俄罗斯黑客攻击美国

2024年3月，俄罗美国财政部外国资产控制办公室（OFAC）一口气制裁了六名俄罗斯公民，斯黑指控他们隶属于一个叫“星际暴风”（Star Blizzard）的客攻黑客组织。这个组织被怀疑与俄罗斯联邦安全局（FSB）有关联，击美长期针对西方国家搞网络间谍活动。俄罗制裁名单里有个叫伊万·皮萨列夫的斯黑家伙，三十出头，客攻住在莫斯科，击美表面上是俄罗个IT顾问，实际上据美方称，斯黑他负责维护黑客用的客攻服务器基础设施。这种事不是击美第一次了，也不会是俄罗最后一次。

俄罗斯黑客攻击美国，斯黑这话听起来像冷战谍战片，客攻但现实比电影更琐碎、更持久。他们不炸电厂，不关水坝，专挑邮件、云盘、路由器下手。2020年那场“太阳风”（SolarWinds）供应链攻击，俄罗斯对外情报局（SVR）的黑客钻进美国财政部、商务部、国土安全部的系统，蹲了几个月，偷走大量内部邮件。事后调查发现，他们用的手法并不高明——猜密码、发钓鱼邮件、利用弱双因素认证。可偏偏就是这些笨办法，把美国联邦政府搅得鸡飞狗跳。

我翻过几份美方起诉书，里面细节很说明问题。2016年大选期间，俄罗斯军事情报局（GRU）的黑客用“DCLeaks”和“Guccifer 2.0”两个马甲，把民主党全国委员会和希拉里竞选团队主席波德斯塔的邮箱翻了个底朝天。波德斯塔那会儿收到一封“谷歌安全提醒”，点进去输了密码，结果整个邮箱被搬空。FBI后来查明，那封钓鱼邮件里的链接指向一个叫“myaccount.google.com-securitysettingpage.tk”的域名，托克劳群岛的.tk后缀，便宜又难追溯。这种粗糙的伪装，居然骗过了竞选团队里一群高学历幕僚。

更值得琢磨的是攻击节奏。俄罗斯黑客不追求一击致命，他们像水一样渗。先黑一个小承包商，拿到凭证，再跳进大承包商，最后摸进目标。2021年针对Colonial Pipeline的勒索软件攻击，虽然主犯是东欧犯罪团伙，但俄罗斯境内宽松的网络犯罪生态让这些人活得滋润。美国司法部2023年起诉的一名俄罗斯黑客，在莫斯科开着保时捷，用比特币买奢侈品，同时远程加密美国医院的病历。抓不到，引渡不了，制裁名单越拉越长，效果像用渔网拦蚊子。

美国人自己也有问题。联邦机构用着过时的系统，承包商层层转包，安全审计走过场。国土安全部2022年一份内部报告承认，超过60%的联邦网络缺乏基本的端点检测工具。俄罗斯黑客不用发明新漏洞，他们专找没打补丁的旧洞。2024年初，微软披露一个叫“午夜暴雪”（Midnight Blizzard）的俄罗斯组织，用密码喷洒攻击微软的企业邮箱，持续数周。微软自己都中招，何况那些连多因素认证都没普及的中小企业。

制裁、起诉、驱逐外交官，华盛顿的回应工具箱翻来覆去就这几样。俄罗斯黑客该干活还干活。2023年，一个叫“沙虫”（Sandworm）的GRU下属组织，试图瘫痪乌克兰的电网，顺带扫描了美国几个州的公用事业网络。没成功，但也没收手。网络空间没有日内瓦公约，攻击者躲在国境线后面，受害者连对方长什么样都看不清。

写这些不是替谁开脱。俄罗斯黑客攻击美国，本质上是国家支持的情报搜集和扰乱行动。他们利用自由社会的开放性和技术债，成本低，风险小，收益可观。美国能做的，无非是补漏洞、换系统、抓几个小喽啰示众。真正的幕后指挥，还在莫斯科某个办公楼里喝着茶，等着下一封钓鱼邮件上钩。