年薪百万，黑色产业，犯罪风险 丨 中国黑客生存报告

“黑客”（Hack）这个词，最早出现在麻省理工学院的计算机文化中，被创造的时候，完全是一个正面的称呼。在乘车去往Menlo Park的路上，你会看到写着“1 Hacker Way（黑客路1号）”的路牌，那就是Facebook的总部。

1946年，世界上第一台电子计算机ENIAC在美国诞生。从此，一些最聪明、最有创造力的年轻人，开始进入这个行业，在他们的身上逐渐形成了一种独特的技术文化——“黑客文化”（Hacker Way）。

　　1961年，麻省理工学院（MIT）得到了第一台PDP-1计算机，学院技术模型铁路俱乐部（Tech Model Railroad Club，T MRC ）的成员把它作为最时髦的科技玩具，最能干的聪明人会自豪地称自己为“黑客”。他们认为，要完成一个hack，就必然包含着高度的革新、独树一帜的风格和出色的技术。后来，这些黑客，成为了MIT人工智能实验室的核心成员。《黑客》 （Hackers）的作者史蒂文·利维，把他们称为计算机革命的英雄。

然而，随着计算机的普及，计算机病毒泛滥，黑客开始和计算机犯罪联系在一起。为了澄清“黑客”的概念，传统意义上的黑客认为只有拥有高技术水平和职业道德的人才能被称为Hacker，那些恶意入侵计算机系统的人应该被称为骇客（Cracker，入侵者）。

　　“今天的黑客文化已经没落了。” 阿里巴巴 安全总监陈树华对《财经天下》周刊感慨道。

如果说，最早的黑客是在追求有趣和探索精神，现在，更多的人则在追求更具实用性的名和利。

电商、互联网金融、云计算，金钱和信息从来没有像今天这样与互联网技术联系在一起，这给了黑客们接近财富的机会，也改变着他们的生存环境。

分水岭

　　虽然 奇虎360 、 腾讯 和 阿里巴巴 在2010年就开始争抢安全人才，但彼时安全人员的平均薪水只是与IT行业其他工种持平。

分水岭出现在2013年，“斯诺登事件”爆发，此后的2014年2月，中央网络安全和信息化领导小组成立，网络安全获得前所未有的关注。

　　2014年，被黑客界尊称为“TK教主”的于旸（网名 tom bkeeper）离开 绿盟科技 加盟 腾讯 ，年薪千万，被称为中国黑客界的标志性事件。

2001年9月18日，Nimda蠕虫被发现，于旸在自己电脑上架设了一个“蜜罐”，在Nimda蠕虫爆发当天就捕获了它，并写了一份分析报告。那是国内第一份对蠕虫这种新型安全威胁做出多角度分析的报告。此后，于旸开始研究软件、硬件以及无线等各种安全风险，曾发现并报告了Cisco、Microsoft等公司产品的多个安全漏洞。

2015年初，吴石团队也正式加盟腾讯，成立了专注于云计算与移动终端安全研究的科恩实验室，其核心成员多来自原Keen Team团队。

　　“薪水，忽然一下子就高了。” 奇虎360 核心安全负责人郑文彬说。2006年底，郑文彬接受360邀请来北京时，只有19岁，网络安全市场刚刚起步。

乍见郑文彬，你可能会误以为他是搞艺术的，但在黑客界，他有一个响亮的代号：MJ0011。他领导的伏尔甘团队（360Vulcan Team），连续两年在Pwn2Own攻破了IE和Chrome浏览器。

凉鞋、T恤、短裤、黑框眼镜、略微卷曲的头发和胖乎乎的身材，很难想象他就是中国最有名的网络安全工程师之一。

“叫我们安全工程师也好，叫‘防火墙’也行，称呼无所谓，做什么比叫什么更重要。”郑文彬的家离单位半个多小时，每天10点上班，晚上无确定下班时间。工作就是每天与网络上的病毒、木马、漏洞等进行攻防对抗。核心团队里细分了多个小团队，有人负责安全产品的研发，有人分析和处理病毒、木马，还有人负责高端漏洞修补。郑文彬是把控整个方向的那个。

2015年，伏尔甘团队拿到Pwn2Own（Pwn2Own被称为“黑客世界杯”）的冠军时，公司的几位老板以下命令的方式，要求郑文彬把决赛中所使用的那部电脑“贡献”出来，摆放在360公司的历史荣誉展览室里。

郑文彬非常认真地跟团队成员商量过这件事，但没什么人回应。“他们都内向，太低调了。” 郑文彬说，每次组织团队成员出去演讲，也是一样没人回应，甚至团建去KTV唱歌也没人参与。

360楼下不远处，是乌云平台开的一个黑客酒吧，门口竖着一个牌子，上面写着：内有黑客，后果自负。但郑文彬只去过一次，还是乌云平台的人邀请过去的。

“我已经是我们这里最外向的了。”郑文彬自我调侃道。

但即便如此，还是有很多同事直接、间接地认识了他们。其他部门的同事们见面就会问：“听说你们年薪几百万，还拿着大把股票？”对此，郑文彬只能笑笑。

像郑文彬这样的人， 360还有几十个。除了会向安全产品部门输出一些核心技术，更多的是纯粹的研究，而多数研究成果还都很难立即商业化。

“所以，（养黑客）这个事只有在大公司里才有，而且会越来越贵。”郑文彬说，从2014年开始，漏洞安全人才年薪动辄几百万元，甚至上千万元。

红与黑

公司和骇客打了一架，后者不断发来信息堵塞系统，并试图盗取用户信息，战争一直持续了一个星期，最后公司赢了。但是李苗却不愿多说，因为“只会招来更多的攻击”。

李苗所在的是一家互联网金融公司。黑客的目的很简单，想要盗取公司的用户信息。

“这样的故事太多了。”安塞副总裁杜东亮向《财经天下》周刊说道：“你给我任何一个电话号码，我们就可以查到他五大银行的所有存款信息。”

不过，你并不用担心安塞盗取信息或者资产，因为安塞是中国一些金融机构的安全合作方，他们的行为也需要接受相关部门的监督。

“他们（骇客）有些像强盗，有些像小偷。小偷可能会偷走你的钱，但强盗可能就是平白无故地打你一顿。” 杜东亮说。2013年12月5日，中国央行发布《关于防范比特币风险的通知》，表明不支持比特币后，随即遭受到大量来自国外的黑客攻击，安塞作为央行的合作方，与这些入侵者较量了很长一段时间。

在这些入侵者的背后，是一条完整的黑色产业链，被简称为黑产。

陈树华所在的安全部，被称为阿里“神盾局”，这也是阿里最低调、最神秘的部门。“我们每天都要和黑产打交道，由于强大的利益驱动，黑产的反应速度非常快，对新技术手段的敏锐度非常高。”陈树华说：“因此，在与黑产的斗争中，传统安全更多的处于防守位置，但借助大数据和纵深防御体系，阿里就有能力做前置化的预防工作了。” 陈树华是阿里聚安全、钱盾产品创始人，也是国内最早的一批移动安全专家之一。加入阿里之前，在腾讯负责安全工作。

传统的安全厂商主要是解决内网问题，但现在的安全问题，已经没有边界了。每一个互联网项目里都涉及到大量的资金和信息。“今天，你找出任何一个漏洞，带来的价值都将超过我们想象。”陈树华说。

2015阿里安全年报显示，在移动端，iOS系统的漏洞，2015年比2014年增长1.28倍。安卓系统更恐怖，当前应用市场中97%的应用都有漏洞，平均每一个应用上的漏洞达到87个，其中不少都是高危漏洞。

陈树华一直做移动互联网安全。他说，在这之前，手机感染病毒的几率非常的低，但随着整个互联网业务的高速发展，18%的手机感染过病毒，95%的移动热门应用是仿冒。

据不完全统计，目前中国网络黑色产业链的“从业者”已经超过了40万人，依托其进行网络诈骗产业的从业人数至少有160万人，“年产值”超过1100亿元。

　　2015年年初，腾讯曾针对网络黑色产业链进行了一次全面调研，并发布了首份《网络黑色产业链年度报告》。报告显示，在移动支付安全领域，目前已逐渐形成一条分工明确、作案手法专业的黑色产业链。从业者主要是分布在二三线城市、年龄介于15至25岁之间的无业年轻人。腾讯移动安全实验室数据显示，2015年上半年，手机支付木马病毒新增29762个，感染用户总数达到1145.5万，最 高峰 出现在6月，平均每天有6.8万名用户中毒。

黑色产业链的发展，也给各个公司的安全团队招人带来了困难。

“我的团队完全是社会招聘，现在发现一个好苗子实在太难了。”郑文彬说。很多黑客都被黑色产业卷走，剩下的这些人，有着一个比较统一的性格标签：道德洁癖。因此，吴石、郑文彬们愿意出现在各种黑客大赛上，甚至公开演讲，希望能够引导年轻人，走正确的路。

米特尼克是历史上第一个因网络犯罪而入狱的黑客，也是第一个被FBI通缉的电脑黑客。他在15岁的时候就入侵了北美空中防务指挥系统，翻遍了美国指向前苏联及其盟国的所有核弹头的数据资料，后来又先后入侵了太平洋电脑公司、联邦调查局等系统。2002 年出狱后，他出版了畅销书《欺骗的艺术》，成了全球广受欢迎的计算机安全专家之一。

在接受媒体采访时，米特尼克曾说道，骇客是条错误的道路，如果能回到过去，他绝不会重蹈覆辙。

• 陈树华

• 孤狼的尴尬

并不是所有的黑客都进了大公司。而那些单独作战的孤狼，有时也会面临尴尬的境地。

在一次安全大会上，一位父亲闯了进来，拿着一沓打印的资料，希望在参会的这些人里，有人能够帮到他的儿子——不久前，他的儿子破解了某婚恋网站的漏洞，并把这个漏洞发布到了乌云平台上，但是，他的儿子还是被这家婚恋网站起诉，并被批捕了。

《财经天下》周刊记者向该网站核实是否起诉了一名黑客，但没有得到答复。

更有名的案例是京东案。2011年12月30日，贾伟在陕西咸阳一家制药厂被警方带走，他的老父亲颤颤巍巍地在拘留证上签了字，然后整整一个月没睡着过。

　　2011年底，中国互联网爆发了一次大规模用户信息泄漏事件。当时 天涯 社区、技术开 发网 站C SD N、游戏门户多玩网、婚恋网站珍爱网等多家网站用户资料被泄露，被业内人士称之为“脱裤门”。 京东商城 也没有幸免。

　　京东漏洞的发现者正是贾伟。贾伟有一个常用ID：我心飞翔。在 京东商城 内部技术人员迟迟无法修复漏洞的情况下，贾伟表示只要聘请自己为高级技术顾问，并支付约240万元劳务费，就将为 京东商城 修复该漏洞。结果， 京东商城 以网络被入侵并被“敲诈勒索”为由，向北京朝阳区公安局报警。一个多月后，贾伟被保释。

“这就像我家有个后门，开着，但我没有允许你进来看啊。你不但进来了，还把我家房间的摆设都看了一遍。我当然不高兴了。”孙义在一家大型国产手机厂商做安全运维——负责与黑客接触，发现漏洞并作出响应。

孙义在那次安全大会上也看到了为黑客儿子求助的父亲，但却没有表现出同情。“就是乌云，也只是一个平台。你把信息发在上面，但是出了事，他们一样不管。”

　　每个月，孙义都能收几十起安全漏洞的报告。“我们会给他（发现漏洞的黑客）一些精神奖励，给他证书，甚至帮他申请国际漏洞编号。这些他都可以写在他的 简历 里，找工作好使啊。”至于金钱上的报酬，没有。

“我们鼓励‘白帽子’一起建设安全生态，会给漏洞发现者提供精神和物质上的双重奖励。”阿里巴巴安全总监陈树华说。

　　而京东也在贾伟事件之后，设立了应急响应中心。京东商城信息安全部经理李学庆说，作为一个安全应急响应中心，和腾讯的 TSRC、 百度 的 BSRC、阿里巴巴的 ASRC 一样，京东的 JSRC 有一个主要任务——堵住一切有可能产生破坏的漏洞。

不过，与国外的厂商相比，国内厂商给予的奖励仍然缺少竞争力。根据京东的数据，提交任何可以攻击京东的漏洞，大概能够获得1000元的京东购物卡奖励。在6.18 之前，京东搞了一个双倍积分的活动，“白帽子”提交高危漏洞，最高可以得到折合价值12000元的奖励。