辜——光是把照片留在手機上就已在犯罪，於是孩子可以設局陷害其他孩子再去舉發他們。

校園與職場霸凌#

線上騷擾與霸凌是現代社會的事實，不只在學校，也在職場——人們在其中爭奪地位、伴侶與資源。

從媒體上「青少年因線上霸凌而自殺」的報導，你可能以為網路霸凌現在佔了問題的大部分（至少在學校）。但數字顯示它不到一半。

英國一項年度調查顯示：約四分之一的兒童與青少年經常被霸凌（13% 言語、5% 網路、3% 肢體），約一半有時被霸凌（分別為 24%、8%、9%）。法國全國被害調查（自 2007 年起，基於 16,000 戶面訪）2017 年報告了兩百萬件威脅行為，其中 7% 發生在社群網路、另有 9% 透過電話。

社群媒體有讓情況變糟嗎？研究顯示，社群媒體使用對青少年福祉的影響是細緻的、至多很小的，且取決於分析方法。

媒體上有「青少年自殺率上升、且與社群媒體使用有關」的說法。慶幸的是，OECD 死亡統計顯示這也不是真的：15–19 歲的自殺率在 1990–2015 年間從每十萬人約 8 例略降到約 7 例。

親密關係中的虐待#

正如上一節以吹哨者作結——那是企業的內部人威脅——本節以親密關係虐待作結，那是家庭與個人的內部人威脅。

Gamergate 或許是個閃光燈案例，但免於前任親密伴侶與其他家人傷害的保護，是一個真實且具規模的問題：約一半的婚姻以離婚收場，而並非所有分手都友好。親密伴侶虐待的受害比例是女性 27%、男性 11%。跟蹤當然不限於前任伴侶（名人尤其可能被素未謀面的人跟蹤，偶爾造成悲劇結果，如約翰·藍儂之死），但前任伴侶佔了大部分，而多數國家的執法機關歷來不太願意對此採取有效行動。而技術讓受害者的處境更糟了。

其中一個子問題是**未經同意的私密影像（NCII）**發布，曾被稱為「復仇式色情」——直到加州檢察總長賀錦麗（Kamala Harris）反對，指出這是網路剝削，是一種犯罪。她的訊息傳達到了大型服務商，它們自 2015 年起會依受害者要求下架這類材料。

所有常規建議在此都是反過來的：你的對手不只知道你的密碼，還握有深到能回答你所有密碼救回問題的情境知識。

典型有三個階段：

1. 實體控制期：施虐者能接觸你的裝置，可能安裝惡意程式，甚至毀壞裝置。
2. 高風險逃離期：你設法找新住處、新工作。
3. 分開生活期：你可能想遮蔽位置、郵件地址與電話號碼以逃避騷擾，而且可能終生都要擔心。

負責任的設計者應該想清楚：

• 高壓力、高風險時刻的可用性。
• 允許使用者擁有多個帳號。
• 設計成檢視你的歷史紀錄的人，看不出你刪除過任何東西。
• 推行雙因子認證、異常活動通知與無痕模式。
• 讓倖存者能在把創傷降到最低的前提下，擷取可用於離婚、監護權案件乃至刑事訴訟的證據。

但現實不是這樣。許多銀行其實不想知道家庭內部的糾紛或財務剝削。有些國家的大問題是跟蹤軟體（stalkerware）——設計來監控伴侶、前伴侶、子女或員工的 app。公民實驗室的報告指出這些 app 的資安實務很糟、被明確行銷給施虐的男性，並且在歐洲與加拿大違法；至於美國與澳洲，超過一半的施虐者曾用跟蹤軟體追蹤女性。

還有 Absher app，它讓沙烏地阿拉伯的男性以已開發國家不可接受的方式控制他們的女性；它在應用程式商店的上架已引發世界各地對 Apple 與 Google 的抗議，但到 2020 年它仍在那裡。

親密虐待對設計者很難處理，因為它與正常的人類照護交纏在一起——伴侶之間、朋友與同事之間、父母與幼兒之間，以及後來子女與年邁父母之間。許多關係大體上是善意的，卻帶有一些虐待面向，而參與者往往對「哪些面向算虐待」並無共識。

Levy 與 Schneier 的分析最為精到：它討論了多重動機的組合、共在（copresence） 導致的技術漏洞，以及權力動態導致的關係性漏洞。設計者必須意識到：家戶不是單一單位、裝置不是個人的、購買裝置的人不是唯一的使用者。

小結#

你建造或營運的系統可能被範圍極廣的對手攻擊。弄清楚誰可能攻擊你、如何攻擊很重要；能弄清楚自己是被誰、被怎麼攻擊的，同樣重要。 你的系統也可能被用來攻擊別人——若不事先想清楚，你可能陷入嚴重的法律或政治麻煩。

本章把對手分成四個主題：間諜、罪犯、駭客、霸凌者。

並非所有威脅行為者都是壞的：許多駭客負責任地通報臭蟲，許多吹哨者出於公益。（「我們的」間諜當然被視為好的，「他們的」是壞的；道德價位取決於當下在場的公共與私人利益。）

各類對手的方法有共通結構：

• 情報與執法機關狩獵時可能混用流量資料分析與內容抽樣，蒐集時則用針對性蒐集；蒐集手法從法律強制、惡意程式到欺騙。
• 間諜與罪犯都用惡意程式建立殭屍網路作為基礎設施。
• 罪犯的大規模攻擊通常是機會性蒐集，針對性工作則以魚叉式釣魚為首選武器；情報機關可能有更花俏的工具，但用的是同一套基本方法。
• 也有依附於特定產業的網路犯罪生態系——犯罪會在能規模化的地方演化。
• 至於沼澤，首選武器是憤怒的暴民，如今被國家、行動團體甚至個別演說者所揮舞。

濫用能規模化的方式很多。設計系統時，你必須想清楚針對它的犯罪、或利用它的濫用，會如何規模化。

光想可用性（usability）不夠，你還得想「可濫用性（abusability）」。

個人性的虐待也重要。每個警察都知道，攻擊你或謀殺你的人通常不是陌生人，而是你認識的人——也許是班上另一個男孩，或你的繼父。

這件事一直被資安研究社群忽視，或許是因為我們大多是來自好社區、穩定家庭的聰明白人或亞裔男孩。

實務上，如果你在守護一家有點規模的公司：

• 你會看到自己網路上有足夠多的機器被感染，而你需要知道它們只是殭屍網路的殭屍，還是針對性攻擊的一部分。所以光靠修補與防毒不夠。
• 你需要監看網路並保存夠好的日誌，讓被感染機器被發現時，你能分辨那是某個小孩在建殭屍網路，還是一個會在失去據點後立刻爭取建立下一個據點的針對性攻擊者。
• 你需要制定事故應變計畫，知道鑑識該找誰——也讓你的執行長不會在電視鏡頭前像條上岸的魚一樣喘氣。
• 你需要有系統地檢視必要控制：從勒索軟體復原的備份、阻擋商業郵件入侵的付款程序，諸如此類。

研究問題#

• 網路犯罪研究過去不太科學：有人拿到資料（常是與防毒公司簽 NDA 取得）、算些統計、寫完論文、然後去找工作，資料從不開放給想檢驗結果或嘗試新分析的人。劍橋網路犯罪中心自 2015 年起試圖修正這點，蒐集大量垃圾郵件、釣魚、殭屍網路與惡意程式資料作為研究者共享資源。
• 間諜與網路戰需要類似的東西。試圖在控制系統與其他運營技術中植入惡意程式的人，很可能不是國家行為者就是賣給國家的網路軍火商。艾森豪對「軍工複合體」的批評在這裡加倍適用，然而沒有一家傳統智庫似乎有興趣追蹤正在發生什麼。結果是各國更可能做出戰略誤判，而那可能導致的不只是網路衝突，也包括真正的動能衝突。
• 網路濫用研究現在有了一些，但技術專家、心理學家、犯罪學家與政治學者彼此談得不夠。議題很多，從兒童與青少年的福祉與權利、因入獄而分離的家庭，到我們舉行自由公平選舉的能力。

我們需要讓更多技術專家投入公共政策議題，也需要讓更多政策人員理解技術的現實。我們同樣需要讓更多女性、以及來自已開發與低度開發國家貧困與邊緣社群的人參與進來，這樣我們對「真正的問題是什麼」才不會有那麼狹窄的視角。