从HBG身上学应对黑客之法：邮件启动双因素认证必不可少！



这种做法是前所未有的。

——不具名的微软程序员

在1995年发现了SQL注入技术

2011年2月的一个周日的夜晚，是第45届“美式橄榄球超级碗决赛之夜”。正在进行的匹兹堡钢人队对绿湾包装工队的比赛，是美国电视史上最受欢迎的盛事之一。但是艾伦·巴尔并没有收看节目，此刻他正在试图接入HBG Federal的服务器。HBG Federal是他任职的一家网络安保公司，主要负责对美国政府提供网络安全保护。

下周，巴尔将在一次会议上做重要的演讲，此时他正在修改内容。《金融时报》对他进行了一次独家专访，并将内容发布到了网上。这次演讲的主题是社交媒体和相关网站的潜在安全问题，他将展示如果将脸书、推特和领英上的信息绑在一起，他人就能精准地识别出用户的真实身份。他告诉《金融时报》，他已经渗透进美国军事集团和美国核电站，并识别了其中一些成员的身份，甚至如果给他们发送附有恶意软件的钓鱼邮件，而他们一旦打开了链接，他就可以在他们的电脑上安装间谍软件。

巴尔还说，他可以使用同一技术识别出“匿名者”的核心成员。匿名者是一个业余黑客集团，曾侵入过大量网站，并于2010年12月让PayPal和Visa一度陷入故障。当时包括Paypal和Visa等企业正在对维基解密撤资，而匿名者对此进行了报复。

然而那天晚上，巴尔无法连接上HBG Federal的服务器。

2003年，网络安全已经是一个蓬勃发展的行业。随着宽带速度越来越快，公司具备了更强的计算能力，安全漏洞也随之变大，随时面临着遭受欺诈和盗窃的危险。越来越多的黑客偷走了大量公司的财富，斗争也跟着浮出水面。当时的格雷格·霍格伦德（Greg Hoglund）已是一名著名的网络安全研究员，1999年他以自己的名义在著名的黑客杂志上发表了关于rootkit的文章。Rootkit是一种特殊的恶意软件，能够无痕地监视Window NT系统的活动。对此，他在黑帽安全技术大会（Black Hat Conference）上做了一系列关于rootkit的技术演讲，并成立了一家网络安保公司—HBG。

随着公司的壮大，霍格伦德逐渐意识到，与美国政府的合作可以给他带来的丰厚利润，商业机遇很大，但公司的结构也出现了矛盾。

于是，2009年12月，他成立了分公司HBG Federal，专攻网络安全领域。其创始资本为25万美元，新上任的首席执行官艾伦·巴尔出资3.5万美元，首席运营官特德·维拉出资3.5万美元，霍格伦德的妻子佩妮·莱维·霍格伦德出资8.75万美元，剩余6.25万美元来自HBG本部，还有两个较小的股东共投入了3万美元。

巴尔曾在美国海军担任过12年的密码学家、程序员和系统分析员，之后他成了诺思罗普·格鲁曼公司的安防承包商，再后来他成了该公司网络安全方面的总工程师。他看到了机会，他拥有20年的计算机经验，他了解黑客文化，比起做一个大型国防承包商，他希望能参与网络安全方面的创业。

尽管发展势头不错，但网络安全公司的前景依旧不明朗，HBG Federal面临着激烈的市场竞争。公司很难拿到合约，也没有达到内部的收入预测指标。公司需要一场巨大的商业胜利，证明自己的长期潜力，或者使自己能以更有竞争力的价格被收购。

同时，巴尔对匿名者有着浓厚的兴趣。匿名者是一个无组织的黑客团体，兴起于讨论区，随后转战互联网中继聊天服务器，他们声称自己要帮助世界走向正确。

在信息安全论坛上，巴尔将焦点指向了基层用户，他决定详细介绍下社交媒体的安全风险。

在公司内部邮件中，他说明了自己的想法，并讲述了那些试图保持隐身的人可能遭遇的风险—只要你使用社交媒体，你就是可识别的。“社交媒体可能是下一个巨大的漏洞，”巴尔写道，“在考虑论坛的主题时，我想说明一下为什么社交媒体会带来巨大的风险。”

巴尔告诉邮件组的高管们，他知道匿名者是一个有争议的组织，他使用了专有的分析工具和社交媒体分析方法将该组织成员的IRC昵称与真名联系了起来。他表示，对于匿名者中的30余位核心成员，他能够识别大多数人的身份，实际上他还找到了更多的普通成员，但他不打算费心做进一步的研究。

他在邮件中强调，他没有恶意，他只想通过这一结果证明社交媒体是每个人都需要关注的重点。他无意揭露用户的信息，他只想证明，如果他能推断出这些匿名者的身份，那么行业重要人物也同样暴露在危险之中。“我希望匿名者组织能够理解我的意图，不要将我的研究过程放在心上。”

希望，正如他说的，希望萌生永恒。

请勿窃听蜂巢

很难找出是谁控制着匿名者，谁都可以进入匿名者的聊天室，旁观或是加入，其中不乏技术娴熟、知识渊博的专业黑客。也有一些人几乎没有什么黑客经验，只有一长串的理论。匿名者聊天室的信噪比很小，有才华的黑客通常会寻找同类，然后进入私人IRC聊天室，他们在里面讨论技术，而不被他人打扰。

匿名者采用类似蜂巢的行动方式。首先，他们通过内部的讨论，决定对外部事件的处理方式。其次，如果蜂巢遭到了来自外部的攻击，他们会对目标表示出很强的反攻击性。如果有足够多的黑客想要攻击你，你会惹上大麻烦。

约瑟夫·梅恩于2009年3月加入了《金融时报》，他负责技术领域方面的报道，主要研究信息安全和隐私保护。过去他在《洛杉矶时报》和《彭博新闻》工作了很多年，撰写有关商业与技术方面的新闻，并对新兴的黑客文化和商业黑客非常感兴趣。

HBG的公关部人员发来了一封电子邮件：巴尔要做一次演讲，讲述如何找出匿名者的关键成员，想和他谈谈吗？

“我同意了这次采访，因为我觉得巴尔的议题很有趣，匿名者和当局都试图阻止这次演讲，这也是当下最热的话题之一。”梅恩解释道。

梅恩回想起来，从拟稿到采访再到撰稿，用了不到24小时。这是一次有趣的尝试，有很多有趣的新闻元素，但是调查的内容却不多。“对于他能做什么，他有一个合理的解释，我觉得这值得我去采访。”

报道的开头是，“我们进行了一次国际调查，曾恶意攻击过维基解密的商业网络活动分子的高层人员可能会被逮捕”。该报道援引了巴尔的话称，巴尔已经确定了该组织高级成员的等级和位置，人员遍布英国、美国、德国、荷兰、意大利和澳大利亚。尽管有近100名成员，但其中只有约30人稳定活跃，组织由10位最资深的核心成员领导着。巴尔说，为了向他人展示社交媒体和网络的安全风险，他已经渗透进了该组织。

但在匿名者看来，这不像一次例行公事的报道。在PayPal和Visa的攻击中，已经有英国成员遭到了逮捕，之后还可能会上法庭。巴尔已经渗透该组织的发言并没有吓倒他们，但报道中讲他很快就会在论坛上介绍自己的研究成果，这无疑给匿名者敲响了警钟，IRC聊天室开始草木皆兵。

对巴尔来说，他无意帮助美国或英国政府逮捕匿名者成员，他只是想证明自己的猜想，并让那些公开自己社交账户个人资料的人保持警觉。尽管社交媒体呼吁用户分享所有的生活细节、想法和经历，但巴尔却认为你根本无法控制自己的读者如何使用你分享的信息。为了证明这一点，他创建了一系列脸书僵尸账号，用于观察和交流。

服务器依旧没有任何响应，巴尔有些不安。起初他以为系统出现了故障，“然后我的推特和IRC都收到了消息”。

推特是最重要的线索，他的账户被黑了，黑客用他的账户说明了自己的身份。之后，很多人给他打电话，证明不仅是他的账号遭到了侵入，还有人闯入了HBG Federal的系统，试图浏览所有的内容，电子邮件、演示文稿等。

幕后主使也很快表明了身份—匿名者，但他们是如何侵入一家网络安全公司的系统的呢？

让我们回到1995年。

95种读取数据库的方法

安德鲁·柏拉图在微软做着最不有趣的工作。20世纪90年代中期，西雅图是这个世界上最让人兴奋的地方之一，所有在售的个人电脑都使用微软编写的软件，人们会在午夜排队，等着购买新的操作系统Windows 95，并将其安装在自己的个人电脑上。而几年前，几乎没有人知道操作系统是什么。

柏拉图当时26岁，是一名技术文档工程师，但他并不编写软件，他只负责记录软件的功能和工作原理，让人们理解该如何使用软件。“我负责产品开发的文书工作，给开发人员和数据库管理人员提供操作手册和使用手册。我的主要工作是编写数据字典，记录数据库的结构。”柏拉图说。

尽管Windows 95大获成功，微软还是在互联网的兴起中走进了“死胡同”。正如柏拉图说的，他们急于将其产品与新的、民主化的网络结合起来，其中的一个尝试就是SQL服务器。SQL是一种用于查询与更新数据库的语言，尽管它十分简单，但它可以整合复杂的数据库，提供精准的查询。

柏拉图做的是并不复杂的基础工作，他需要编写SQL查询，然后测试它的预期反应。“这个工作有些辛苦，”他说，“我有时需要验证数据库中数百甚至上千个表格，我总是试图寻找能提高效率的方法。”

为了节省时间，他在Windows的文本编辑器记事簿上存储了一些查询语言，然后粘贴到SQL服务器数据库的程序中。这是个十分乏味的工作。

1995年9月底，他犯了个错误，将SQL查询发布在了微软最新推出的MSN社交网站上。“我在注册账户的时候输入了自己的信息。”他没有意识到自己的错误，并按下了发布键，用于检查数据库内部工作的查询语言上传至了数百万MSN注册用户的线上数据库中。

“而那些破译员看到SQL查询之后就会执行。他们做了，并反馈给了我，我的屏幕上出现了数据库字段里的所有数据。”

从某种意义上说，柏拉图对数据库进行了黑客攻击。更确切地说，他执行了SQL注入攻击，通过向浏览器注入SQL命令，发现了数据库的安全漏洞。

柏拉图一开始并没有意识到发生了什么。

一开始的时候，我觉得，“哇，这太酷了，我都不知道还能这么做”。并且这确实方便了我的工作，我不用从命令行窗口复制和粘贴内容了，而在浏览器中进行显然更容易些。

但他很快想到了一个问题。“如果这个网站可以这么做，别的网站也可以吗？如果我在一个网站上提交SQL查询并执行，我是不是就能看到其他数据库的全部内容？”

周末，他在甲骨文、IBM和惠普等多个网站上尝试了自己的想法：

我差不多黑了二三十个网站，并提取出了数据，我能搞到用户账号等详细信息。我只需要搞清楚数据库结构，这不是很难，因为你可以提交一个查询数据库结构的命令。

“我知道桌面上人们存储信用卡账号的地方，”他在网站上输入了一个SQL查询，“然后我的浏览器窗口就出现了上千个信用卡账号清单。”

这是一个充满可能性的世界。柏拉图的面前打开了一扇门，邪恶的峡谷向他发出了召唤。他想，“我可以用这些信用卡信息买东西，我知道这是不对的。但是如果我能做到这一点，其他人也可以，我应该告诉别人这个问题”。

他告诉了他的上司这一点，上司回复说会在周二的晨会上说这件事，时间是10月10日。

周二的晨会是微软研发人员商量重要议题的场合，哪些部门出现了问题，哪些部门有发展前景，都会在会上讨论。微软研发人员是从数千人中选出的行业佼佼者，他们在微软的主导地位也愈发明显，更是表现出了傲慢的倾向。微软在计算机领域一骑绝尘，这使得研发人员都很有自信。“他们是神，可以为所欲为，尤其是高端开发人员，他们掌控着大量的资金。”柏拉图说，“那个时候，各种资源和项目都源源地涌入。”

柏拉图既激动又紧张。

我当时疯了。我想，他们会看到这个问题，并且会由衷地佩服我，我就可以炫耀我的编码技术了。我以为我可以升职了，我还可以跟比尔·盖茨一起工作了。我满脑子都是这些事。

周二早晨到了，柏拉图紧张地出席了会议。其中一位经理让他上前，“安德鲁，给我们展示一下你发现的漏洞”。周二的会议经常会讨论网站的漏洞，并商议如何修复这些漏洞。

“我登录了网站，输入了基本的SQL查询，选择了全部用户，然后将一些基础表格命令放入表单域，按下enter键，然后所有的数据就出现在我面前了。”他解释了自己之前如何将SQL查询输入数据库，如果他可以，任何人都可以。

他等待着黎明的来临，等待着编程大神们能看到这个系统安全的漏洞，任何一个略懂SQL命令的人都可以利用这个漏洞。

沉默持续了一会儿，然后有人说话了：“我没有听懂，你想说什么？”

“你可以直接通过浏览器查询后端数据库，”柏拉图回答道，“我在家也能做到。”

“然后？”

不知是恼火、愤怒还是惊讶，柏拉图进一步威胁道，“我在浏览器上用SQL查询得到了信用卡数据。这非常严重”。他犹豫了一会，这不是一个弱点，更是一个漏洞，“这很严重，任何人都可以这么做”。

即便是在20年后，柏拉图回忆起那段经历，依旧情绪高涨。沉默又一次蔓延开了：

那个时候，一个大胡子研发员说话了，我有些佩服他。他总是穿着运动裤，但人非常聪明。我记得他会在微软的办公室里堆满12层高的易拉罐。那家伙总是像个流浪汉，但他真的很厉害。

那位超级聪明的研发员看着柏拉图。

我记得他说，“这纯属浪费时间，这根本不算什么”。因为大家都很佩服他，所以其他人也没把我的话当回事，我彻底跌入了谷底。

我隐约记得他说，“没有人会做这种事的”。另一个家伙也附和道，“你不是技术文档工程师吗？回去做你的工作吧，不要在这里浪费时间了”。我感觉自己做错了事，纯属浪费时间，自己就像个傻瓜。

柏拉图仍然记得那种羞辱感。

但是柏拉图没做错，他确实发现了一个严重的漏洞，并且这可能会影响所有联网的数据库驱动系统。几年后，罗布·格雷厄姆在讨论一种“新的”黑客技术——通过浏览器输入SQL命令，柏拉图心想，“浏览器跟SQL？这听起来太熟悉了”。

一流的在线杂志发表了一篇文章，柏拉图读了那篇文章，“这就是我4年前做的事情，好了，现在有人证明了这种方法，全世界的人都知道了”。

他当时为什么不发表自己的发现呢？“事后说起来自然容易，但我要去哪里发表呢？我要如何处理这些信息呢？我不知道。”

发表这篇文章的黑客真名叫杰夫·福里斯塔，目前经营着一家安全公司，正是他发现了SQL注入技术。但是第一个发现的人，事实上是安德鲁·柏拉图。

病毒软件的涌入

“准备好，病毒软件将要涌入。”2011年年初，HBG在互联网数据中心（IDC）的演讲中曾发出过这样的警告。“这意味着零日攻击和APT攻击不再需要签名，我们需要警惕恶意软件。”报告还指出，“安全已经与情报息息相关。”

零日攻击指的是发现了一个从未公开发布的漏洞，而被攻击的对象也意识不到这个危险。APT攻击指的是高级可持续的攻击，软件潜入目标电脑的系统，输出数据，并留下后门。从HBG的预防策略可以发现，他们主要防范的威胁是网络钓鱼邮件，并承诺将通过数字DNA提供持续的保护。

大家都知道HBG和黑客打交道，但巴尔的声明过于大胆，没有人保证他不会报警，匿名者也想知道他到底调查到了什么程度。

随后，黑客开始查看HBG和HBG Federal的公开信息，并着手研究HBG Federal的网站，因为巴尔就是在那里开始研究的。

黑客的第一个发现是，HBG Federal经营着一个客户内容管理系统，他们将内容放进模块化的网页里。黑客的第二个发现是，SQL注入漏洞。

找到一个SQL注入漏洞要多久呢？15分钟。

漏洞在于，客户内容管理系统只有26页内容，如果让它检索不存在的第27页，那因此反馈的错误信息就成了黑客获取内部数据库信息的钥匙，黑客可以通过SQL查询错误信息以进入URL地址。

通过这种方法，黑客就能访问HBG Federal网站工作人员的用户名跟密码。密码由MD5系统加密，相对来说比较容易攻破。MD5是一个散列系统，它对输入执行数学运算，表示为二进制位，并能输出一个单一的128位的摘要。只相差1位就能有完全不一样的输出，所以没有反向破解MD5散列的方法，这在数学上的难度无异于让一个破裂的鸡蛋复原。如果有人登录并给出使用MD5散列编码的密码，系统会比较存储的散列和输入的散列，如果它们吻合，输入的密码就是正确的。

但如何吃鸡蛋取决于烹饪的手法。人们喜欢选好记且不常见的密码，最简单的方法是将MD5应用到庞大的通用单词和密码字典中，然后对结果进行比较。

匿名者获取了散列密码数据库，并前往提供反向查询的网站Hashkiller，该网站声称有超过1万亿的破译散列。

黑客将散列发布到Hashkiller后，几秒钟内，就破解了3个密码。90%的散列密码均遭破译，而他们此时最需要的是巴尔的密码。

这不是一个安全系数很高的密码，密码测试仅给了它32的安全系数。密码学专家认为，现代技术只需要1分钟就能破解这类密码。

巴尔还犯了个关键的错误，他重复使用了自己的密码，他的邮箱、推特和领英账户都使用了同样的密码。维拉给公司服务器提供了登录名，然而，它只是一个普通账户，并没有管理员权限。管理员权限能控制系统，访问所有用户的文件。服务器存在安全漏洞，可以把普通用户升级为管理员，这叫特权升级。

巴尔的邮箱是下一个目标，黑客登录了巴尔的Gmail账户。

谷歌的安全系统需要用户提供密码和随机生成的一次性验证码，它本可以抵御黑客的侵入，但巴尔没有启动双因素认证。黑客现在控制了HBG Federal和HBG的内部邮件系统，开始把所有的电子邮件和相关文件（达千兆字节）复制到自己的系统中，并检索其中特别的单词、短语和文档。

黑客开始搜索关键词，“匿名”“联邦调查局”“密码”“SSH”和“FTP”，他还看到了巴尔跟FBI以及匿名者部分成员的通信记录。黑客监视着巴尔的行动，巴尔给朋友发了一封邮件，其中包括一个IRC聊天室的截图，吹嘘匿名者肯定不知道自己在监视他们。黑客也掌握了巴尔在聊天室的网名。谷歌没有多台设备登录提醒，因为有很多人会同时在手机、平板电脑、家用电脑、公司电脑上登录系统。即便授权了双因素认证，这也只能提供最低限度的保护。

在计算机安全领域，巴尔已一丝不挂。

最终，黑客进入了运行rootkit.com的服务器，这里是霍格伦德建的，他是这方面的专家。这里的安全性强得多，管理员需在HBG防火墙内部登录，所以即便黑客有霍格伦德的密码，也无法在HBG系统外登录。

为了解决这个问题，黑户不得不采取非技术性的方法，他以霍格伦德的名义给HBG的技术支持部门发了封邮件。黑客经常会伪装成某位高管，进行社交建设攻击，声称自己丢了设备或者忘了密码。黑客伪装成霍格伦德，说自己现在在欧洲（那里已经是晚上了），想要技术人员打开防火墙，让他重置密码。

有的时候，人类自身就是最容易崩溃的防线。技术支持部门的人没有理由怀疑霍格伦德邮件的真实性，尽管一个细心的人肯定会怀疑为什么他想从外部登录，还需要修改密码，并且忘记了用户名。但黑客进入了霍格伦德的邮箱，他能看到过往的邮件，还模仿了对方谈话的风格。

对于这类事情，没有规定人们要去通过电话或者其他系统来确认对方身份。服务台打开了防火墙，并重置了密码。

入口处的灾难

入口打开之后，黑客登录了网站，获得了更多的数据和受MD5保护的密码。匿名者攻破了网站，然后共享了所有的邮件、文档和演示文稿。

对一个商务网站来说，这一连串的安全失误已经足够糟糕了。而对一个经营网络安全业务的公司来说，这无疑是一场灾难—SQL注入的弱点、重复使用的密码、3个月未修补的漏洞。SQL注入是第二种最常见的侵入方法。而业界估计，大约30%的用户在很多地方都会重复使用密码。所以，社交建设可能是最常见的黑客行动，也就是所谓的网络骗局。

周日，美国东部时间晚上10点左右，匿名者聚集在一个名为“#phbgary”的IRC聊天室，讨论着战利品和该如何庆祝。他们向感兴趣的记者散播消息，第一批报道开始出现在了新闻网站上。巴雷特·布朗是一名记者，他对监视技术很感兴趣，美国东部时间晚上8点29分，他在《每日邮报》上发表了一篇标题为“Anon接管了HBG Federal”的新闻稿。

布朗表示，匿名者很精准地在1个小时前控制了这家互联网安全公司的网站，获得了6万封公司电子邮件、已删除的备份文件，还控制了巴尔的推特账号，并接管了创始人建的rootkit.com。匿名者还找到了一份巴尔撰写的文件，里面清楚记录着巴尔试图定位和找到一些匿名者的关键成员。

黑客很怕被人肉信息，担心线上的信息会暴露自己的位置和真实身份，那样警察肯定会找上门。但在阅读了巴尔的演讲内容后，他们发现似乎没有什么值得担心的东西。匿名者成员使用过的很多名字显然是捏造的，也有几个名字是正确的，其中一个是因为自己用了真名去注册网络域名，后来又在匿名网站中提到了这个域名。

同时，HBG Federal的主页也变成了一个截图，上面写着：“你想要咬匿名者的手，现在匿名者就来咬你的脸。你期待着我们口头上的反击（正如你在邮件中说的那样），现在你已经收到了来自匿名者的愤怒。”

他们还使用巴尔的密码，复制了他的iCloud账户，并远程格式化了他的iPad。

巴尔、维拉、霍格伦德以及莱维陷入了危机，巴尔说道：

我们内部讨论了最坏的结果，根据匿名者之前的行为来看，我们认为他们可能会对我们的网站进行DDOS攻击（分布式拒绝服务攻击，能有效让网站下线）。我们的客户都在使用这些网站，所以我们觉得会产生些问题，也做了些补救措施。但接下来匿名者的行动却超乎我们的意料，也从未有过这类先例。

他们低估了匿名者，像微软那些傲慢的程序员一样。他们没有意识到，一个不安全的网络界面一旦暴露于无限的互联网上，就意味着它向整个网络世界开放了，其中包括其他心怀不轨的人。HBG认为，他们熟悉互联网以及来自黑客的威胁，但这一想法本身就不成立。

处理危机

问题就在于，HBG Federal没有紧急应急方案。“我们公司才刚起步，成立不到1年，仅有5个员工。和大多数初创公司一样，我们不会在第1年就做好了所有准备。”巴尔说道。

现在巴尔的推特和领英账号也被盗了：

我还记得那是星期一，我有一种不好的预感，我意识到我们所有的邮件都被盗了，并且黑客还威胁我们要公布这些邮件，那种感觉好像自己家遭到了侵入。我感觉受到了侵犯，没有丝毫隐私。

与入室盗窃不同的是，内容并没有被拿走，而是被一点一点地展示给全世界看。

巴尔曾让霍格伦德的妻子莱维进入匿名者的聊天室，那里的黑客正在进行激烈的讨论。她在东部时间晚上11点登录，并为自己不熟悉IRC系统而道歉，“对不起，我第一次用这个系统，可能会有些慢，我不像你们那样老练”。

有人问她，知不知道巴尔一直在搜索匿名者的信息，并且收集了一长串名单。“他没打算交给政府，”她写道，但她又补了一句，“我们还没看到那份名单，都有点恼火。”

莱维进入聊天室的目的是从下载记录里清除HBG的邮件，但那几乎是不可能的，这些邮件不可避免地在多台机器上留下了记录。

无果的谈话持续着。匿名者确定巴尔将在周一跟FBI举行会议，并要把自己的发现卖给他们。莱维被大量的信息淹没了，她只有一个人，却有上百人发出了指责、质疑、侮辱的话。她在聊天室里待了超过90分钟，没有说服任何人，也没有清除HBG邮件的公共下载记录。匿名者中有人建议莱维开除巴尔，莱维争辩道，“我无法开除公司的股东。你们的所作所为是违法的，并且会自食其果”。莱维还注意到，HBG Federal的网站有SQL的弱点，这个网站是一个外包公司建的，“我们解雇了他们”。

稍后，霍格伦德本人代替妻子上线，他问道：“你们知道公布这些邮件会给HBG带来上百万美元的损失吗？”

领头人回答：“放轻松，我们会不会公布这些邮件，将取决于你跟你妻子的行动。”

霍格伦德问道：“你们注意到了吗？攻击一家美国公司并窃取私人数据，这是你们从未做过的事情。”

这次确实是匿名者僭越了。黑客的反应从最初的好奇到自我保护，转而又陷入了一种自己在1个小时内占领了一家公司网站的兴奋。

匿名者内部也意识到这次行动改变了传统业余黑客的格局，也改变了匿名者的地位。他们攻击了一个美国联邦政府的网络安全承包商，而且采用了很多技术，比如社交建设、SQL注入以及密码破解。

梅恩曾在路透社工作，也负责这一领域，他回顾起那个周末发生的前所未有的事件，“它毁掉了巴尔，并导致了鲁兹安全（黑客团队）的成立，这一切后来演变成了最壮观的黑客狂欢”。

鲁兹安全由聊天室的一些参与者组成，他们持续侵入多家政府网站。除了一人，所有人都被逮捕和判刑了。

当时，巴尔、维拉、霍格伦德和莱维还试图做点什么。匿名者正在公布HBG Federal的内部文件，接下来就是HBG。在这个过程中，他们可以补救，也可以直接忽略。但如果他们忽略了，不就给了误解的人们自由发挥的机会吗？巴尔建议道：

信息公开时，总会有某种程度的误解。我们必须从成见出发，努力做些什么，特别需要考虑客户以及合作伙伴的利益。这十分有挑战性。

他对这次经历感到十分沮丧，对于一个长期和媒体打交道的人来说，这大大影响了他的工作和生活。他说，有太多的信息可供记者发挥，“公共域名有我们66000封邮件，如果你想大做文章，只需要逐一下载就行了。但我不希望你原文呈现，我希望你能弄清楚事实”。

回想起来，他认为自己需要保持沉默，并拒绝了一切事后采访。这是很难做到的，故事远远没有结束。

巴尔试图表明自己的立场，“当你面对那么多反对的意见，你不能去抗争。最终，时间会冲淡一切”。

黑客事件的余波

很多的东西都需要从头再来。黑客事件引起了一系列问题，邮件泄露了HBG正在进行的工作，迫使他们取消了近期的演讲和相关的项目。除了数据遭到窃取，HBG的员工还在展销会上受到了很多暴力威胁。几天后，喜剧演员斯蒂芬·科尔伯特在一次晚间节目中猛烈抨击了HBG Federal和巴尔。

2011年3月1日，黑客攻击发生3周后，巴尔辞去了HBG Federal的首席执行官一职，“我一直都遭到媒体的恶意攻击，我希望在我辞职之后，HBG和HBG Federal能够回到正轨”。

2012年2月29日，HBG在黑客袭击发生后的1年内，业务出现了意想不到的增长，并宣布被国防信息安全技术服务提供商美泰科技（ManTech International）以未公布的数额收购。“这是个大新闻，有一家价值10亿美元的公司支持我们，”霍格伦德说道。而后来，HBG Federal因不在收购范围内，倒闭了。

侵入HBG Federal的黑客也已伏法，并被判入狱。他现在在一家测试公司工作，相同的是，他能轻松发现一家公司系统的弱点，不同的是，他现在能拿到报酬。

柏拉图现在也经营着一家安全公司，并经常看到SQL注入攻击：

我们需要理解大多数软件是如何运作的。它们需要快速进入市场，拿到资金、客户和点击量，这样就能得到投资者的资金注入。当你试图做成点什么时，就得不断向前，而减少对当下问题的关注度。你可以走捷径，从别人那里以不当的手段借用代码，系统也会因此变得容易被攻破。很多公司都是这样，当其一蹶不振时，他们需要承受着压力去做点什么，以打破当下的僵局。然而他们并不能真正地解决问题，而只是将问题复杂化了。即使他们最终成功了，他们也无法关闭所有的后门，这些将成为他们需要面临的新问题。

这是一个影响IT和软件开发的问题。研发者总是不停地关注着下一个问题，被驱赶着前进，所以面对的问题是无限的，问题永远不可能真正得到解决。

小结|HBG黑客事件

黑客的性格多少会有些偏执，甚至有时会狂妄肆意。如果想要通过声称自己拥有对方的个人信息来威胁黑客，那么首先请确保信息的准确性。此外，如果你要将其公之于众，那请在这之前检查自己的网络防御，以防范对方可能发起的反击行为。

请不要重复地使用单一密码。如今有许多密码管理设备，可以帮助你记住密码。并且如果在多个设备、账户上使用单一的密码，那么密码被盗窃后，很有可能会导致你所有的账户都受到损害。

请在电子邮件等其他系统程序上启用双因素认证。不要使用基于SMS短信的双因素认证，因为黑客可以绕过它，甚至是直接侵入它来盗取你的账户信息。

请了解访问、修改账户个人信息的凭证需求。假设有人冒充用户向用户服务中心致电，声称自己遗忘了密码，那么他需要提供哪些信息凭证，就可以通过服务中心访问账户信息，甚至是修改账户密码？

如果有人发送电子邮件（诈骗邮件）至用户服务中心，那么他们是否能够通过这一手段访问用户的账户信息？

假设你的电子邮箱被黑客侵入了，并且他们将邮件内容公之于众了，你该如何应对？提前做好应对方案。

黑客会为了报复而发起攻击。