中國駭客具體的目標：尋找中國異議分子的Gmail帳號

2021/10/07閱讀時間約 6 分鐘

程式碼是科技公司最有價值的資產，就像皇冠上的珠寶。然而與中國簽約的駭客在二○○九年年底開始在矽谷三十四家公司出沒時，卻沒有人想到應該好好保護程式碼。

大多數的外行人認為駭客追求的是短期回報：金錢、信用卡資料或值得拿來行賄的醫療資訊，但是最老練的攻擊者想要的是原始程式碼，也就是工程師創造並珍視的象形文字。原始程式碼是軟體和硬體的原始素材，能指揮你的設備與應用程式應該如何運作、何時開啟、何時休息、讓誰進入、把誰擋在外面。操控原始程式碼是一種持久戰。程式碼可能會遭到盜取和操縱，就宛如白宮橢圓辦公室牆壁上某個無形的洞口，可以讓攻擊者立即或在未來幾年獲得豐碩的成果。

程式碼是科技公司最有價值的資產，就像皇冠上的珠寶。然而與中國簽約的駭客在二○○九年年底開始在矽谷三十四家公司出沒時，卻沒有人想到應該好好保護程式碼。當然，客戶資料和信用卡資料一定得加強保護，可是大多數科技公司儲存原始程式碼的資料庫都門戶洞開。

邁克菲負責調查中國「極光行動」的研究人員後來發現，受害者不只是谷歌。那些中國駭客四處攻擊，對象包括高科技公司、國防承包商等，而且成功地破解了原始程式碼的資料庫，令人深感不安。有了存取資料的權限之後，那些中國駭客就可以偷偷變更進入商業產品軟體的程式碼，並且攻擊使用該軟體的任何一個客戶。

「極光行動」為2009年12月疑似源自中國的一場網路攻擊行動，此事件導致後續Google決定停止於中國的服務。圖為Google官方表示考慮關閉「Google中國」以及中國辦事處後，網友至Google中國辦事處獻花。｜圖源：維基共享

要從程式碼中找出中國植入的軟體後門，無異是在大海中撈針。這意味著要將遭到駭入的軟體拿來與備份版本進行比較，這種過程即使對於全世界最大的搜尋網路公司而言也極為費力，尤其是在處理那些包含數百萬行程式碼的龐大專案時。

谷歌遇上的極光行動攻擊事件帶出了一個基本問題：到底有沒有哪個電腦系統是完全安全的呢？讓人想起二十多年前，戈斯勒在桑迪亞國家實驗室所進行的練習。當時那些美國菁英駭客連在幾千行程式碼中都找不出他的植入裝置──他們只知道這些程式碼被人修改過了。負責執行谷歌各項服務，如谷歌搜尋、Gmail、谷歌地圖等等所需要的軟體，總共大約有二十億行程式碼。相較之下，史上為單一電腦所打造之最複雜軟體工具的微軟視窗作業系統，估計含有五千萬行程式碼。邁克菲始終沒有找到中國攻擊者變更其目標原始程式碼的確鑿證據，且由於許多遭到中國入侵的受害者都否認自己被駭客攻擊，唯一能確定的，就是什麼都不確定。

麥迪安和谷歌的調查人員下定決心一路追蹤中國駭客，直到另一端的盡頭。線索清楚顯示攻擊者有一個非常具體的目標：他們在尋找中國異議分子的 Gmail 帳號。其實中國可以輕輕鬆鬆使用各種可能的密碼去破解那些帳號，但是密碼可以變更，而且駭客可能會在一連串嘗試錯誤後被阻擋在系統之外，因此中國打算尋找更為長久的管道。透過竊取谷歌的原始程式碼，中國駭客就可以在Gmail軟體植入軟體後門，進而長期從他們選中的任何Gmail帳戶存取資料。

麥迪安和谷歌的調查人員一路追蹤中國駭客。線索清楚顯示攻擊者有一個非常具體的目標：他們在尋找中國異議分子的Gmail帳號｜圖源：法新社

而且那些中國駭客在尋找一般的目標：「五毒」，也就是民主運動人士、藏人、維吾爾族的穆斯林、支持獨立的台灣人以及參與法輪功者。這些都是對中國共產黨最具威脅的團體。中國將他們最好的零時差利用程式和最頂尖的駭客都用來對付自己人。

回想起來，谷歌早就已經預料到會有這種結果。三年前，谷歌以宛如救世主之姿進入中國市場，當時布林與共同創辦人賴利．佩吉（Larry Page）告訴員工，提供給中國市場經過審查的搜尋結果，勝過什麼都不給他們。谷歌依然可以給予中國公民關於愛滋病、環境問題、禽流感和世界市場等方面的教育機會。布林和佩吉辯稱，如果不順從中國的審查規定，會讓十億人什麼都無法知悉。

Google 創辦人賴利．佩吉（Larry Page）與布林（Sergey Brin）｜圖源：路透社

這種將自身行為合理化的態度在矽谷很常見。科技公司的領袖和創辦人開始認為自己是神，而且就算不是神，起碼也是先知，因為他們讓大眾享有言論自由，並提供大家表達自我的工具，進而改變世界。許多科技公司的執行長開始認為自己是賈伯斯理所當然的接班人，而賈伯斯的狂妄自大也因為其卓越貢獻而被人原諒。然而賈伯斯是獨一無二的，當其他科技公司執行長仿效他時，經常訴諸相同的啟蒙語言，來證明自己不斷擴張至全球增長最快速的網際網路市場是正當行為，儘管方法專制獨裁。

差不多就在谷歌於二○○六年進入中國市場之後，布林發現這種妥協其實難以忍受。中國官員要求谷歌淨化任何提及法輪功、達賴喇嘛和一九八九年天安門廣場血腥屠殺事件的搜尋結果，這些要求尚在谷歌的預期範圍內。可是不久之後，需要淨化的清單進一步涵蓋任何冒犯中國共產黨與「社會主義價值觀」的一切，例如時間旅行、輪迴轉世，後來甚至連「小熊維尼」也被列入黑名單。當山景城沒有以夠快的速度阻擋觸怒中國的內容時，中國官員就指控谷歌為「非法網站」。

華盛頓對於谷歌進入中國市場這件事也不甚滿意。布林和佩吉被比喻為與納粹合作的人，眾議院國際關係委員會（the House International Relations Committee）則將谷歌稱為「中國政府的公務員」，並表示其行為「令人憎惡」。

「谷歌已嚴重違反其『不作惡』政策。」一位共和黨國會議員說：「事實上，它已經成了邪惡的共犯。」

谷歌的一些高層主管也開始有同樣的感覺。但是他們知道，如果不完全遵守中國政府的規定，就會身陷危險。他們每個人都聽說過，中國的特務人員常會突然搜查私人企業，並且威脅當地的高階主管立刻阻擋「有問題」的搜尋結果，如果不依照辦理就等著吃牢飯。

在審查制度上妥協是一回事，在無意中成為中國政府監視的幫凶又是另一回事。當谷歌進入中國市場時，布林和佩吉故意不提供電子郵件或部落格平台服務給中國用戶，因為他們擔心自己將會被迫把用戶的個人資料交付給祕密警察。兩年前，一位中國記者將中國控制新聞的細節洩漏給紐約一個由流亡中國人經營的民主主義網站，後來雅虎將他的個人資料交給中國政府。結果那位雅虎的前用戶被判處十年監禁，現在正在坐牢。