俄罗斯黑客盗290万张信用卡赚200万美元，终究还是被逮住了

本月 25 日，俄罗斯国会议员 Valery Seleznev 之子 Roman Seleznev 因为大量盗取美国网络用户信用卡账户信息，在西雅图的法院被判有罪，刑期待定。

Roman Seleznev 今年已三十多岁，住在俄罗斯海参崴，是全球黑产最著名的信用卡黑客之一，在 2009 到 2013 年间，曾入侵美国数百个商业系统，盗取的信用卡记录达到 290 万条。

根据相关部门公开的文件，Sleznev 以及其他几个尚未摸清身份的黑客，「开发并使用了自动化技术，如端口扫描，找到所有和零售商处理信用卡数据相关的电脑以及电脑系统」。

Seleznev 住在俄罗斯，通过网络远程扫描美国境内订单支付系统，筛选出其中存在漏洞的主机，之后从自己的服务器上下载安装间谍软件到目标主机。

根据起诉书，「Roman Seleznev 以及其他不知名的黑客将间谍软件安装到零售商的主机中，之后监控流量，并截取前台收单信息和后台服务器主机的通信网络。间谍软件把盗取的信用卡数据打包，然后每 5 分钟压缩上传到远程自己的服务器。」

在有些案例中，商店安全措施相当脆弱。「以 Broadway Grill 餐厅为例，从 2009 年 12 月 1 日到 2010 年 10 月 22 日，其所有收单的信用卡信息（超过 32000 条独立数据），全部用 text 格式备份在家里的电脑中。」Seleznev 发现此漏洞之后，在餐厅的主机上安装间谍软件，盗取了所有的信用卡数据。美国信用卡一般不用密码验证，有了这些信用卡数据就可以直接在网上支付。

Seleznev 之后把这些偷来的信用卡放到一个叫 carding 的论坛上，对于有效账号 95% 比例的信用卡数据，按照 20 美元到 30 美元一条销售，对于有效性在 65% 的信用卡，按照 7 美元一条的价格在黑市销售。

他甚至开了一个网站，教人怎么用信用卡数据赚钱。「现在我来教你们怎么赚钱....可以是 500 美元也可以是 5000 美元甚至 5 万美元，记住这可是非法的！」

之后 Seleznev 通过各种渠道把钱转回俄罗斯境内。比如使用哥斯达黎加的 LR 匿名电子支付系统。虽然这家网站的创始人在 2016 年被判以 20 年刑期，罪名是洗钱。

通过黑市交易，他这几年来大约卖掉了 14 万条信用卡数据，纯利逾 200 万美元。只可惜 Seleznev 得意忘形，自认为技术高超，没人知道自己的把戏，何况在俄罗斯境内与美国人没有引渡条约，钱来得真容易。

2014 年，Seleznev 与女友前往马尔代夫度假，没想到别当地守候多时的美国警察逮个正着。Seleznev 的笔记本也被收缴，警察在里面发现了超过 170 万条信用卡数据，其中相当多一部分都来自西华盛顿地区。电脑中还有他销售信用卡数据的信息记录，电子邮箱账号等直接证据。检察官估算 Seleznev 这几年一共盗得 290 万条信用卡数据。

Seleznev 的父亲是俄罗斯议员，但起不了什么作用。俄罗斯曾经对此表示抗议，认为美国人在马尔代夫抓捕俄罗斯人属于「绑架」，也只是抗议而已。之后俄罗斯以此为案例警告国民谨慎前往国外旅游。

根据起诉文件，Seleznev 在被抓住的两天前还登陆美国联邦法院的网站，搜索自己的名字，以及自己的两个网名「Bulba」和「2pac」，看是否在通缉名单。但其实他早就被盯住，一举一动全被记录了下来。

他的律师告诉路透社，Seleznev 的量刑大概在 4 年到 40 年之间。

（题图来源：wikimedia）