国际黑客组织

简介

国际黑客组织并非有固定章程和成员名册的单一实体，而是对动机、背景各异的多类团体的合称。有资料将这类团体描述为由技术熟练人员构成、依托网络漏洞实施攻击的去中心化组织，行动方式包括流量攻击、投放恶意程序和数据窃取。也有定义从词源出发，指出“hacker”原指专注于技术探索的计算机爱好者群体，后来才分化出以攻击为业的分支。

按动机与背景，相关研究通常把这类行为主体分为国家支持型、网络犯罪型、黑客行动主义型和内部威胁4类。与政府有关的团体多被归入高级持续性威胁组织，2025年被重点跟踪的包括Salt Typhoon、Flax Typhoon、Mustang Panda、APT17、APT28、APT29、Sandworm、Lazarus Group、Kimsuky和APT42。这类团体往往针对特定行业长期渗透，与追求即时收益的普通犯罪团伙在目标和方法上存在差异。

国际黑客组织被视为网络安全领域的主要威胁之一，原因在于其攻击对象覆盖政府、企业、金融以及能源、通信等领域。2025年披露的“Kimwolf”僵尸网络感染了全球超过180万台安卓设备。

沿革

黑客团体的早期形态与20世纪末的计算机爱好者社群有关，当时“hacker”一词主要指热衷技术探索的人群。2003年，美国贴图讨论版4chan上一批以“匿名者”为默认标识的未注册用户开始自发聚合，逐步形成后来闻名全球的匿名者团体。该团体不设领袖，也不登记成员，任何人都可以借其名义发起行动。

2008年，该团体因反对山达基教而受到关注，其成员攻击教会网站并在多个城市组织街头集会，参与者开始佩戴电影《V字仇杀队》中的盖伊·福克斯面具。2010年12月，为声援维基解密及其创始人阿桑奇，其成员攻击了万事达、Visa和PayPal等平台，造成部分支付服务短时中断。2011年前后，该团体又参与北非地区的社会运动，与维基解密等群体产生交集。

国家支持型团体在同期逐步被公开命名。2013年，安全公司Mandiant把代号APT1的团体认定为中国人民解放军61398部队。2014年，索尼影视娱乐公司遭到入侵，自称“和平卫士”的团体泄露了大量内部文件，后续研究认为该行动与朝鲜方面相关。2015年11月巴黎发生恐怖袭击后，“匿名者”宣布对“伊斯兰国”相关的网站和社交账号发动攻击。

2016年美国总统选举期间，以Guccifer 2.0和DCLeaks名义出现的身份公开了民主党方面的邮件，后被美方认定与俄罗斯军事情报机构有关。2017年，Shadow Brokers泄露的漏洞利用工具被用于WannaCry和NotPetya等大规模攻击。2020年，在乔治·弗洛伊德事件引发的抗议中，“匿名者”再次活跃，明尼阿波利斯警察局等机构网站遭到攻击。

2025年的公开报告显示，这类团体的活动范围继续扩大，与朝鲜相关的Lazarus在31个国家留有活动痕迹，被重点跟踪的同类团体名单也在持续增加。

特点

与国际上其他类型的行为体相比，这类团体的动机差别明显。黑客行动主义型团体主要由意识形态或政治诉求驱动，而非以获利为目的；有分析指出，部分此类行动依靠加密货币奖励和与立场绑定的排行机制来维持成员参与度。

组织形态上，以“匿名者”为代表的政治型团体结构松散，没有统一指挥和成员门槛，只要自称认同其理念即可使用这一名号。盖伊·福克斯面具是其最具辨识度的标志，每年11月5日有参与者佩戴面具上街游行。

技术手法上，国家支持型团体的行动隐蔽且持续时间长，常用定制恶意软件、后门程序和横向移动等手段渗透目标网络，与追求短期效果的攻击者形成对比。网络犯罪型团体则把攻击产业化，出现了“勒索软件即服务”模式，DarkSide是较早提供这类服务的团体之一。

攻击目标方面，政府机构、企业、金融机构以及能源和通信等领域的关键系统都是常见对象。一部分团体的目的不在于直接破坏系统，而是通过公开令对方难堪来施加心理压力。

不同类别之间的界限并不固定。有研究指出，俄乌冲突以来一些自称自发的黑客行动主义团体，其行动被认为与相关国家的行动存在协调关系；也有观察认为，黑客行动主义与国家代理行动之间的界线已经变得模糊。

参见

• 匿名者 —— 起源自4chan、被多份资料称为全球最大黑客组织的政治型团体。

• Lazarus Group —— 与朝鲜相关的国家支持型团体，主要攻击金融机构和加密货币交易平台。

• 高级持续性威胁 —— 国家支持型团体常用的行动模式，以长期隐蔽渗透为主要特征。

• 勒索软件即服务 —— 网络犯罪型团体采用的商业模式，将勒索工具作为服务出售。

• 分布式拒绝服务攻击 —— 黑客团体常见的攻击手段之一，通过流量淹没使目标服务无法访问。