你有没有想过你的资产到底值多少钱？设想一下，假如你想卖掉你所有的东西——房子，车子，你的工作，你的私人生活，你童年的照片和纪念视频，你在各个社交媒体上的账号，你的病史等等——你猜能卖多少钱?

一说信息资产能换钱你大概有点小兴奋，但一想到别人能够看到你上锁的QQ空间，N年前的中二博客，甚至可以登陆你的微博、微信并对里面的历史信息一览无余……

在现实世界，有很多保险以供选择，东西坏了、遇上突发事件，基本都有一定金额赔偿。而在网络世界里，我们真的没有这样的选择。我们的上网冲浪生活里包含了一些非常个人的信息。最大的不同是，我们在互联网上的痕迹永远不会被抹去——我们说过或写过的东西，我们发送过的照片，或者我们下的订单，不出意外将永远保存在服务提供商手中。这些虚拟的信息整合以后，让每个人的形象丰满起来，构成了我们在互联网上的身份。

我们知道黑市上可以购买毒品、武器和赃物，甚至也可以在网上购买身份，你猜猜你的网上身份值多少钱?

被攻击的账户

从黑市上被盗的账户开始调查的话，几乎收集不到有效的数据，因为有非常多的供应商同时销售这些东西，因此也很难验证正在出售的数据的唯一性。但有一件事是肯定的——当前正流行的服务数据是黑市上最流行的数据类型。这些数据包含但不限于：被盗的社交媒体账户、银行信息、远程访问服务器或桌面，甚至是来自优步(Uber)、Netflix、Spotify等热门服务的数据；以及大量游戏网站(Steam、PlayStation Network等)、交友软件、色情网站的信息。

最常见的窃取数据的方式是通过网络钓鱼活动或利用与web相关的漏洞（如SQL注入漏洞）。密码转储包含被黑客攻击的服务的电子邮件和密码组合，然而我们知道大多数人会重复使用他们的密码。因此，即使一个简单的网站遭到黑客攻击，攻击者也可以通过使用相同的电子邮件和密码组合获取该用户在其他平台上的账户。

这些类型的攻击并不复杂，但非常有效。同时有证据表明，网络罪犯从黑客和黑客分子那里赚钱；出售这些账户的人很可能不是黑客和或散布密码转储的人。

这说明这种攻击活动已经形成比较成熟的产业模式，有一批人负责技术部分，获得账户信息，然后通过中介将这些信息分发出去，最后下游的犯罪分子靠这些信息用勒索或者诈骗的方式从受害者手中获益。这条产业链起码养肥了上中下游三方的网络罪犯，更可怕的是，这样的分工情况极大地降低了网络犯罪的技术门槛，普通人不需要技术基础，即可以成为犯罪链条上的中下游并获利。

这些被黑账户的价格非常便宜，大多数账户的售价约为人民币7块钱，如果你大量购买，还有批发价可以谈。

一些卖家甚至提供终身售后服务，如果一个帐户失效了，你可以重新获得一个新帐户。例如，下面是一个出售Netflix账户的供应商的截图。

护照及身份证

除了网络账户信息，还有很多其他的信息被交易，比如护照，驾照和身份证（扫描件）。这就是事情变得更严重的地方——大多数身份证件不是偷来的，但它们在网络世界中的滥用会对现实生活造成麻烦。

犯罪分子可以用你的假身份证来获取你的身份，例如，电话预订、开立信用卡账户等等。

下面是一个人出售注册瑞典护照的截图，价格是4000美元。同时这个卖家还提供多个国家的护照信息出售，几乎包含全部的欧洲国家。

骗子的工具箱

大多数在地下市场出售的物品对我们来说并不算新鲜事。有趣的是，还有被盗或伪造的发票和其他文件出售，如水电费发票。

攻击者有时候会窃取别人的邮件并收集发票，然后再用这些发票欺骗别人。他们将按行业和国家收集和整理这些发票。然后供应商将这些扫描作为骗子工具箱的一部分出售。

诈骗者可以利用这些扫描件来锁定特定国家的受害者，甚至将攻击范围缩小到性别、年龄和行业。

在研究期间，我想到了一个朋友对Tinder（海外版陌陌）机器人的分析。这些网络机器人可用来从被盗账户中赚取更多的钱。因此，这些账户不仅在黑市上出售，还被用于其他网络犯罪活动。

有趣的是，这些Tinder机器人的个人资料有以下共同的特点，也很好识别：

同一时间有大量的匹配。

大多数女人看起来像超级名模。

个人信息中没有职位或教育信息。

使用盗取的Instagram图片伪装自己。

脚本化的聊天信息。

我们所了解到的大多数机器人都与流量重定向、点击诱饵、垃圾邮件等相关。但Tinder机器人会试图让你卷入到犯罪链条中，并在过程中窃取你的数据——这是之前的机器人所不具备的技能。具体的操作方式下面有简单说明。

第一步是与机器人匹配。机器人并不总是直接与你联系，而是等待你与它互动，然后它才会回复。等对话发展到特定语境下，机器人会给你发送一段特定文字，内容大概是你需要做好什么事情才能给你发送照片（甚至裸照），然后发给你一个链接。

当你点击链接时，你会浏览几个网站，同时把你重新引导到整个犯罪链条中。这个点击行为可以让犯罪分子做很多事情，比如在浏览器中放置cookie，登记你的位置、浏览器版本和类型设置，甚至更多。这样做是为了当你的浏览行为结束时，他们知道该用哪一个诈骗页面为你“服务”。

在本文的案例中，研究员采用了一个瑞典的IP，因此为他提供的诈骗网站是瑞典语的，这说明攻击者的准备非常充足，他们的目标是可能全球的受害者。

这些网站总是有来自其他用户的信任背书。但是其使用的大部分信息，包括个人资料照片、姓名和年龄，也都是从被盗账户中获取的。信用背书当然也是假的，只不过这样使它看起来非常可靠。

总结

当涉及到他们的网络信息问题时，人们通常是非常天真的，尤其是涉及到那些似乎不会影响他们隐私的服务时。但我们需要明白，即使一切看起来都无关紧要，我们无法预测犯罪分子用他们赚来的钱做了什么。

如果他们把钱花在毒品或枪支上，然后卖给青少年呢？如果他们资助平台和服务器来传播儿童色情内容呢？我们需要了解的是，犯罪分子经常与其他犯罪分子合作，这意味着毒品可能是从他们在黑市上出售Netflix被盗账户所赚的钱中购买的。

最令人担忧的事情之一就是所有东西都很便宜。试想一下，如果有人获取了你的微博账户，他能收集到关于你的信息——你肯定不会接受有人以七块钱的价格出售你私人生活的一部分。

但人们不仅仅使用这一项服务。我想大多数15到35岁的人已经注册了超过20种不同的服务，可能经常使用其中的10种。你几乎从未使用过的服务是很大的隐患，因为你经常忘记你甚至在那里有一个帐户。

最常用的账户可能包括Facebook、Instagram、Skype、Snapchat、Tinder以及Spotify、Netflix、HBO和YouTube等娱乐服务；国内大家常用的则是微博、微信、QQ、淘宝、百度、优酷土豆等等。除此之外,你可能在政府公务网站或金融网站（信用卡、保险等）有一个帐户。我们还需要记住，这些服务使用Google、Facebook、微博、微信、QQ作为身份验证，这意味着你不需要使用电子邮件和密码组合，只需登录这些SNS账户就可以使用这么多服务。

你看到这些数据就知道，以低于350元的价格就能买到一个人的完整的互联网生活轨迹，这是相当惊人的。

除了完全控制某人的网络生活，其他罪犯还可以利用这些服务进行别的犯罪活动，例如，传播恶意软件或进行网络钓鱼攻击。

这些账户盗窃行为的技术准入门槛低得令人发指：基本上，任何拥有电脑的人都可以进行操作——你不需要成为一个高级网络罪犯，就可以知道犯罪行为如何完成。

只提问题不说解决方法就是在耍流氓。那么怎么解决这个问题呢？一劳永逸的解决方法大概是不存在的，而缓解建议也是老生常谈了。

对于个人用户来说，需要养成良好的上网习惯，例如：

1. 不要使用简单的密码组合，也不要多个账号使用同一密码，最好能不定期把密码更新一遍。

2. 不要点击浏览器突然跳出的弹窗广告以及网页上的可疑链接。

3. 警惕陌生人发送的邮件（一般含有跳转链接）以及好友申请信息。

4. 谨慎使用公共网络进行账户登录，尤其是金融账户。

对于互联网企业用户来说，尤其是正受欢迎、用户数量较大的互联网在线服务提供商，必须保证自己的数据库一直处于技术更新之中，及时发现漏洞并进行修补。但自查永远是很难的，企业用户最好能使用专业的安全服务，以保证自己的数据库一直处于保护之中。