印度黑客

简介

印度的网络入侵者并非单一群体。一类是受雇于私人或政府客户、以入侵邮箱和受保护网络为日常工作的从业者，法国媒体把这类人描述为按固定上下班时间作业的办公室攻击者^[1]；印度媒体则把以营利为目的实施入侵、并向出价者出售技能的人称为雇佣黑客或雇佣型破解者^[2]。

另一类是被安全厂商归入 高级持续性威胁 的组织。被怀疑与印度有关的 Bitter（又称 APT-Q-37）以部署定制后门和长期间谍活动著称^[3]；CrowdStrike 记录的 HAZY TIGER 自 2015 年起持续活动，向 Windows 与 Android 平台投放恶意软件，目标集中在南亚和东亚的情报收集^[4]；Moonlight Tiger 的活动重点则被分析与印度在应对中国、巴基斯坦以及跟踪南亚防务与政策方面的关切相符^[5]。

BellTroX InfoTech Services 与 Dark Basin 是印度商业入侵服务中最受关注的案例。2020 年公布的一项调查认为，Dark Basin 是受客户雇佣、针对诉讼、商业交易和公共议题中的对手实施商业间谍活动的行动，并将其与这家位于新德里的公司以较高置信度联系起来^[6][7]。研究者认为，此类活动的存在说明黑客雇佣已形成规模可观且仍在扩张的行业^[8]。

沿革

2001 年 1 月，有报道称印度打算让青少年黑客参与网络警务工作^[9]。2003 年，Vineet Kumar 与 Rakesh Sharma 发起成立面向白帽的社群 国家反黑客组织，2004 年后在安全顾问 Anup Girdhar 的指导下扩大，成员一度超过 2500 人，并与印度计算机应急响应小组 CERT-In 保持联系^[10]。2007 年，印度警察研究与发展局的一份文件把口令套取、蠕虫、电子邮件滥用和网络骚扰等列为需要应对的网络违法行为^[11]。

至少从 2012 年起，行为者 ModifiedElephant 持续在印度境内针对人权活动人士活动，主要依靠带社工诱饵的定向钓鱼邮件，部分案例中还被指试图在受害者系统中留下可归罪的数字痕迹^[12]。谷歌的威胁分析团队自 2012 年起把黑客雇佣作为独立的威胁类别加以跟踪^[13]。Dark Basin 最早被记录于 2013 年^[14]；同年 BellTroX 承接的一起美国企业与其竞争对手之间的诉讼相关委托，被视为这类服务进入商业纠纷的早期例子^[13]。2015 年，BellTroX 负责人 Sumit Gupta 因参与一项黑客雇佣计划在美国加利福尼亚州被起诉^[6]。

2017 年，一名做空研究者在遭到跟踪和钓鱼邮件骚扰后，把收到的邮件交给 Citizen Lab，该机构由此展开多年调查，并在对方使用的网址缩短服务中枚举出约 2.8 万个含目标邮箱地址的链接^[8][15]。2020 年 6 月，Citizen Lab 发布报告，把 Dark Basin 与 BellTroX 相联系的依据包括钓鱼邮件的时间戳符合印度时区（UTC+5:30）、缩短服务以 Holi、Rongali 等印度文化词汇命名，以及操作者把钓鱼套件源码和日志公开留在网上^[6][7]。2021 年，Meta 将包括 BellTroX 在内的 7 家被其归为监视雇佣的企业从旗下平台移除^[13]。2022 年，路透社与 Mandiant、谷歌和领英的研究人员分析了 7 年间约 8 万封钓鱼邮件，认为相关活动牵涉 BellTroX、Appin 和 CyberRoot 3 家相互关联的印度公司^[13]。

特点

与主要靠勒索软件牟利的地下犯罪团伙不同，印度的雇佣黑客更偏向按客户订单行事，把入侵能力和情报收集当作服务出售^[13]。研究者指出，被攻击的往往是高关注度事件、刑事案件、金融交易、新闻报道或倡导议题中处于对立一方的对象^[8]。由于从业者多以公司名义运作、按正常工作时间活动，其行为在外观上与普通办公业务相似^[1]。

这类行动的目标选择范围很广，Dark Basin 被点名的对象包括多国政界人士与政府检察官、企业高管、记者、人权维护者，以及参与气候议题倡导的环保组织^[14]。手法上以 网络钓鱼 为主，常见方式是伪造 Gmail、Facebook、Yahoo 等常用网络服务的登录页面以窃取账号口令^[8]。印度与巴基斯坦的黑客之间长期存在昼夜不停的相互攻击，印度媒体按行为倾向把从业者分为黑帽、白帽和灰帽 3 类，分别对应发动攻击、实施防御以及介于两者之间的做法^[16][17]。

被认为与印度有关联的国家支持型组织多围绕地缘政治议题活动，Moonlight Tiger 的重点是对中国、巴基斯坦等区域对手的情报收集以及南亚防务和政策动向^[5]。HAZY TIGER 长期在南亚和东亚开展情报收集^[4]。ModifiedElephant 的目标则落在印度国内，主要针对人权活动人士，把持续监视与在受害者设备中放置不利证据结合起来^[12]。

印度同时拥有规模庞大的白帽群体，有行业媒体称该国 道德黑客 社区约有 20 万人，印度研究者在 HackerOne、Bugcrowd 等国际漏洞赏金平台上的提交量与收益长期靠前，但直到 2021 年印度国内运行漏洞赏金计划的企业仍不足 10 家^[18]。印度政府 NITI Aayog 的前沿科技栏目 2025 年 6 月介绍了 7 名青年网络安全从业者，其中包括发现 iCloud 漏洞并进入 Apple 和 NASA 名人堂的研究者^[19]。在合法边界方面，印度《信息技术法》（2000 年）把未经授权访问计算机系统列为违法行为，第 43 条和第 66 条对入侵、数据窃取设有罚则，因此只有在机构公开授权测试时，外部研究者的漏洞探测才具备合法性^[20]。印度计算机应急响应小组设有名人堂，用于表彰负责任披露漏洞的研究者，2025 年 8 月一名来自喀拉拉邦的开发者因报告一所高校网站的漏洞而入选^[21]。

参见

• BellTroX InfoTech Services —— 被指与 Dark Basin 行动关联的新德里公司，是印度商业黑客服务的代表案例。

• Dark Basin —— 被曝光的大规模黑客雇佣网络钓鱼行动，目标遍及六大洲。

• 高级持续性威胁 —— 被认为与印度有关联的多个网络间谍组织被归入这一类别。

• 道德黑客 —— 印度规模较大的安全研究人员群体，多在国际漏洞赏金平台活动。

• Citizen Lab —— 加拿大研究机构，2020 年公布了对 Dark Basin 的调查。

• CERT-In —— 印度国家计算机应急响应小组，设有表彰漏洞披露者的名人堂。