勒索軟體不是在網際網路普及之後才出現的──這是讀《勒索軟體狩獵團》(The Ransomware Hunting Team)第一個令人意外的發現。
2017年,有款名為「WannaCry」的病毒席捲全球,透過網際網路攻擊使用Windows系統的電腦。電腦中毒的使用者會收到通知,表示電腦裡的檔案已被特殊手法加密,需要交付贖金才能拿到解密的方法──也就是說,「WannaCry」不但具備某種蠕蟲病毒特性、能夠經由網際網路傳播擴散,同時也是一個「勒索軟體」。
「勒索軟體」顧名思義是以某種方式「綁架」電腦中的檔案或程式、讓使用者無法正常使用、藉以勒贖的軟體程式,它做的事和現實世界的綁架勒贖是一樣的:控制對受害者而言有用、必要、珍視甚或具有特殊意義的人或物,允諾受害者以金錢將其贖回。
「WannaCry」不是第一款兼具勒索及病毒功能的惡意軟體,但或許是台灣電腦使用者最熟悉的一款──2017年它感染了台灣許多電腦,一直到2018年,台積電安裝新機時都還被它的變種侵入公司網路。身處網路時代,「勒索軟體」透過電腦病毒的傳播路徑擴散,想像起來十分理所當然;也因如此,讀到這類軟體在網際網路普及之前就出現過,感覺很奇妙。
1989年,波普(Joseph L. Popp)從倫敦寄出超過兩萬張磁碟片給電腦雜誌訂閱戶、醫療人員、世界衛生組織、銀行、石油公司,還有梵蒂岡。當時全球因愛滋病死亡的人數激增,波普在磁碟片上標注,表示磁碟內容與愛滋病衛教有關,但當收件者開啟磁碟片到達一定次數之後,電腦就會當機,同時在螢幕上看見一則匯款以取回電腦使用權的訊息。
彼時距離全世界第一個網站成立,還有二十個月。
波普的勒索軟體散布的方式雖然和後來多數人印象中的「電腦病毒」不同,但引誘收件者使用程式、進而讓電腦中毒的手法,其實與某些電腦病毒類似。受害者的電腦會中毒,原因不在病毒的程式碼寫得很巧妙,而在病毒製造者利用了人腦的思考模式,或者可以簡單地說是「人性」──受害者以為收到的是朋友的信件、公務的通知、情書、系統警告,或者像波普提供的「重要資料」(經查,波普磁碟片裡的愛滋病相關資料並不完整,也有許多部分似是而非,簡而言之這資料並沒有標注上頭宣稱的用處),於是依病毒製造者預設的步驟行事,落入陷阱──這類手法,《奇幻熊在網路釣魚》(Fancy Bear Goes Phishing)一書裡有詳細說明。
(順帶一提,目前透過電話及簡訊的ATM詐騙用的也是類似手法。)
網際網路普及之後,勒索軟體更容易經由病毒傳播;倘若是個人如果遇上綁架軟體,被控制的檔案和資料可能影響工作或個人生活,倘若是公司行號或大型機構遇上綁架軟體,牽涉的層面就更廣──醫療院所的病歷資料無法使用就不能正常運作,甚至可能危及病患生命,政府機關的資料可能涉及法案計劃及國防機密,綁架者也可能威脅要將受害單位裡的名單外流或販售,這就會有個資洩露的問題。
除了系統業者及防毒軟體公司會以自身專長及資源提供解決方法之外,也出現了專門替受害者談判及處理勒贖事宜的業者,他們會負責協商贖金,也會負責將被加密的檔案解鎖。現實的綁架勒贖案件中也會出現類似業者,也和現實世界的狀況一樣,有些不肖業者可能會反過來和綁匪聯手誆騙受害者。
相關的攻防及發展在《勒索軟體狩獵團》裡都會讀到,但這本書裡最令人意外的,其實是關於人性的不同面向,也就是書中的主角們「勒索軟體狩獵團」。
這個團體的成員分布在不同國家,職業與社經地位也不相同(有些其實經濟狀況不算好),但都願意耗用自己的時間,近乎無償地破解各種綁架軟體;只要有受害者向他們求助,他們都會盡己所能地救援,而且大多並未以自己提供的協助謀利。他們當中有些對綁架者深惡痛絕,以自己的電腦專業與之對抗,有些會與執法單位合作;也有些認為有機會和綁架者溝通,甚至試著在新冠肺炎全球肆虐期間呼籲綁架者不要對醫療機構出手──部分綁架者的確給了善意回應,只是不見得每次都履行諾言。
也就是說,綁架團體和「勒索軟體狩獵團」像是握有類似技術、但基於截然相反信念使用這些技術的兩方,綁架團體利用軟體技術為自身謀利,而「勒索軟體狩獵團」則利用類似的技術阻止。
「勒索軟體狩獵團」或許更接近科技樂觀主義者想像中的人類樣貌──善用科技,透過科技解決問題。諷刺的是,「勒索軟體狩獵團」面對的問題,正是透過相同的科技刻意製造出來的。
工具本身是中立的、沒有善惡的。用它做什麼,取決於人。
讀《勒索軟體狩獵團》原來是對相關題目感興趣,這書也的確提供了豐富有趣的資料,但在書中讀到許多人性面向,倒是有點始料未及,也因此想起多年前手機廠商的廣告詞「科技始終來自於人性」。只是手機廠商的廣告詞一方面指的是手機藉由通訊連結不同個體(英文廣告詞是「Connecting People」),一方面指的是手機也可以用來消遣、打發時間(雖然那時擔任這功能的大概只有手機內建的「貪吃蛇」之類小遊戲);要用來形容這本書,該改成「如何使用科技,始終來自人性」。