傻眼！資安顧問竟是駭客本人？兩名嫌犯自導自演勒索軟體攻擊，再協助企業談判贖金

根據美國司法部最近公開的文件，當地時間 12 月 29 日，美國佛羅里達州南區聯邦法院接受了兩名嫌犯的認罪協商。這兩名嫌犯已承認涉入 2023 年發生的多起勒索軟體攻擊案。

詳細來說，這兩名嫌犯之前曾是接受過高階網路資安訓練、專門處理勒索軟體攻擊的網路資安專家。表面上，他們在某家網路資安公司 (DigitalMint) 任職，主要負責協助那些受勒索軟體攻擊的企業，聯繫駭客進行談判，以降低贖金金額。

然而，在事後調查中，美國聯邦調查局發現這些網路資安專家竟然是部分攻擊的幕後主使。他們利用 Alphv BlackCat 這類的勒索軟體主動攻擊企業，收取企業支付的勒索贖金，並從中抽取佣金 (但實際上總金額並未改變)。

部分勒索軟體提供「勒索軟體即服務 (RaaS)」模式，也就是說，上游駭客負責開發勒索軟體，再對外租賃其使用權限。這兩名網路資安專家夥同另一名嫌犯租用勒索軟體發動攻擊，獲得贖金時，需要向上游駭客支付 20% 的佣金。

有家企業就因遭受攻擊，進而尋求資安專家的協助。這家企業最終向勒索軟體集團支付了約 120 萬美元的贖金。三名嫌犯上繳 20% 的佣金後，瓜分了剩餘 80% 的贖金，同時也利用各種方式洗錢，以避免被追查。

目前美國司法部僅公布了兩人的姓名和一起受害者的案例，尚不清楚第三名嫌犯是否已落網。遭受攻擊的企業非常多，只不過大部分企業不願意支付贖金，當然，由於資料遭到加密，這也同樣造成了鉅額損失。

根據美國法律規定，這兩名嫌犯最高可判處 20 年有期徒刑。法院預計在 2026 年 3 月 12 日宣判。美國司法部與美國聯邦調查局都表示，將持續追查危害美國企業的勒索軟體集團。