“5亿不行！3亿可以……”替你砍价的黑暗世界谈判团队

遭黑客攻击也选择隐瞒的企业——〈下〉阴影中的谈判

即便落入勒索软件陷阱却不向当局举报的企业，往往站在两条路口。要么自行与黑客谈判，要么向专业谈判团队求助。网络安全企业S2W商务中心理事 Seo Hyeonmin 表示：“黑客向受害企业留下勒索信（消息）时，会非常详细地写明与黑客联系的方法、比特币兑换方法”，并称“但企业一旦遭到黑客攻击几乎都会惊慌失措，因此大多数都会求助于专业人士”。

所谓“专家”，指的是代替受害企业与黑客进行谈判的人，通常由不超过5人的团队组成。在门户网站上搜索“勒索软件数据恢复专业公司”，会弹出一长串结果。这正是针对企业黑客攻击而形成的市场。

不过，受害企业几乎不会不加甄别地随便给哪家机构打电话。由于对黑客的警惕心极度提高，企业首先会联系“只有圈内人才知道”的安全顾问。一位要求匿名的安全顾问表示：“我的角色就是把值得信赖的谈判团队介绍给遭黑的企业”，“只要手机上出现陌生号码，99%都可能是遭勒索软件攻击的企业来电。”这位堂堂正正的安全企业代表还有另一个外号——“阴影中的解决者”。在中小和中坚企业圈里，他反而更以这个名字为人所知。

“一开始我们照着黑客的指示，让员工登录指定网站尝试对话。头一次遇到这种事，又太过震惊，脑子一片空白。我悄悄向两个做生意的朋友发出求救信号，他们是我信得过的人。其中一人给了我一张名片，让我联系一位‘安全顾问’。”2023年9月遭勒索软件攻击的一家生物材料企业代表如此回忆自己与“阴影中的解决者”取得联系的经过，并与位于釜山的谈判团队签订了合同。

谈判团队对接黑客甚至代为汇出比特币

当时负责该事件的谈判员 Kim 某在两年后向记者出示了当时与黑客之间的聊天记录。双方对话是在暗网（需通过特定程序接入的隐秘网络）中由黑客搭建的网站上，通过聊天和邮件进行的。黑客最初要求的赎金约为15个比特币（当时约5.6亿韩元）。

“你们提出的金额太高了，我们根本无力支付。能谈谈吗？”（Kim）“当然可以谈。今天或明天能马上支付吗？如果可以，我们可以再给你一些折扣。但不要谎称自己没钱。你们是员工超过100人、年销售额至少5000万美元的大型企业。”（黑客）

经过一整天的拉锯，Kim把赎金压到了最初要价约60%的9个比特币左右（当时约3.4亿韩元），最终达成协议。Kim称：“黑客在报价格时，通常会预留谈判空间，大概会高报1.5至2倍”，“大多数情况下都能谈下来，但由于黑客几乎掌握了企业的全部信息，因此很难进行幅度过大的砍价。”

谈判团队的收益是按降下来的金额收取约30%的手续费。近几年，随着数据恢复专业公司数量增加，一些公司开始采用包月收费，或提出“若谈判失败，一分钱不收”的条件。

从兑换比特币到向黑客汇款，也都属于谈判团队的工作范围。这是因为按照现行法律，韩国法人不得直接购买虚拟资产。受害企业把现金交给Kim后，由Kim兑换成比特币，再转入黑客的钱包。这笔钱最终会以“恢复费用”等名目记录在受害企业的财务账簿中。

黑客在其搭建的暗网网站上与谈判小组通过聊天协商降低赎金的情形。黑客最初要求的赎金约为15枚比特币（当时约5.635亿韩元），但经过谈判，将金额压至最初赎金约60%的水平，即约9枚比特币（当时约3.4亿韩元）。图片由受害企业提供

也曾出现过付了钱却没能顺利解密，遭黑客“背后捅刀”的情况。去年，有一个黑客组织劫持了一家机器人零部件制造企业100台服务器，要求支付12个比特币（约18亿韩元）。谈判进展顺利，赎金被压到了4个比特币（约6亿韩元）。然而，黑客提供的密码只能恢复100台服务器中的2台。Kim要求对方把其余密码一并发来，黑客却称“因为打折太多，被上面（Boss）训斥了”，“还得再收4个比特币左右才行”。Kim表示：“如今黑客愈发恶劣，收了钱也会给错密码。这种情况下只能再次联系对方重新谈判”，“如果谈判过程中惹恼了黑客，他们甚至可能在收钱后，仍将机密信息上传到暗网，因此必须格外小心。”

被信任的谈判团队反咬一口……企业被坑两次

就连直接与黑客打交道的谈判团队，有时也成了受害企业必须提防的对象。因为有人与黑客勾结，让企业“哭上加哭”的情况屡有发生，部分受害企业不得不诉诸法律。首尔一家物流企业在2020年就同时被黑客和谈判团队骗走了钱。起初，黑客提出“支付6个比特币（当时约1.8亿韩元）就解锁服务器”的要求，但在谈判中赎金被压到了5.5个比特币。

然而，谈判团队却向委托企业隐瞒了这一事实，拿出伪造邮件谎称“没能从6个比特币往下压”。差额0.5个比特币则被谈判团队私吞，打算用来还债。受害企业毫无怀疑地连同1.8亿韩元的赎金，以及“不论谈判结果如何都要支付”的4000万韩元手续费一并打了过去。事情进展顺利后，谈判团队的胃口也变大了，甚至主动给黑客发邮件称：“我们再多要2个比特币吧，我来好好谈，拿到钱后我们分成。”

这伙诈骗团伙最终甚至开始冒充黑客。他们制作了会把文件加密为“.enc”扩展名的恶意程序，并在为客户企业修理电脑的过程中暗中植入，谎称对方遭遇了勒索软件攻击。在一年时间里，他们以“恢复费用”为名，从6家委托谈判的企业手中共骗取了3000万韩元。最终，大法院在2022年对谈判团队的主导者作出判决，维持了2年6个月的有期徒刑。合议庭指出：“以勒索软件恢复为名欺骗被害人并骗取钱财，或借电脑维修之名传播恶意程序，其犯罪性质极其恶劣。”

编者按在现实世界中，一旦发生人质事件，总会有人报警。无论是受害者本人还是周围的人，第一时间通知警方才是当务之急。然而，由勒索软件引发的网络人质事件却恰恰相反。受害企业在被黑客夺走全部金钱与时间之后，忙着做的却是彻底隐瞒。过去10年间，韩国勒索软件侵害应对中心负责人 Lee Hyungtaek 一共应对了超过2万起勒索软件攻击。他表示：“像SK电信那样，遭黑后主动报警的企业可以说是凤毛麟角。即便蒙受损失，也绝不向外界透露的企业至少占到10家中的9家”，“黑客拿了钱就走的结构正在不断重复。”