海外发声或被黑客”落地”,中国翻墙网民要担心吗?

近日,与中国官方往来密切的上海安洵公司有大量资讯疑遭外泄。相关文件显示,网络黑客能把在国际社交平台X(前推特)上活跃的用户”落地”,获取网民的个人信息。截至目前,多位使用X的大V已披露消息,有关注者被中国警方请去”喝茶”。那么,中国翻墙网民是否要担心自己的身份安全呢?

    翻墙进入推特、追踪大V们,是不少中国民众获取墙外未审查信息的途径之一。但近日以来,@李老师不是你老师、前中国央视记者王志安@王局志安 、中国时事评论人士@五岳散人等X平台上著名的中国时事博主,接连传出有关注者被中国警方请去 “喝茶”的消息,从而引发民间舆论寒蝉效应,导致这些大V“掉粉”。

    恐慌之余,类似事件让人不禁要问:中国公安真的有能力、时间与精力清查这么多翻墙网民的身份吗?

    网上用户落到网下现实人 安洵称做得到

    长年为中国军方、公安与安全部门提供网安服务的 “安洵信息”(i-Soon)近期疑遭外泄的文件,或许能提供点答案。

    外泄的安洵公司文宣品宣称,该公司有能力查询推特帐号注册时用的手机号码与邮箱。(取自Github截图)
    外泄的安洵公司文宣品宣称,该公司有能力查询推特帐号注册时用的手机号码与邮箱。(取自Github截图)

    2月16日那个周末,大批疑似安洵内部文件被不知名人士上传至软体开发平台GitHub,当中包含工作对话、产品文宣、部分合约内容,以及被锁定的至少20个外国政府或机构列表。美联社日前引述两名安洵员工证实,文件确实源于该公司内部。

    本台记者梳理上述外泄文件发现,安洵对外宣称能查到X用户注册邮箱、手机号等资讯,甚至能获取目标帐号内的私信内容,从而协助当局把网上用户 “落到现实人” 。其中,在一份2020年3月的对话记录中,一名客户向安洵员工提供某X用户帐号,约6个半小时后,安洵就查出该帐号注册电话与网民姓名,并向客户开出一年50万人民币价码。该公司不仅帮忙 “落地” X用户资讯,若对方想获取网民私信内容,则可另购 “功能模版”。

    不过,这位安洵公司员工强调,用户“落地”非百发百中,常规成功率约20%至30%。客户核实后也回报,帐号确实是用该手机号码注册,但 “号码已经换了几任机主,目前推的使用人不是这个”。

    获取X用户资讯 专家评估具可行性

    致力于保护新闻自由的国际人权组织“无国界记者”(RSF)数位安全实验室IT安全专家贝森多福(Janik Besendorf)向本台记者分析,黑客要获取X用户资讯确实具可行性。

    图为2023年7月31日智能手机屏幕上显示的X平台(以前称推特)标识。(法新社)
    图为2023年7月31日智能手机屏幕上显示的X平台(以前称推特)标识。(法新社)

    贝森多福指出,从他阅读的安洵文件翻译内容研判,安洵似乎是用钓鱼式攻击来取得帐户权限:“他们就是复制推特网址,制造一个特别网域,再发送email告诉用户基于安全理由,你必须重置密码。但这不是推特官方网站,而是黑客的网站,但看起来几乎一样。你输入密码后,他们就能拿到你密码,获取帐户完全权限。”

    贝森多福接着说,获取帐户权限后,黑客就可能取得网民的手机号码,再以此查出用户身份。他表示,安洵提的“落地”成功率似乎合理,“因为钓鱼式攻击仅约10%至20%的人真的会点开连结,并输入密码”。

    他还指出,黑客除此之外也能利用推特部分功能弱点来取得用户资讯,例如发掘联络人,过去就曾发生类似事件。他说:“若你允许推特APP获取你的通讯录,推特能用这些电话号码找到对应联络人,让你在推特上关注他们。另一个方式是翻阅所有可能号码,再询问推特某号码是否有对应帐户,也能反向查询,查出某推特帐户的号码。”

    推特公司2020年2月曾对外揭露,该公司2019年底发现有心人士使用大批假帐号,利用推特应用程序编程接口(API),将帐户名称与手机号码媒合。推特调查发现,这些假帐号散布世界多地,但许多集中于伊朗、以色列与马来西亚,“部分IP位置可能与国家资助行为者有关”。

    中国手机实名制 被“落地”几率较高

    旅居台湾的中国网路工程师佐拉接受本台访问时也表示,安洵宣称能查出X用户资讯的可信度 “非常高”,因为手机在中国是实名制,在海外社媒平台使用中国手机的大概率会被落地。

    佐拉提到2018年一起涉及推特中国籍员工的案件。当时,一名账号为 @eddiex 的推特前员工在网上披露,自己从美国回贵州老家探亲遭当地国安部门约谈,对方以 “国家利益” 为名,要求他写代码以监控推特信息,但被他拒绝。

    佐拉说:“也就是说,这种中国国安的尝试肯定存在过,这是第一个;第二个是推特用户数据,就是用户名字、电话等基本资料肯定已经泄露了。因为在安洵大数据里面,它有提到可以对推特用户进行查询,可以落地。”

    外泄文件显示,安洵员工为客户查询推特帐号@TGtadie用户资讯。(取自Github截图)
    外泄文件显示,安洵员工为客户查询推特帐号@TGtadie用户资讯。(取自Github截图)

    不过,佐拉认为,“落地”成功率若在20%到30%的话,证明安洵手上资料不是即时地从推特公司获取:“等于他们在推特公司可能只是盗取了一次,可能某个时间段以前所有用户的资料。但某个时间段之后的资料,它就查询不到” 。佐拉也质疑,安洵宣称能窃取X用户私信内容有 “吹牛” 成分。他说:“它对外宣传文档是号称能获取到用户私信。但实际上,跟其他人聊天的时又说资讯没办法获取到,要用贴靠的方式才行。”

    佐拉解释,“贴靠”基本上就是透过钓鱼攻击:“比如说,把自己人物设定成一个异议人士,或者是一个黄推(色情)用户,然后去私信、去沟通,想办法给他一个所谓取证链接,其实就是钓鱼链接。用这种方式去诱使对方上当受骗,去骗到他的帐号密码,骗到他给第三方应用授权,就能读取到他的私信。”

    不想被“喝茶” 网民应三招自保

    不过,目前旅居美国的前微博审查员刘力朋认为,中国翻墙网民不用对此过度担心,因为当局或安洵监控异议人士的手段与策略“本身没有新东西,都已经是老生常谈” 。

    刘力朋接受本台访问时,传授网民翻墙使用推特要注意的3点安全常识:“你不能拿(中国)+86的手机来收推特验证码,不能拿QQ、网易邮箱去注册推特号,然后不能在墙内、墙外用同一个ID。”

    刘力朋说,以上虽然是简单的道理,还是有很多人不懂、不明白。他举例,白纸运动时出现 “大翻墙” 运动,“但他们很多都是第一次翻墙,头一次注册推特号,所以肯定不懂会有这样的问题。”

    贝森多福也教授中国网民3招自保措施,包括使用非实名手机号码注册推特、使用VPN或Tor浏览器来隐蔽IP位置,以及不要在推特上分享任何可能被用来辨识身份的信息或图片。

    中国黑客“外包” 公安、网安、军方各取所需

    回过头来看,安洵究竟是间什么样的公司?

    长年为中国军方、公安与安全部门提供网安服务的 “安洵信息”(i-Soon)近期疑遭外泄的文件,或许能提供点答案。2010年成立的安洵总部位于上海,图为安洵成都分部。(美联社资料图片)
    长年为中国军方、公安与安全部门提供网安服务的 “安洵信息”(i-Soon)近期疑遭外泄的文件,或许能提供点答案。2010年成立的安洵总部位于上海,图为安洵成都分部。(美联社资料图片)

    上述外泄文件显示,2010年成立的安洵总部位于上海,在成都、南京与昆明等地设有分部。该公司宣称拥有高级持续性威胁(APT)团队,能提供目标渗透、会战支撑与情报等服务,并具备远端控制Windows、Mac、iOS、Android等系统的能力。

    此外相关外泄文件还显示,安洵的绝大部分客户似乎均为中国政府部门,举凡市级公安局、安全局、网安部门、甚至是人民解放军等都曾将网安工作外包给安洵。以一份名为《四川安洵合同账目》的外泄文件为例,该公司在2016年至2022年间达成的120笔合同中,至少6成的最终用户为政府部门,分布包括北京、海南、云南、浙江、宁夏、西藏等地。这份合约表显示,中国政府部门承包给安洵的项目价格介于1万至334万人民币,购买品项多元,其中常见邮箱攻击密取、推特落查等系统。例如,台州市公安局2021年11月就花费260万,添购推特落查、Telegram远端取证落查、自动化渗透测试平台、网站渗透服务等7项不同产品。

    疑似被泄露的四川安洵合同账目,当中多笔合同的最终用户为中国政府部门。(取自Github截图)
    疑似被泄露的四川安洵合同账目,当中多笔合同的最终用户为中国政府部门。(取自Github截图)
    安洵一份外流文件列出22地、79项海外目标,其中包括香港、台湾、韩国、缅甸、菲律宾、泰国、越南等。(取自Github截图)
    安洵一份外流文件列出22地、79项海外目标,其中包括香港、台湾、韩国、缅甸、菲律宾、泰国、越南等。(取自Github截图)

    针对攻击目标,除境内异议人士外,安洵外泄文件还显示该公司锁定国外政府部门、大学或通讯公司。一份安洵外流文件列出22地79项海外目标,其中包括香港、台湾、韩国、缅甸、菲律宾、泰国、越南、印度、印尼、柬埔寨、法国、土耳其等;黑客活动获取内容,包含台湾的建筑与道路数据、香港电信用户姓名与社会安全码、印度内政部办公室文件等。除此之外,上述外泄文件中的安洵内部聊天记录还显示,其他如北约、欧盟、英国等西方政府或组织也疑似该公司锁定的目标。

    根据一份外流的公司高层对话记录,安洵高层陈诚(代号lengmo)2020年与总裁吴海波(代号Shutd0wn)谈话时,就曾自豪安洵触角远播。陈诚指出,安洵培训标语要能体现公司 “格局”,“我们毕竟是做全国的嘛,没写全球就算低调的了。”

    政府资助黑客日益常见 安洵仅冰山一角

    针对安洵外泄文件内容,贝森多福坦诚,其实他并不意外。他说:“这是我们常常见到的,与我们预期中国、俄罗斯、伊朗(黑客)行为者会做的事一样。很不幸地,现在这个非常、非常常见,所以我并不意外。”

    佐拉也认为,网安外包已成趋势,主要是政府雇员多受IT能力与官僚条框限制, 但私营黑客组织相对非常有经验,就能够成为被政府资助的攻击执行者。

    佐拉指出:“网路攻击基本上都是由政府买单而已,但不是他们亲自去执行。我相信,世界上大部分攻击都是由私营公司来做的。” 他认为,安洵只是中国庞大外包黑客网络的 “冰山一角、众多承包商之一” 。

    但他认为,如安洵这类公司肯定会自我吹嘘以获得政府订单,但实际能力不一定如此

    发表回复

    您的电子邮箱地址不会被公开。 必填项已用 * 标注

    返回顶部