# 布雷特·约翰逊：美国头号通缉网络罪犯

> 曾登上头号通缉名单的网络罪犯讲述身份盗用产业的运作方式与自己后来的转变。

- 原标题：#272 – Brett Johnson: US Most Wanted Cybercriminal
- 期数：第 272 期
- 发布日期：2022-03-27
- 嘉宾 / 主题：布雷特·约翰逊
- 网页版：https://lexfridman-cn.pages.dev/ep/brett-johnson/
- 官方页面：https://lexfridman.com/brett-johnson/
- 精读字数：约 20153 字（阅读约 45 分钟）

> 本文为 lex.qiaomu.ai 基于原始访谈的 AI 改写中文精读，非官方翻译；引用请注明出处并链接网页版。

2006年9月的一个早上，拉斯维加斯。布雷特·约翰逊（Brett Johnson）醒来，打开电脑，登录 cartersmarket.com。前一天晚上他刚从 ATM 里取走 16 万美元。

论坛首页挂着一条帖子，帖子里是他的真名，旁边写着：美国头号通缉。

在那个圈子里，没有人知道他的真名。他叫 Gollum，叫 Gollumfun。现在所有人都知道了。帖子里还写着他跟特勤局的关系，写着"安康鱼行动"（Operation Anglerfish）。论坛里的反应很直接：干掉这个狗娘养的。

他盯着屏幕看了一会儿，把心里那句话念出声来："约翰逊先生，你上了美国头号通缉名单。接下来你打算干什么？"

然后他自己回答："我要去迪士尼世界。"

他真的去了。开着吉普从拉斯维加斯一路开到奥兰多，买了两张年票，一张迪士尼，一张环球影城。又用现金买下一套还没装修好的分时度假屋，12,900 美元，转头去家具店刷了 3 万美元。之后的六周，他每天去迪士尼玩。

## 十岁那年，妹妹拎着一包猪排走进门

布雷特·约翰逊出生在东肯塔基。按他自己的说法，那地方跟德州、路易斯安那的部分地区一样，如果你没本事找到正经工作，那就去做骗局、做局、做欺诈，随你怎么称呼。

他母亲是这一行的"队长"。这个女人偷过一台卡特彼勒 D9 推土机，108,000 英镑的家伙，直接开上公路运走。她在便利店假装滑倒，起诉店主。她还给邻居当皮条客，一个叫黛比的邻居需要钱，她就负责找男人，抽成。

他把母亲形容成一个不断试探的人。她要测试你能被她伤害到什么程度，然后还会回来继续爱她。她对每一段关系都这么干，对丈夫，对两个孩子，都是如此。

> 她拿皮带扣抽我和丹妮丝。那是我们住在一辆单宽拖车里的时期，我们俩在床上躲，丹妮丝一脚把她踹进了衣柜。然后丹妮丝站起来说，你打我们打到头了。（布雷特·约翰逊）

父亲是另一种人。布雷特说他爸爸是个好人，只是忘了自己是个好人。这个人有原则，但他太爱妻子，怕她离开，所以她要做任何事，犯罪、出轨，他都忍。有两次他实在忍不住，第一次是布雷特七八岁的时候，父亲提出离婚，母亲拿着刀架在他喉咙上，说的是"你别想把我儿子偷走"。

然后她哭了，跑去浴室假装割腕，把父亲的注意力从刚才那把刀上引开。

布雷特十岁那年，妹妹丹妮丝九岁，某天拎着一包猪排走进家门。他问哪来的，她说偷的。他说，教我怎么弄。从此兄妹俩开始偷食物。偷到想要三明治的时候发现面包塞不进裤子，于是有了更精细的方案：去 Kmart 拿一件连帽衫，剪掉吊牌，穿在身上走出去，把一条面包塞进袖子里。帽衫不能穿在身上塞面包，拉链一拉面包会被压扁，也容易被看出来。

这套动作他十岁就自己推演出来了。他说，因为他已经在看父母怎么做事。母亲从来没把这些藏起来，所有事都当着孩子的面发生，没有关起门来的讨论。

更糟的是，他身边没有体面人。他说自己一直到 16 岁才见到第一个体面的人，是个高中英语老师。

母亲发现兄妹俩偷东西之后，没有阻止。她加入了。她还要他把外婆也拉进来。布雷特和丹妮丝负责偷东西、负责分散保安注意力，母亲和外婆下手。

## 电梯里的那一拳，和一个把他当儿子的老师

15 岁那年，他被母亲长期的言语虐待磨到了某个临界点。那天他给在佛罗里达的父亲打电话，本来打算搬过去跟父亲住。父亲告诉他，自己要结婚了，布雷特不能来了。

他挂掉付费电话，走进一家医院，进了电梯。一个女人同时走进来，长得极像他母亲。他在电梯里把那个女人打了一顿。门开的时候，一个保安认出了他，因为他跟保安的儿子一起打过篮球。他又把保安打倒，跑回家。

一个小时后，肯塔基州警来了。他在县监狱待了三个月，那个县没有少管所，他被单独监禁。开庭，认罪，一级伤害。法官判了已服刑期，附加一次心理评估，送他去路易斯维尔待了 30 天，然后放人。之后要求他接受心理咨询，他一次都没去过。

他成了县里的贱民。转学第一天，同学们堵在校门口不让他进。母亲在那边吵，他说算了，走吧。去了市里的学校，校长说丹妮丝可以来，他不行。最后去了 15 英里外的一所乡村高中。

第一天走进教室，把材料递给班主任卡罗尔·科姆斯（Carol Combs）。科姆斯后来跟他说，她当时听到这个声音，抬头一看，问：孩子，你演过戏吗？

他说没有，但他对学术队感兴趣。科姆斯同时是戏剧组和学术队的负责人，她开出条件：想进学术队，得先演话剧。

他在她手下成了全州最顶尖的学术队选手之一，当上队长，横扫东肯塔基各县。有一次比赛遇到他原来的学校，对方队长一进门就问：你们队里有那个约翰逊小子？科姆斯回答：那个约翰逊小子就是我们队。

高三那年，他拿了全州最佳男演员和最佳女演员两个奖，是州里唯一做到这一点的男生。奖学金来了好几个，他一个都没接。他说自己当时害怕离开。

后来在社区大学，新来的戏剧导演从加州请来了爱德华·伊曼纽尔（Edward Emmanuel），《三个忍者》（3 Ninjas）的编剧。伊曼纽尔看完他一人分饰 18 个角色的演出，当场给了圣何塞州立的奖学金，说你现在是小池塘里的大鱼，我们要把你变成大池塘里的大鱼。两周后他开车来接布雷特谈细节，进屋 15 分钟，出来时脸色惨白，一句话没说就开车走了。

布雷特后来才知道，他母亲在屋里掏出一把刀，告诉那人：我要杀了你，你别想把我儿子偷走。

这条线断了。他彻底走进另一条路。

## 蓝豆豆、假驾照，和第一个骗他的人

为了凑结婚的钱，他伪造了一场车祸。车是在拍卖会上 500 美元买的雪佛兰，他表弟罗尼为了让事故看起来更真，当天去牙医那里拔了一颗牙，要求不打麻药不缝合，然后带着满衬衫的血出现在现场。他们谎称去山里看望布雷特的母亲，返程时冲下山坡。保险赔了。

婚后他一边打 60 小时工一边上 18 学时课，还包揽做饭打扫，因为他不让妻子干活。撑不住，辞了工作，重新做欺诈。先是电话营销，卖墓地，卖马戏团票，卖慈善食品篮。他从公司偷走客户电话名单，自己单干，每周出去收两次支票。某次敲开一户人家的门，对方是执法人员。

他因欺诈盗窃在县监狱待了三个月。

出来后回到肯塔基，住在岳父母家。岳父母有一台惠普台式机，他上网闲逛，发现了 eBay。一开始只是在 eBay 上找卖家，用空头支票付款，赌对方不会跨州追几百块钱。

真正让他找到感觉的，是"豆豆娃"（Beanie Babies）。

某天晚上他看《内部版》（Inside Edition），节目在讲一只叫 Peanut 的宝蓝色大象豆豆娃，eBay 上卖 1,500 美元。第二天他翘课，跑遍肯塔基所有的 Hallmark 门店找 Peanut。当然找不到。后来他发现有灰色的小象卖 8 美元，就买了一只，又去 Kroger 买了包蓝色 Rit 染料，回家给象染色。

染失败了。那玩意是涤纶的，从染缸里捞出来像长了癣。

他换了思路：上网找了一张真品照片，贴到 eBay 上，先假设有人会赢拍，然后再编故事说邮寄途中出了问题。有个女人赢了。他立刻发起社会工程攻势，第一句话就把对方置于防守位置：我们没做过生意，我甚至不知道能不能信你。为了保护我们双方，请你去美国邮政买两张汇票，总额 1,500 美元，由政府发行，这样大家都安全。收到汇票我立刻发货。

她照做了，一句都没多问。

他兑现汇票，把那只染坏的象寄了过去。电话立刻打过来。他说：女士，你订的是一只蓝色大象，我寄给你的就是一只蓝色大象。

她一直打。他没接。

> 我发现的规律，也是几乎所有网络罪犯最早学到的一课：只要你把受害者拖得够久，一直推脱，很多人会气到甩手走人。你再也不会听到他们的消息。而且直到今天，这些人里没有一个去报警。他们咽下去了。（布雷特·约翰逊）

为什么咽下去？他拆解过：一是疲惫，流程太麻烦；二是羞耻，媒体和家人都在责怪受害者，你为什么会点那个链接，你为什么会给不认识的人打钱；三是不知该找谁，跨州的案子本地警察管不了，金额不够联邦立案，联邦让你找本地，本地让你找案发地，案发地让你本人过来一趟。

## "所有犯罪都应该从身份盗用开始"

他继续做，从盗版软件做到改装芯片。世嘉土星、PS1 要装直读芯片才能跑盗版盘，他就卖芯片、装芯片。接着是有线电视机顶盒，装了能看所有付费频道。再往后是卫星 DSS 卡，18 英寸的 RCA 卫星接收系统，把卡拔出来重新编程，所有频道全开。

转折点来自一个加拿大法官的判决。那位法官裁定，加拿大公民盗用卫星信号合法，理由是 RCA 不在加拿大销售这套系统。同时 PayPal 正好兴起。

一夜之间，美国出现一个小产业：去百思买花 100 美元买一套系统，在停车场拆箱，把卡拔出来，机器扔掉，卡编程，寄到加拿大，一张 500 美元。他一周能做 3,000 到 4,000 美元，订单多到做不完。

然后他想明白一件事：订单为什么一定要做完？客户在加拿大，他在美国，谁来投诉？他早就知道人不投诉。

他开始收钱不发货。PayPal 早期在安全上毫无概念，钱直接进他名下的银行账户。每周四五万美元让他开始害怕，他判断该做洗钱了，最直接的办法是搞一张假驾照，用假身份开户，从 ATM 取现。

他不知道去哪搞假证。在网上找了两个星期，找到一个自称"假证侠"（Fake ID Man）的人，网站做得有模有样，还有用户评价。他寄了 200 美元和自己的照片。

对方卷款跑路。

他气疯了，开始在论坛上天天骂。当时网络犯罪圈没有像样的社区，只有 IRC 聊天室，一条不断滚动的公共聊天板，你不知道对面是谁，绝大多数人在吹牛，你没法验证任何东西。

他找到一个叫"假证图书馆"（Counterfeit Library）的网站，主业是卖假文凭假证书，附带一个没人用的论坛。他开始每天在上面发帖骂骗子。同一时间，另外两个人也冒了出来：一个叫 Mr. X，在洛杉矶；一个叫 Beelzebub，在萨斯喀彻温省的穆斯乔。

几周之后，Beelzebub 通过 ICQ 找他，说我能给你做假驾照。布雷特说那就做。对方说要收费。两个人吵了一轮，Beelzebub 说了句后来被布雷特反复引用的话：这行你要是不能信人，你就做不成。

> 我收你 200 美元，但我会把驾照寄给你。这个生意里，你必须信任别人，否则你一定会失败。（Beelzebub，转述自布雷特·约翰逊）

两周后，驾照到了。名字是 Steven Schwecki，俄亥俄州，是个真人，那个人至今还在 ADP 做薪酬工作。

布雷特说，那是他这辈子见过最漂亮的东西。回头看，做得其实一般。

## Shadow Crew 真正发明的东西，是给罪犯用的信任基础设施

他把网络犯罪拆成三个必需环节：获取数据、实施犯罪、变现。

三个环节必须同时成立，缺一个，这门生意就做不成。问题在于一个人干不了三样。卖数据的人手上有信用卡号、有个人信息、有改号电话、有远程桌面，但他们通常不知道怎么写套现，更不知道怎么把钱洗干净变成手里的现金。技能差异、地理限制，都会卡住某一段。

所以你只能依赖在你不会的领域里比你强的人。这意味着你必须信任他们。

这就是 Shadow Crew 的价值。

在他之前，"假证图书馆"是个 eBay 和 PayPal 诈骗的小站点，加上假证件生意，大概两三千会员。他成了站里唯一的"评测员"，因为 Beelzebub 要卖驾照、Mr. X 要卖社保卡，而布雷特自己什么货都不卖，这反而让他评测算中立。谁被他评过，谁就能赚钱；谁没过他这关，就跟谁都不做生意。

然后一个乌克兰人出现了。

德米特里·戈卢博夫（Dmitry Golubov），当时是个垃圾邮件发送者，手里有大量信用卡数据。他冒出一个念头：会不会有人愿意花钱买被盗的信用卡信息？他打电话给朋友，朋友再打给朋友，在敖德萨开了一场线下会议，150 个网络罪犯到场。这就是 CarderPlanet 的起点，也是今天所有信用卡盗刷产业的开端。

但戈卢博夫遇到了三环节里最要命的一环。东欧那边的欺诈发生得太密集，每一张卡都被银行停了。就算你是合法持卡人，也刷不出来。他有世界上最多的数据，能实施犯罪，但没法把现金拿到手。

于是他跑到 Counterfeit Library 的公共论坛发帖：我有信用卡数据，给我一个收货地址、一个一次性手机号，等五个工作日，你想要什么就下单。

论坛炸了。会员的反应是：这不可能真的，你一定是执法部门。

布雷特决定自己试一次。他给了地址和号码，等五天，试着在戴尔下了一单 5,000 美元。失败。他在 ICQ 上找对方，对方说再给一次机会。他又给了新地址，等了五天，这次打的是 Thompson's Computer Warehouse 4,000 美元加戴尔 5,000 美元。货到了。

他把评测发出去。

> 那一夜之间，我们从一个 eBay 和 PayPal 诈骗站，变成了一个信用卡盗刷站。钱来得非常快。（布雷特·约翰逊）

## 磁条上有三道数据，而所有银行都少做了一件事

他在这段里讲的技术细节，值得完整记下来。

银行卡背面的磁条上有三道数据。第一道是持卡人姓名。第二道是卡号，加斜杠，加一段 16 位算法。第三道叫"随机数据"，没人用。

市面上买卖的是第二道，业内叫 dump。你在店里插卡或者刷卡，发出去做验证的只有第二道。第一道会在收银员的屏幕上显示出来。

所以标准操作是：买 10 条 dump，做 10 张卡，10 张卡的第二道各不相同。第一道全部写成同一张假驾照上的名字。刷卡时第二道去验证，第一道显示在收银员眼前。如果对方要看证件，你掏出那张假驾照。皆大欢喜，你带着相机和劳力士走出去。第一道和第二道之间没有任何关联，这就是整套手法的支点。

乌克兰人接下来干的事更狠。他们发现没有一家银行在第二道上真正实现了哈希校验。第二道里那段 16 位算法，本来是用来防止伪造的，但银行没实现。也就是说，只要卡号后面随便填 16 位数字，卡就能被编码，能拿去 ATM 取现，因为密码是真的。

这项技术被叫做 CVV1 泄露。

结果是，卡不在场欺诈（CNP）的收入，从每月 3 万到 4 万美元，变成每天 3 万到 4 万美元。

乌克兰人依然没法套现。于是分成定在四六。美国人当取款手，拿四成，剩下的通过西联汇款、预付卡、后来的 eGold 和 Liberty Reserve 转回去。加密货币登场之前，这条路已经跑了很多年。

Shadow Crew 后来还接入过印第安纳州的性犯罪者登记库、德州的驾照数据库，最后是加州死亡索引。他试过用死者的身份申请社保，卡在"需要本人到场面谈"这一步。32 岁的人扮不了 65 岁。他换了个思路：拿死者身份报税。

美国国税局会在核实雇主之前先发退税，这个漏洞至今仍在。他把单笔退税压到 3,000 美元左右，用加州死亡索引里真实存在的人，手工填。

填一份花六分钟。一天干 10 小时，一周干 3 天。换 IP、换地址、换一切。第四天开车出去踩点，在地图上标出 ATM 的位置。第五第六天取现。

> 一个背包能装 15 万美元的 20 元面额钞票。每张 20 美元重一克，所以执法部门查获现金的时候，很多时候直接称重。（布雷特·约翰逊）

他就这么干了 10 个月，每周 16 万美元。钱堆在客房里，堆到必须学洗钱。制片公司、汽车美容公司、考虑过快餐车。国内账户、墨西哥、加拿大，最后一站是爱沙尼亚的银行。

他说，2005 年 2 月 8 日他被捕，最后一次资产查封通知是 2010 年收到的。

## 暴力是怎么进来的

Shadow Crew 时期，他们自认是极客，是骗子，是社会工程师。暴力不在考虑范围内。布雷特定过几条规矩：不做儿童色情，不做伪钞，不做毒品。他说真正被遵守的只有儿童色情这一条，而且还有例外，比如"冰人"麦克斯·巴特勒（Max Butler）那次，用儿童色情图片塞满对手邮箱，然后报警。

转折来自前面提到的那个乌克兰人 Script。有人欠他钱不还。他在 Shadow Crew 上发了一组照片，配一段完整的叙事：一辆面包车，人被撞进车里，门开着，人被绑着，正在被用刑。

帖子的意思是：这就是偷我钱的下场。

布雷特的第一反应是不可能，只是吓唬人。第二反应是，那是真的。

他后来在访谈里承认了一件很难听的事。他跟妻子开玩笑说自己认识一个有 8,000 个比特币的人，也许可以说服对方交出访问权限。妻子问怎么说服。他说，锤子加脚趾。他说这是玩笑，但他也知道那条线在哪。

> 我一度真的可能会做那种事。那就是 Script 的问题：钱太多了。暴力也可以是渐进的，你多做一点，再做一点，慢慢就脱敏了。（布雷特·约翰逊）

他拿罗斯·乌布利希（Ross Ulbricht）举例。罗斯不是暴力的人。但当他手上握着 2,400 万美元的比特币，是整个暗网唯一的玩家，他觉得自己被威胁了，觉得有人要出卖他，于是他以为自己雇了杀手。

布雷特把网络犯罪的动机分成三类：地位、现金、意识形态。他自己那群人全是现金，一个不落。罗斯是意识形态。他见过丝绸之路 2 号的运营者，说那类人完全是另一个物种，现金驱动的人停下来相对容易，意识形态驱动的人停不下来。

## 暗网是海军的项目，比特币的第一批用户是毒贩

Tor 浏览器由美国海军开发，目的是让特工之间能匿名通信。到今天，Tor 最大的资金来源仍然是美国军方。项目后来开源，电子前哨基金会接手赞助，对外说法变成了帮人穿透国家防火墙、保护举报人。

有人忘了提醒一句：任何能用来洗钱和匿名的技术，第一批采用者一定是犯罪分子。

2005 到 2006 年，布雷特还在给特勤局干活，某天收到一份备忘录，讲的就是 Tor，说这个要小心。他们一群人打开试着用，完全没法用，太慢，因为没人在用。

几年后，中本聪提出比特币，罗斯·乌布利希把它接了过去。丝绸之路只收比特币。布雷特对这件事的评论很直接：加密货币最初的用例就是一群人要买大麻，需要一个付钱的办法。这话今天没人愿意承认。

Shadow Crew 留下的真正遗产，是那套信任机制。论坛让几周甚至几个月前的对话可以被检索、被引用、被学习。有引荐系统、评价系统、托管系统。你看一个 ID 就知道这个人能不能合作。这套东西后来被暗网市场完整继承。

## Shadow Crew 最疯狂的一段，是它被自己人卖掉的经过。

论坛需要一个技术员来维护软件。一个叫金·泰勒（Kim Taylor）的助手某天带来一个人，说是懂这套系统，布雷特说那就签下他。这个人的网名叫 KumbaJonny，做了一阵子技术之后，开始以 Scarface 的名义卖信用卡。

他本名叫阿尔伯特·冈萨雷斯（Albert Gonzalez）。

在成为 Shadow Crew 的技术员之前，他在洛杉矶一家 T-Mobile 门店工作，干过一件当时上了大新闻的事：把帕丽斯·希尔顿手机里的通讯录导出来公开。他还不止做了这一件事。洛杉矶的特勤局分局当时用的是 T-Mobile 的手机，于是他手上有了特勤局调查 Shadow Crew 的短信记录，然后他把这些短信发在了 Shadow Crew 上。

> 我坐在那儿，坐在金字塔顶端，看着这些东西想，这事不会有好结局。绝对不会有好结局。（布雷特·约翰逊）

阿尔伯特被抓的原因很蠢。新泽西，大白天，他在一台 ATM 前站了 40 分钟，一张卡接一张卡地插进去，取出现金塞进背包。街对面正好有两个警察，看了他 40 分钟。其中一个终于说，我过去看看那小子在干什么。

他戴着假发，全套伪装。警察问，孩子，你在干什么。他当场崩了。

进了局子之后，他第一句话是：我想为特勤局工作。

布雷特对当年那批特勤局探员的评价很刻薄。他说那不是他现在的看法，是当年的情况。他先用了"能力问题"这个词，然后说，换个说法就是"一帮白痴"。他们完全不懂数字世界。阿尔伯特告诉他们，你们可以试试 VPN。他们问，什么是 VPN。他解释完，他们说，这主意不错。

于是 VPN 架起来了，由特勤局运营。阿尔伯特回到 Shadow Crew，重新掌握了局面，把怀疑他的人都封掉，然后宣布：为了安全，以后所有交易都必须走这个 VPN。

四五个月里，特勤局记录下了大约 700 万美元的交易流水。

2004 年 8 月，Shadow Crew 上了《福布斯》封面，标题是《谁在偷你的身份》。2004 年 10 月 26 日，美国特勤局在六个国家、六个小时内逮捕了 33 人。布雷特当时在南卡罗来纳州的查尔斯顿，看着新闻。

他是公开报道里"跑掉的那个"。还有几个人也没被抓，其中一个网名叫 Tron，能几乎无限制地访问美国银行的系统。特勤局查到了他在乌克兰，飞机都已经起飞，他们打电话通知乌克兰警方。电话一挂，乌克兰警察就开车过去告诉他：他们要来抓你了。他跑去了南美，六七年之后才落网。

管一群罪犯比犯罪本身更难

在退出之前，布雷特手上同时管着好几支队伍。他讲了一个堪称闹剧的故事，用来解释为什么他最后还是决定退出。

一个叫大卫·托马斯（David Thomas）的人，网名 El Mariachi，在内布拉斯加州因支票诈骗被通缉，跑到 Shadow Crew 上讲了一通悲惨故事。大家给他凑了钱，布雷特还给他找了份活，跟着一个低级别的卡贩子干。

干了几个星期，托马斯说挣不到钱。布雷特就找了乌克兰的朋友 Big Buyer 帮忙。Big Buyer 给了托马斯一笔钱，让他从德州搬到华盛顿州的伊萨夸（Issaquah），租个办公室，计划是：Big Buyer 下单，货发到办公室，托马斯收货，挂到 eBay 上卖，五五分。

第一单是 outpost.com，1.8 万美元，这是该网站当时收到的最大单笔订单。货到了。

然后布雷特的二把手金·泰勒听说这事，46 岁，在丹佛的 Tattered Cover 书店上班，网名"杰森·伯恩"，自认是个狠角色。他执意要去伊萨夸分一杯羹。布雷特说，去吧，小心点。

两个人在伊萨夸见面，通宵喝酒庆祝，因为此前从没见过面。与此同时，Big Buyer 下了第二单，1.7 万美元，发到同一个地址。Outpost 已经知道第一单是欺诈，直接打电话给伊萨夸警方。警方的回复是：能不能先寄几个空箱子过来。

行规是这样的：如果用的是完整的账户权限，下单之后，要在到货当天早上登录那个账户，能登进去就去取货，登不进去就回去睡觉。

这两个人整晚都在喝酒，没人去登录。Big Buyer 在那边急得给布雷特打电话，说找不到人。

第二天，托马斯开着一辆 70 年代的凯迪拉克，泰勒坐副驾，托马斯的女朋友坐后座，开进园区。托马斯扫了一眼停车场，看见一辆面包车里有人侧着身子坐着，跟泰勒说，那是卧底。泰勒说，没事。

泰勒走进去取包裹，人没了，伊萨夸警察出来了。托马斯在车里看着，掉头就跑，最后在州际公路上被抓，钱包里有三张假驾照加一张真的。

托马斯在内布拉斯加有通缉令，保不出来。泰勒没有，布雷特安排人把他保了出来，又托朋友把他接到犹他州住下。三周后，那个朋友打来电话说，这个人必须走。布雷特问怎么了。对方说，他每天唯一在做的事就是嗑摇头丸，整天。

布雷特把他送去了丹佛，跟另一支队伍合伙。泰勒把那些人全害得被抓了。

> 到这一步我已经完全没脾气了，只想甩手走人。正好我的退休期也到了，我说算了，我不干了。（布雷特·约翰逊）

## 他在特勤局的办公室里继续作案

2005 年 2 月 8 日在查尔斯顿被捕的过程，是他人生里最狼狈的一段。

那之前他刚从一个叫伊丽莎白的女人手里拿到了一枚三克拉的蒂芙尼钻戒。钻戒是在 eBay 上找到的，2 万美元，付的是伪造的银行本票。婚礼定在 2 月 26 日。

被抓是一次控制下交付，停车场里有 30 个探员，FBI 和查尔斯顿警方都在。45 分钟之内特勤局接手了案子，他们清楚抓到的是谁。

当天晚上七点，探员们说要搜他家。他说，我签字同意搜查，条件是让我跟着去，我要见她一面。

到了门口，屋里灯暗着，他先喊话让她把狗关起来，怕探员开枪打狗。然后一群人冲进去翻东西，把她按在一边问话，问他的真名是什么。她被拿走了一块手表，钻戒留下了。

第二天开庭，她和她父亲都来了，坐在后排哭。保释金 30 万美元。之后每天都有十几项新指控进来。

她在三个月里来探视两次，接到三四通电话。布雷特当时的感受是：我是受害者，她为什么不来。

> 现在我明白了。她也是真的爱我。她发现我是个什么样的人，那种打击是摧毁性的。（布雷特·约翰逊）

两周后，两个新泽西的特勤局探员飞过来，把他从牢里提出来，说我们拿到了你的笔记本电脑。他承认里面有东西。探员说那你会被起诉。

然后对方看着他问：你能为我们做点什么吗。

布雷特的原话是：你让我回到伊丽莎白身边，你让我做什么都行。

对方说，我们会把你弄出去。

他们在牢里又晾了他三个月，让他尝尝滋味。最后是他妹妹丹妮丝把保释金降到 1,000 美元，付掉了。那时候丹妮丝已经因为他跟脱衣舞女交往而跟他断绝关系。

出狱那晚 11 点，他站在查尔斯顿县监狱的停车场，身边一个特勤局探员陪着。伊丽莎白有个朋友开豪华轿车行，她坐着一辆加长轿车过来，从后备箱提出两个塑料箱，里面是他的衣服，扔在地上，走过来抱了他一下，说回头联系，上车走了。

他蹲在地上哭。旁边的探员问，那是你未婚妻吗。他说是。探员说，我很抱歉。

他当时名下只剩 30 美元，第一晚的旅馆钱是那个探员垫的。探员一走，他走半英里到沃尔玛买了张预付借记卡，回到房间就开始重启报税欺诈。然后打电话求伊丽莎白回来，说他会被聘用做顾问，一切都会好起来。全是谎话。

他们搬到哥伦比亚市，那是南卡的联邦分局所在地。他的工作内容是在办公室里上网、找目标、收集情报、教探员网络犯罪怎么运作。他有一台笔记本接外部线路，连着墙上一块 50 英寸等离子屏，旁边还有一台台式机，屋里始终有两名特勤局探员加一名南卡执法人员盯着。

头两周所有人都极其认真，问东问西。第三周开始，这份工作对他们变得无聊透顶，因为他在网上的速度太快，盯着看毫无乐趣。探员们开始在电脑上看黄片。

同时他们装了键盘记录器，还有 Spectre Pro 和 Camtasia，每晚把所有操作截图刻进光盘堆成一摞。布雷特判断这些人根本不会去翻那些光盘。

于是他在特勤局的办公室里，当着探员的面，重新开始犯罪。持续了 10 个月。

这段关系里有个细节特别扎人。负责他这个案子的两个探员，吉姆·罗马科内（Jim Ramacone）和博比·柯比（Bobby Kirby），是那种真的想拉他一把的人。几年后他有机会跟柯比一起吃饭，为当年害对方和另一个探员被开除而道歉。柯比跟他说，我们当时是你的朋友，真的是你的朋友。

> 我跟他说，我在努力做个更好的人。他说，布雷特，你一直都是个好人，你只是自己不知道。（布雷特·约翰逊）

最后暴露的是一起失效的抓捕。他在网上认识的一个叫肖恩·米姆斯（Sean Mims）的人，被他教会了报税欺诈。他事先跟肖恩约定：如果我消失了，你不要联系我。他消失了几个月，重新上线第一天，肖恩就来联系他。于是肖恩成了目标，被锁定，抓捕日定在 2006 年 3 月，代号"滚石行动"。

行动当晚，特勤局冲进肖恩的公寓，什么都没找到。公寓管理员解释说，肖恩自己花钱给租来的公寓铺了 3 万美元的意大利瓷砖，而且昨晚叫了一辆 U-Haul 把东西全搬走了。

特勤局回头找他，要求测谎。他拒绝，对方说那就把你关回去。律师在电话里说，你可以试着通过。三个问题：你有没有跟人联系过？你有没有在办公室之外用过电脑？你有没有联系媒体或者向任何人通风报信？

三个问题他全都栽了，因为他当时正在接受《纽约时报》记者的采访。

保释撤销，回到查尔斯顿县监狱。一周后，法官裁定撤销保释的程序不当，保释恢复。没有人通知特勤局。他自己走出了监狱大门。

## 四个月，60 万美元，和一张迪士尼年票

他先给一个他给过 6 万美元的脱衣舞女打电话，借 1,000 美元，许诺两周还 3,000。约在奥古斯塔市见面，拿到钱，上了 I-20 公路往西开，没有目的地。

在达拉斯，他找到一家预付借记卡供应商，靠社会工程说服对方在没有驾照、没有付款的情况下给了他 60 张卡。用这些卡套出大约 16 万美元利润，买了一辆吉普切诺基。计划是攒够钱逃到巴西的弗洛里亚诺波利斯，在那边重新开张。

四个月里他偷了 60 万美元。落到拉斯维加斯那天，前一晚刚从 ATM 取出 16 万。

然后就是开头那一幕：在 cartersmarket.com 上看见自己的真名，旁边写着美国头号通缉。

他去了迪士尼。在环球影城大道旁边买下分时度假屋，又花 3 万美元买家具，还把自己被查封的价值 3 万美元的 DVD 收藏买了回来。六周里每天去迪士尼。

抓住他靠的是传统刑侦加一个"触发鱼"（triggerfish），现在叫"黄貂鱼"（stingray），一种伪基站定位设备。2006 年 9 月 16 日早上十点半，星期六，他听见敲门声，从猫眼往外看，没人。开门出去，走廊尽头是博比·柯比，一个南卡的人，还有一名橘郡警察。

他们转过身，说，嘿，布雷特。他说，嘿，博比，你好吗。对方说，挺好，你呢。他说，我挺好，要进来坐坐吗。对方说，先把铐子戴上吧。

柯比进屋问，这里有什么东西吗。他说，卧室里有 12 万美元。柯比说，真的？他说，对，还有一把 AK47。柯比脸都白了，问，你有步枪？他说，开玩笑的。

然后是"柴油疗法"（diesel therapy）。从奥兰多橘郡转到南卡哥伦比亚，路上途经每一个县监狱，每站都走一遍六小时的收押流程，刚躺到铺位上就有人来说，该走了。这是故意设计的，为的是从身心两头把人磨碎。

## 他用一个假药瘾，换来了更短的刑期

在橘郡的联邦羁押区，一个叫 Yeti 的狱友告诉他，联邦监狱唯一能减刑的办法是参加戒毒项目。他说自己不用毒品。对方说，你不会给自己找一个毒品问题吗。

于是他在路上每一站都告诉狱警，自己有酒精和可卡因依赖。他说这段时自己也笑，说这套是电影《不羁夜》（Boogie Nights）里学的。到了哥伦比亚，他有一整条请求帮助的记录。心理医生来做四小时面谈，问到用什么药、怎么用、用多少。他说每天八分之一盎司的可卡因，鼻吸。医生问，有没有什么不良反应。他说，硬不起来。

> 那句话写进了我的量刑前报告。所有联邦犯人都会有一份这样的报告，缓刑官和检察官做详细背景调查，告诉法官该判多少年。（布雷特·约翰逊）

开庭那天，检察官站起来大吼，说约翰逊操纵了特勤局，操纵了检察官，然后指着法官说，他今天正在操纵您。我们要求按量刑指南上限判。

他在监狱里跟所有人说过，超过 60 个月我就不待了。

法官说，75 个月。

他问律师能不能争取到戒毒项目，法官说不行，但可以建议他去评估。他转头问律师，最快什么时候能到营地（camp，指低戒备监狱）。律师说，如果你不上诉，我能很快把你送去。他说，上诉个屁，送我去营地，剩下的事我自己来。

他托家人专门去找没有围栏的营地，最后选定了肯塔基州的阿什兰。六周后到了那里，一道 14 英尺的围栏，顶上拉着刀片刺网。他不爬围栏，于是走进去。

进去第一件事是问，有没有围墙外面的工作。狱警说，你可以去国家森林干活。他说不去，我会死在外面。狱警说，那你可以做园林绿化。他说，我会用打草机。

两天后他走进绿化办公室，桌子后面的墙上挂着一张巨大的航拍图，整个监区和周边地区标得清清楚楚。他可以坐在那儿规划逃跑路线。

他的父亲在那段时间出现了。这个他多年没说过话的人，在他被判刑那天站起来跟法官说，希望布雷特出狱后能跟他一起住，重新开始。布雷特当时觉得那是废话。父亲开始来探视，第三次探视时说，我在网上读了关于你的事，你弄了那么多钱，你能不能教别人怎么做。

布雷特后来说，他一直以为父亲是想利用他。真实情况也许是，父亲只认得那个跟母亲一起犯罪的他，那是父子之间唯一能说上话的地带。

他答应了，条件是父亲把仅有的 4,000 美元现金给他，再送一套换洗衣服、一部手机、一张驾照。父亲能拿出的唯一一张驾照，是布雷特自己的。

到营地六到八周，他成了绿化队最卖力的犯人，有一次狱警把他在山坡上安排去扫地，他就扫山。六周之后他跑了。三个星期后在列克星敦被抓，距离营地约 250 英里。他把头发染成火红色，晒得很黑，完全不像自己，但不得不用真驾照，因为那是他唯一有的。美国法警挨家挨户问遍了那一带的旅馆。一个法警从窗外走过，停下来，退回去，往窗里看，敲玻璃，指着他，又指指门。

## 八个月单独监禁，一本钦定版圣经

逃狱的量刑出奇地轻。检察官要求法官考虑他逃跑时随身带着笔记本电脑和身份盗用材料。法官说，你要起诉就该起诉，我只审逃狱这一项。

然后法官翻着那份量刑前报告说，看起来你现在保持沉默，为你自己省掉了一项很严重的指控。

他说，是的，法官大人。

法官又说，报告里还显示，在你沾上那些毒品之前，你曾经是个相当不错的公民。

他说，是的，法官大人。

法官判了 15 个月，加上强制戒毒项目。戒毒项目能减一年刑期，还能进半年过渡教习所。算下来，因为逃狱，他比原本该出狱的时间早了三个月。

代价是八个月的单独监禁。6 乘 9 英尺的房间，一张垫子，一个马桶。头一个月没有书，没有纸，没有笔。之后给了一本钦定版圣经。再之后才有别的书进来。

他一天睡 16 到 18 个小时。法律规定每天放风一小时，实际上一周能有一小时就算走运。一周洗两次澡，一个月打一次电话。头一周最难，人在里面会撞墙，因为睡不着，没事可做。之后会适应。

> 你会把一切都过一遍。所有人，所有事。伊丽莎白，我母亲，全部。（布雷特·约翰逊）

之后他被转到德州大泉（Big Spring），西德州，电影《杀出个黎明》开场那地方。热到电台会发警告，让你别开车上某些街道，因为路面化了。

他在那里学到，真正的监狱不是狱警管的，是犯人管的。大泉是空军基地改建的惩戒性监狱。他走进监区，在门口等他的叫尼克·桑德弗（Nick Sandifer），雅利安兄弟会的司库。第一个问题是：还有白人进来吗。他说，我不知道，四五个吧。第二个问题是：你犯了什么事。

他说，计算机犯罪。还笑了笑。

在监狱的语境里，"计算机犯罪"通常意味着儿童色情。真的黑客、盗刷的，会直接说自己是什么。他花了很久解释，对方一群人围着他，说你故事讲得不错。

更麻烦的是《连线》杂志。他在里面接受凯文·波尔森（Kevin Poulsen）采访，写了一篇关于麦克斯·巴特勒的报道。杂志上了封面，整篇故事在监区里传开。文章里写他是"特勤局线人"。

在监狱里，告密者和恋童癖是一个等级。

狱长把他叫进办公室，问，你是不是接受了《连线》采访。他说是。狱长问，你知不知道他们会杀了你。狱长又说，你是不是觉得不安全，你要说不安全，我就把你转走。转走意味着又是八个月单独监禁。他说，我很安全。

第二天他走进监区，尼克躺在床上，杂志摊开在看。他走过去说，尼克，你在看什么。对方说，随便看看。他说，我帮你省点事，翻到那一页，你要找的在那儿。

尼克说，我早就知道了。布雷特问，我们有麻烦吗。尼克问，这监狱里有你告过的人吗。他说没有。尼克说，那在有人进来之前，你这事不算告密。不过我需要你帮个忙。

于是他有了两份工作。第一份是每周三晚上六点到八点半教文学课，全监区各个族裔的人都来报名，偶尔有狱警进来看看。他们不教文学，他们教欺诈。这就是他没被打断腿的原因。

第二份工作，是替白人囚犯群体去跟新来的白人搭话。他能在犯人下车的瞬间分辨出谁是抢银行的，谁是因性侵进来的。他的任务是告诉那些人：我不在乎你因为什么进来，但如果你身上是那种指控，你现在告诉我，一切都没事。你不说，你去跟那边那几个人混，他们一旦知道了，会杀了你。

监狱有一套很像黑帮的规则。性侵、伤害儿童、伤害女性，是压在最低层的。这些人不许跟任何人说话，不许看电视，只能去图书馆，只能跟同类来往。有人要敲诈他们，他们必须接受，不许告发，否则死。所有人都很快学会这套。

他在里面看过两次杀人，经历三次监狱暴动，四年多里见过四起自杀。

杀人那两次都发生在傍晚。所有人绕着四分之一英里的跑道逆时针走，跑道内侧有两个手球场。你会看到人群像鸟群一样忽然朝门口涌过去。抬头看远处，一个犯人把另一个按在地上，把对方的头往水泥地上砸。狱警不会上去拦，因为狱警可能会受伤。狱警要 15 分钟才出来，等他们出来，事情已经结束，那个人的头已经不成形了。

然后全监区封锁，所有犯人排成两队，一个个进屋，门在身后关上，狱警问两个问题：你看见什么了吗。没有。如果你看见了，你会说吗。不会。然后让你滚出去。在里面多待一会儿的人，自动成为嫌疑人。

## 出狱后他偷过厕纸

2011 年出狱，三年缓刑，不许碰电脑。他有过一个去英国替德勤开网络犯罪办公室的 offer，不行。一家做钓鱼防护的公司请他，不行。快餐店的岗位要碰电脑，不行。餐厅服务员的岗位要接触信用卡，更不行。

他说自己literally找不到任何工作，领食品券，室友付一半房租。他养了一只猫叫 Monster，能买得起猫粮，买不起厕纸。他在巴拿马城海滩偷厕纸。

一个朋友把他的资料挂到了婚恋网站 Plenty of Fish 上。一个叫米歇尔（Michelle）的女人回复了。他上传的是监狱里拍的照片，表情严肃。米歇尔的第一句话是：你为什么不笑。他回：这就是我的笑脸。

他们开始约会。他快要付不起房租的时候，搬去跟她住了。她在 Craigslist 上看到一则园林绿化的招工广告，他打了电话，老板叫达斯汀·德·拉穆斯（Dustin DeRamus），兄弟俩在自己家里做这门生意。聊了 20 分钟，达斯汀问，我能问你个问题吗，你是不是在逃。他说不是，为什么这么问。达斯汀说，你看起来不像干这行的人。

他把自己是谁、做过什么都说了。达斯汀说，我得想想。那天是周五。周日晚上达斯汀打来电话，问，如果我雇你，你真的会干活吗。他说，你给我工作，我保证拼命干。达斯汀说，六点来。

他的工作是每天推十小时割草机，一周五天，一周 400 美元。他干到晚上进门就倒，第二天起床再干。后来达斯汀的兄弟退出，达斯汀想让他入伙对半分。他说不行，因为他找到了另一份工作，给油田培训做销售，一周 1,500 美元。他按缓刑规定提前告知了对方自己的犯罪史，对方说不能雇他。达斯汀那边已经招了新人，回不去了。

他又成了那个必须证明自己有用的人。米歇尔一个人上班，他想，至少我能往家里弄点吃的。他登上暗网，拿盗来的信用卡订食品。后来想，孩子还需要衣服，于是开始偷衣服。

他因为一单食品被捕。米歇尔不知道他在干这些。她接到电话赶到警察局。

量刑那天，米歇尔站起来告诉法官，他对她两个儿子，比他们的亲生父亲做得好。他在哭。缓刑官站起来说，我们认为约翰逊先生是个好人，这次是一次性的。检察官说了同样的话。法官判了一年。缓刑官又站起来说，法官阁下，如果您判他一年零一天，他就能拿到表现良好的减刑，能早点回家。

法官改判一年零一天，他实际坐了 10 个月。

> 那是我发现米歇尔不需要我能给她什么的时候。她从始至终要的就是我这个人。她一直站在我这边。（布雷特·约翰逊）

出狱后他们结婚，缓刑结束，他可以碰电脑了。他翻开 LinkedIn，给一个叫基思·穆拉尔斯基（Keith Mularski）的 FBI 探员发了私信。这个人在匹兹堡分局，参与过对他的抓捕。私信的内容大意是：我尊重你做的一切，你干得很出色，顺便说一句，我想做合法的事。

两个小时后对方回复了，给他提供人脉、建议，把他带到自己的羽翼之下。之后身份盗用委员会的主席做了同样的事，CNP 组织请他演讲，微软请他做顾问。微软这一单，让整个行业对他建立了足够的信任。

## 社会工程师是怎么长出来的

访谈里最值得反复读的一段，是他解释这门手艺的起源。

他说自己在童年就成了社会工程师。因为身边的大人不可预测，他必须随时判断对方在想什么，并且试着操控这个判断，这是生存技能。他见过的顶尖网络罪犯，很多都有同样的经历：先在童年学会这套工具，长大之后拿它去害人。

这套能力要求极高的共情。你必须准确地把自己的想法放进对方的处境里，才能预判他会怎么反应。但实施犯罪要求你完全不在意对方的痛苦。

他不同意这等于反社会人格。他的解释是，绝大多数网络罪犯会给自己的行为找理由，并且真心相信那些理由。他的理由是"为了家人"，为了妻子，为了那个脱衣舞女女朋友。理由让人可以继续做下去。

> 社会工程很多时候不是编一个新故事，是喂给对方他想相信的东西。你要在几秒钟内判断出这个人的驱动力是什么。（布雷特·约翰逊）

他讲了两段具体案例。

第一段是钓鱼。他们是做钓鱼最早的一批人，当时没人见过这种攻击，所以一封邮件就能骗到完整的身份档案。他们钓到了大约 20 万个 eTrade 账户，登录名、密码、社保号、出生日期、母亲娘家姓，全套。eTrade 当时没有防护，可以随意提现，ACH 转账直接走。他们靠这个活了四到六个月。后来 eTrade 全面封锁提现，但账户还在手上。

怎么变现？找一个把退休金全押在蓝筹股上的富人，同时找一只垃圾股，开一个新账户买入那只垃圾股，把富人的账户清空，也买入同一只垃圾股。拉高出货。为了几千美元，毁掉一个人的退休账户。eTrade 的态度是：不是我们的问题，是他自己把密码交出去的。

他说这个逻辑今天还在，Zelle 诈骗就是同一个结构，金融机构永远在说自己的系统是安全的，是用户犯错。

第二段是商业邮件诈骗（BEC）。攻击者先确定目标公司里的薪酬专员和 CEO，做一次鱼叉式钓鱼，只为拿到 CEO 的邮箱权限。然后进去读邮件，专门读发给薪酬部门的那些，看这两人之间的关系是什么样的，聊不聊孩子，聊不聊休假，语气是亲近还是公事公办。

摸清之后，对薪酬专员也做一次鱼叉钓鱼。同时注册一个 Unicode 域名，把公司名里的英文字母 I 换成西里尔字母里那个看起来一样、顶上没有点的字母。进入薪酬专员的邮箱，屏蔽掉真 CEO 的地址，替换成那个假域名，用完全正确的语气、完全正确的关系，发一封信：我们在更新收款账户，这笔款请改打到新账户，以后所有付款都走这里。

组织越大越容易中招，因为责任被分散，每个人都默认这件事有别人在把关。

## 防守方一直在做错的事

他给出的第一个事实是那个 90%。所有攻击里九成用的是已知漏洞。零日攻击存在，但一个等着靠零日赚钱的罪犯会饿死。

第二个事实是企业不共享信息。犯罪团伙之间信息自由流动，公司之间因为隐私顾虑、竞争顾虑互相封锁。他把这看成结构性劣势。

第三个事实是大量案件不报案。他接触过财富 50 强公司，抓到内鬼之后不追诉，让对方签保密协议，赔一笔钱，事情到此为止。

他不认为这是灰色地带。不追诉就意味下一次还会发生，意味整个行业的风险收益比没有变化。

第四个事实更刺人。市面上有 7,500 家安全公司，其中相当一部分在卖安慰剂。他举的例子是 RFID 防盗钱包。他说自己没见过多少真正在犯罪侧做 RFID 盗刷的人。这类产品提供的是一种心理上的安全感，而不是实际的防护。

他认同的思路叫"抬高犯罪成本"。目标不是把攻击面全部堵死，那不可能，攻击面太大。目标是让打你的代价高到不值得，让罪犯转头去挑下一个目标。

具体到落地，他说的都是最土的东西：打补丁，更新系统，修已知漏洞。这些挡不住 SolarWinds，挡不住 NotPetya，但 SolarWinds 是特例，绝大多数案件的入口是那九成里没修的洞。

关于 SolarWinds 他讲得很清楚。这家公司提供的软件是大量企业安全体系的地基，很多安全公司自己都在用，因为它能给出整个系统的快照。俄罗斯的一个小组攻进去之后，等于同时获得了所有客户的全景：所有 IP、所有邮件、所有通信、所有秘密。如果客户用了微软的产品，攻击者连源码都能看。

他判断这是不可恢复级别的攻击。真正的后果不是当下的新闻热度，是那些人现在手里握着源码，可以一行一行地读，去找新的零日。原本零日很稀少，这一下打开了一个全新的攻击面。

他也谈了对追责的看法。有一份 130 页的集体诉讼在整理 SolarWinds 多年来如何隐瞒漏洞、如何对提醒他们的人说"滚开"。他的判断是：犯罪的唯一责任人是犯罪的人，SolarWinds 有它该负的账，但"犯蠢不是犯罪"。

国家层面，他提到四个主要玩家：伊朗、朝鲜、中国、俄罗斯。俄罗斯的模式是跟本地说俄语的黑客合作，需要情报就拿走情报，剩下的让这些人自己卖钱。朝鲜纯粹是为了弄钱，因为实在没有别的办法，偷了大量的比特币，技术水平很高。中国主要盯着知识产权。

## 他为什么现在不担心自己的安全，而家人担心

访谈里有一段直接问到这个问题。他间接和直接接触过的危险人物数量很大，今天网络犯罪的生态里已经嵌着黑帮和卡特尔。毒品天然和暗网市场缠绕在一起，因为利润太高，暴力随之而来。二十世纪的卡特尔把他们的手段带进了二十一世纪的技术里。

他说家里人担心，他自己反而可能陷得太深，感知不到那种危险。

他的立场是：他靠不怕点名活下来的。不怕点公司的名，不怕点个人的名，不怕直接针对犯罪团伙。这是他在这行建立信任的方式。

关于身份验证公司 ID.me，他讲得最激动。那是他在 LinkedIn 上开火的一件事，他自己说，部分导致对方丢了一份 8,600 万美元的政府合同，对象是美国国税局。

他的说法是，ID.me 本质上是一家营销公司，对外包装成身份验证公司。它被国税局、社保局、退伍军人事务部、二十几个州的失业救济系统使用。问题不在于一家私营公司有什么政策，问题在于一个公民本来就有权获得某项政府服务，政府却强制他把完整的身份档案交给一家私营公司，而这家公司拿这份档案去做营销、去变现。

> 我不在乎你是一家私营公司，你想怎么做是你的自由。我不接受的是，公民为了拿到本来就属于他的服务，被迫交出这些东西。（布雷特·约翰逊）

他还拆了那套"我们剥离了个人身份信息"的说辞。他说，剥离了 PII，你依然能用生物特征、浏览过的站点，把那一个人从所有人里单独拎出来。那还是身份。

他自己也承认这话说起来荒诞：布雷特·约翰逊成了隐私倡导者。

## 他对年轻人的那句话

访谈最后问，如果面对一个高中或大学的年轻人，他想说什么。

他说，你想过的一生，应该是帮人的一生，不是伤人的一生。这个感受他最强烈的一次，是第一次走进匡蒂科（Quantico）。他看到美国最聪明的一批人，放弃了在市场上能赚到的钱，因为他们相信自己在帮人。而他自己把整个职业生涯用在伤害别人上。

他说想赚钱没问题，想测试系统没问题，想绕开一些规则也没问题，只要不违法。他自己就喜欢干这些。但如果你能守住那条线，帮人，不伤人，最后你大概不会走错。

关于希望，他给了一个具体的观察。真正糟糕的时候，人会聚起来。出现不公的时候，人会站起来。他每天看福克斯和 CNN，就是为了让自己对所有人都生气，他很清楚这些媒体的机制是喂养愤怒。

伊丽莎白教过他一件事。认识她之前他是新闻瘾君子，家里永远开着几个新闻频道。她完全不看新闻。他当时不理解，现在理解了。

关于人生的意义，他的回答和他讲的防守逻辑是同一个东西。所有人都只盯着自己，而安全问题唯一解法是每个人都替别人看一眼。

## 一个人可以同时是这两件事

访谈里有一句他被反复追问的话，是那个被他在 eBay 上骗走银币收藏的女人。

她一辈子收集银币，八九十磅。她在商品页面上写着自己是单亲妈妈，那是她能给房子换屋顶的唯一一笔钱，房子要给她和孩子们遮风挡雨。

那时候 Shadow Crew 已经上了《福布斯》封面，已经被特勤局端掉，他已经是公开报道里跑掉的那个人。他缺钱，需要跑到海外，于是开始用假银行本票做货到付款，骗人把东西寄过来，用他的 UPS 账号，说本票等同于现金。

他讲这一段时说的是：我不在乎。我在乎的是我自己。

> 这话很难说出口。你根本不在乎你对别人做了什么，你只在乎你自己。但这就是当时的真相。（布雷特·约翰逊）

还有一个只有 900 美元的案子。他刚开始做网络犯罪，技术正在成型，骗了一个人 900 美元。那个人回了一封邮件，大意是：我猜你需要这笔钱，没关系，你留着吧。

他说到这里时说自己起了鸡皮疙瘩。

访谈里他反复划的那条线是这样的：童年的事不是他能选的，成年之后的选择是他的。他花了两年半才承认，他犯罪不是因为脱衣舞女女朋友，不是因为妻子，不是因为家庭，是因为他想做，他选择了做。

他母亲至今仍然不承认自己做过什么。他给母亲的最后通牒是：等你能承认你虐待过身边的人，承担这个责任，能跟我谈这件事，我们再说话。第一年她打电话来骂他和他妻子，之后慢慢安静了，两年多没联系。

他说他爱他母亲，但他母亲不是好人。这句话是他父亲在电话里跟他说的，他父亲说，自己花了好几年才明白这一点。

他父亲现在心脏有病，不打算做手术，说了一句"我准备好了"。他 52 岁，以前会劝，这次他说，我理解。

他妹妹丹妮丝小时候以为会有人来救他们。他说，他当时的回答没有经过思考：丹妮丝，我知道不会有人来。

两个人的路就是从那儿分开的。丹妮丝酗酒，尝试过自杀，最后逃出去了，当了老师，是个好母亲，一个愤怒的好母亲。他留在原地，一直做下去。他妻子后来跟他说，他是在替妹妹挡下那些事，他去参与那些犯罪，这样丹妮丝就不用参与。

还有那个女孩伊丽莎白。她说，如果她不嫁给布雷特，她这辈子就不会结婚。据他所知，她至今未婚。

她现在偶尔还会跟他说，她曾经告诉一个朋友，布雷特是唯一一个要求她戒毒的男人。

她戒了。那天早上他把她从俱乐部接回来，前一晚他写了一封信放在枕头上。信里的意思很简单：我爱你，如果你停不下来这件事，我回来的时候你不要在这里。他去了哥伦比亚市，晚上回来，她辞了工作。那天晚上她把毒品也停了。

然后他为了留住她开始烧钱，每晚 300 到 600 美元的晚餐，每周 1,000 美元的鞋，每周 2,000 美元的包。他大部分的钱已经洗到爱沙尼亚去了。

## 给今天读者的几件具体的事

- 把打补丁当成每周的固定动作。九成攻击用的是已知漏洞，这不是防御的上限，是防御的底线，很多公司连这条线都没守。
- 接到任何要求变更收款账户、核对密码、更新资料的电话或邮件，挂掉，用你自己从官网或卡背面找到的号码回拨。这个动作能挡掉绝大多数社会工程攻击。
- 给支付和转账设置延迟。任何"立刻、马上、不然就出事"的指令，都是被设计出来的紧迫感，主动拖二十四小时是最有效的解药。
- 如果你是公司里负责付款的人，把大额变更账户的流程写成必须双人复核，且复核人不能是发起人。攻击者最喜欢的是一个人能拍板的流程。
- 如果你的企业被入侵，走法律程序，不要签保密协议私了。不追诉意味着风险收益比没有变化，下一批人会继续来。
- 对被骗的人少一点责怪。受害者不报案的一大原因是羞耻，媒体和家人都在问"你为什么会点那个链接"。这句话会让下一个人选择沉默。
- 认真读一遍你在用的政府服务、求职平台、身份验证平台让你签的授权条款，尤其是它能不能把你的身份资料用于营销。你不一定有权拒绝，但你至少应该知道。
- 如果你身边有人沉迷于某种东西，无论那是毒品、赌博、犯罪还是别的，先接受一个事实：在他的排序里，那件事永远排在你前面。你要做的是判断什么时候离开，以及离开之后是否还愿意在对方真正决定改变时回来。
- 如果你自己正卡在某条回不了头的路上，找一个愿意相信你能变好的人。布雷特说他能走到今天，唯一的原因就是有人给了他机会，如果那个 FBI 探员没有在两小时内回复他的私信，他确信自己会在监狱里再待二十年。