📖 ZKIZ Archives

揪出洩密員工 童子賢清門戶固單

CPI洩密者獲刑

http://magazine.caixin.cn/2011-10-28/100318472_all.html

央行研究部門有個傳統，每個季度末都會召開價格監測分析行外專家諮詢會，會議邀請發改 委、統計局、商務部、銀監會等部門人員參加，提供相關宏觀經濟數據，進行研究討論，這些屬於保密數據，在正式發佈前兩三天供此次會議研討。但讓管理層惱火 的是，相關數據往往隨後即見諸媒體。

　　10月24日上午，最高檢和國家保密局聯合召開新聞發佈會，通報了原國家統計局幹部孫振、中國人民銀行幹部伍超明洩露涉密經濟數據案件的查辦情況。通報稱，兩人因涉嫌洩密或違背保密法規定，分別被判刑五年和六年。另外四名犯罪嫌疑人均為證券行業從業人員。

　　知情人士稱，伍超明原為中國人民銀行金融研究所貨幣金融史研究室副主任，利用參加前述會議的機會，獲知數據並洩密。

　　孫振則在擔任國家統計局辦公室秘書室副主任及局領導秘書期間，於2009年6月至2011年1月，違反保密法規定，先後多次將國家統計局尚未對 外公佈的涉密統計數據洩露給他人，數據包括GDP（國內生產總值）、CPI（消費者物價指數）、PPI（生產者物價指數）等共計27項。

　　國家保密局新聞發言人、副局長杜永勝指出，調查顯示，此次查辦的涉密數據洩密案件背後確實存在利益驅動。有的通過和證券從業人員建立合作關係，利用證券機構從業人員指導其買賣股票、謀取利益.。

　　「一些職能部門的司局長和基金、證券公司關係很好，這次是『殺雞給猴看』」。一位業內人士表示。

洩密過程

　　前述通報稱，去年5月以來，中國國家宏觀經濟數據多次被洩露。今年2月，在有關部門調查基礎上，北京市西城區人民檢察院對案件依法立案偵查。

　　杜永勝表示，一個明顯現象就是，經濟數據公佈後，股市發生異常波動。

　　通報稱，孫振洩露給證券行業從業人員付某、張某的27項數據中，經鑑定，有14項為機密級國家秘密，13項為秘密級國家秘密。

　　孫振畢業於加拿大卡爾加里大學，獲碩士學位。2007年，孫振經過國家統計局國際統計信息中心筆試、面試等程序，被錄取為公務員，後來擔任國家 統計局一位副局長的秘書。國家統計局的國民經濟核算司和國民經濟綜合統計司，專門負責每月發佈統計數據。國民經濟核算司和國民經濟綜合統計司分別由兩位統 計局副局長分管，雙方統計數據齊全後，上報國家統計局局長。孫振所處的職位，非常有利於看到這些重要的宏觀經濟數據。

　　伍超明於2011年3月21日被抓。通報稱，其在中國人民銀行金融研究所貨幣金融史研究室工作期間，於2010年1月至6月，違反國家保密法規 定，將其在價格監測分析行外專家諮詢會上合法獲悉的、尚未正式公佈的涉密統計數據25項，向證券行業從業人員魏某、劉某、伍某等15人故意洩露224次， 經鑑定，上述被洩露的25項統計數據均為秘密級國家秘密。

　　「伍超明在學術圈裡公認的學術能力不錯，平常不太愛說話，比較愛鑽研業務。」央行研究局人士告訴財新《新世紀》，「之前有投行請他去做首席經濟師，他都沒去。」

　　伍超明在2010年1-6月間，將相關宏觀數據對外洩露，主要是通過手機短信的方式告訴了15個人。財新《新世紀》查證後發現，這15個人除了 一名學者、一名證券媒體記者、一名央行天津分行人士，其餘13名人士均為券商或者基金公司人士，其中12名來自機構宏觀研究部門，一名來自銷售部門。根據 以上事實，法院最終認定伍超明犯洩露國家秘密罪，被判刑六年。

　　15名人士都在此案件中作為證人出現，證實的確曾收到過伍超明的短信。

　　據知情人透露，其中不少人是伍超明在為一些證券公司做課題時結識的，後來伍超明有時會被請去講課，收取過講課費，但並沒有直接通過賣數據獲利。

後果幾何

　　 「伍超明洩露的是一般性的國家秘密，也沒有造成實際的國家利益損失，感覺判決有點重。」伍超明的辯護律師、尚權律師事務所張興梅律師告訴財新《新世紀》記者，這也是他的主要辯護意見。

　　「是否直接獲利，並不是此案量刑的關鍵，主要還是根據涉及國家秘密的密級和項目的數量來量刑。」尚權律師事務所主任張青松告訴財新《新世紀》記者。

　　有業內律師也認為，CPI數據直接決定了宏觀調控力度，是非常重要的宏觀數據，根據判決看，故意洩露國家秘密罪，屬於比較嚴重的罪行。

　　2010年5月，有關經濟數據洩露的消息引起關注，迅速導致市場軒然大波，此後這類傳聞連續不斷。

　　據新華社報導，2008年以來，路透社已經累計七次精確「猜」對了中國的月度CPI數據。

　　2011年4月15日，國家統計局新聞發言人盛來運在第一季度國民經濟運行情況發佈會上表示，譴責提前洩露還在保密期的數據的行為。統計局官員近年來已多次在公開場合譴責經濟數據洩密的行為，而洩密行為並未止息。

　　「中國在信息數據方面，幾乎已無秘密可言。」 中國社科院法學研究所研究員周漢華向財新《新世紀》記者感嘆。

　　一位做海外投資的基金公司資深人士對財新《新世紀》記者表示，相對於內幕消息對個股造成的波動，雖然兩者都是嚴重的市場不公平行為，但CPI等宏觀經濟數據的外洩，會對整個市場造成波動。

　　他認為：「此類信息外洩的影響極其惡劣。因為提前一秒鐘獲知相關消息，都會為對沖基金或者期貨投資者帶來投機性交易的機會，獲取很大經濟利益； 比如，轉融通已經推出，證券市場可以做空，當投資者預計數據不好的話，它就可以預先做空，然後介入一些股票，等到市場下行的時候拋空這個股票來獲得收 益。」

　　社科院金融所重點研究室主任劉煜輝指出，相對於股票市場，債券市場和外匯市場對於經濟數據更為敏感，「幾十個基點的利差，收益就很可觀。」

　　「如果提前獲得信息和市場預期不一樣，當市場比較動盪或者疲弱時，會對這些數據的反應更為敏感，市場波動也更大。」中信證券固定收益部人士稱。

　　 前述基金公司人士對財新《新世紀》記者表示，能提前拿到數據，無論對於券商銷售部門還是研究部門，都有直接利益關係。

　　而一家券商的研究報告如果對於宏觀數據總能準確地預測，就可以獲得基金更多的「分倉」收入，相關研究員也可以得到更多的「派點」（即券商研究改採取的由客戶給研究員工作績效打分的制度——編者注）。

　　現實中，更多的數據信息還不僅僅體現在研究報告中，更多是通過電子郵件、短信、MSN等多種工具來傳播。

內鬼知多少

　　在孫振、伍超明3月底事發之後，6月份公佈的CPI數據又毫無懸念地被「專家」們精準預測。

　　6月14日上午，國家統計局公佈5月份主要宏觀經濟數據，其中5月CPI漲幅為5.5%。

　　一位證券市場資深分析師此前一天已在微博上寫道：「明日上午10點將公佈的5月CPI似乎已經沒有太大懸念——目前市場對於該數據的一致預期是5.5%，高於4月份的5.3%。」

　　在當日上午的新聞發佈會上，國家統計局新聞發言人盛來運宣佈採取了最新改革。為減少統計數據發佈前被洩露的風險, 儘可能縮短數據從產生到發佈的間隔時間。

　　國家統計局自7月起調整統計數據發佈方式，取消月度數據發佈會，將月度、季度和年度統計數據發佈時間都提前2-3天，力爭在數據產生出來後的24小時內以新聞稿的形式發佈，並更多採取網絡方式發佈信息。

　　中國重要經濟數據在發佈之前，會經過諸多環節並涉及諸多部門，一般來講，數據從產生到發佈的時間越長，中間環節越多，發佈前被洩露的風險越大。以CPI數據為例，在數據公佈之前一週左右，上一月度的CPI數據真正生成。

　　不過，數據保密僅僅靠調整發佈時間遠遠不夠。盛來運同時表示，要進一步縮小提前掌握數據人員的範圍。

　　知情人士稱，中國經濟數據層層彙總、逐級上報的統計工作模式，能夠提前獲取相關數據的並不是國家統計局一個部門。由於宏觀經濟數據是多個部門合成的一個數據，傳遞的鏈條非常長，在數據公佈前，要提前通知許多部門和個人。

　　通常，為了進行修改和調整，有關數據會按照快報的方式報送有關國家主管部門，然後再發送央行、發改委、國研中心等部門。

　　一位宏觀研究人士指出，因為環節諸多，數據有可能在多個環節出現洩密點，而且由於信息傳送的範圍太大，調查、查處不易。

　　杜永勝在國新辦發佈會上坦承，在數據的產生、分析、整理、形成過程中，總有相關人士接觸到這些數據，包括最後的送報，「在整個數據傳輸過程當中，這種安全也是很難得到有效保證的。」

　　杜永勝稱，國家保密局近來已經對國家涉密經濟數據產生、使用、保管的21個部門進行了專項的保密檢查，這項工作已經結束，及時發現一些洩密隱患，堵塞一些洩密漏洞，嚴肅查處了各種違規行為。

　　事實上，此類信息洩露情況在中國非常普遍。比如存款準備金率上調、加息等宏觀決策等被認為是疑似洩密的重災區。

　　央行自去年10月份首次開啟加息週期以來的四次加息，除了一次在春節長假之後，其他每次公佈之前，A股大盤都曾在加息前一個交易日有所反應；一些重大行業政策出台之前，亦能發現一些「先知先覺」者的蛛絲馬跡。

　　比如，發改委大多選擇半夜才發佈油價上漲的消息，但是每次消息即將發佈的當日下午，一些加油站就已經排起了長龍；在資本市場，有關上市公司利潤 分配方案、增發、業績等重大消息，也常常會在正式公佈前在市場上即有所體現，在一些關鍵新聞事件或者負面消息公告之前，相關股票的異動明顯，諸如此類涉嫌 「內幕交易」的例子在中國簡直不勝枚舉。

　　杜永勝認為，從這兩起重要經濟數據洩密案件發生的情況看，一些經濟部門在重要的涉密經濟數據保密管理方面，存在一些薄弱環節。比如，關於涉密經 濟數據的密級確定問題，關於涉密經濟數據的知悉範圍限定問題，以及涉密經濟數據的解密時間控制問題，還有知悉涉密經濟數據人員的審查教育問題等。

360稱5000多萬賬戶洩密

http://news.imeigu.com/a/1324689183103.html

本報訊 (記者 莫豐齊) 昨天，對於CSDN密碼庫洩露事件的最新發展態勢，互聯網安全公司360發佈的最新監控數據顯示，由於眾多網站被黑客入侵攻擊，目前網上公開暴露的網絡賬戶密碼有5000多萬個。至於黑客秘密掌握的網站數據庫規模，外界無法判斷。

360稱，黑客竊取網站數據庫(刷庫)是最近數年非常流行的攻擊方式，之前有多家知名網站被黑客刷庫的傳言，只是數據庫從沒有公開傳播過。今年7 月，360發佈《2011上半年互聯網安全報告》時就指出，黑客刷庫的危害已經遠遠超過了盜號木馬。CNNIC《第28次中國互聯網絡發展狀況統計報告》 顯示，2011年上半年，有過賬號或密碼被盜經歷的網民達1.21億人，佔24.9%。根據360分析評估，上述被盜號的1.21億網民群體中，80%以 上是因為黑客刷庫後獲取了網民的賬號密碼數據。

網民應分級設置密碼

專家支招

360的工程師介紹，提升網絡安全，一方面需要網站及時修補漏洞，防止數據庫洩露；另一方面，網站管理者需要重視用戶數據的安全，進行高強度的加密保護，這樣即便數據庫洩露，用戶的賬號和密碼也不易被黑客破解。

絕大多數網絡賬號都是綁定郵箱註冊，部分網民又習慣用相同的註冊郵箱和密碼，註冊不同的網絡服務(如微博、網上支付、聊天軟件、購物網站等)，還有很多人用QQ郵箱和QQ密碼註冊各種論壇，這是非常危險的舉動，因為只要這個論壇數據被黑客竊取，就意味著QQ賬號也會被盜。

如果網民有意識地對密碼進行分級管理，常用郵箱、聊天軟件、網上支付等重要賬號分別單獨設置密碼，並定期更換；次要的網絡服務可以設置通用密碼，即便網站數據洩露也不會造成損失，而且能通過郵箱找回密碼。

否認公司產品經理為「黑客」

金山聲明

本報訊 (記者莫豐齊)金山網絡公司昨天零時許向本報發來聲明稱，公司層面調查認為，CSDN密碼庫洩露事件「重大嫌疑人」金山網絡韓姓產品經理「hzqedison」並不是CSDN密碼庫黑客。金山網絡已將所掌握的情況主動向公安機關反饋，全力配合追查黑客。

CSDN密碼庫洩露事件正引人關注之時，22日有消息說，一個叫做「hzqedison」的微博用戶或許分享過一個「CSDN-中文IT社區 -600萬.rar」的壓縮文件，而這一壓縮文件的內容實為「CSDN未經加密的600萬用戶資料」，其數據庫下載鏈接在黑客論壇和QQ群中傳開。

對此，金山發表聲明稱，hzqedison是在12月21日中午密碼庫事件爆發一個半小時後，從微博、迅雷等公開渠道間接獲得「此前已廣泛流傳」的 密碼庫，他「無意識」地在迅雷生成鏈接，「供身邊少數同事自查」，在獲知該鏈接被外人獲知後，便迅速刪除了該鏈接。據刪除前統計，該鏈接僅被不超過5名同 事下載。金山還透露，一位ID為「臭小子」的人，早在12月4日就已將密碼庫公開到漏洞網站烏云網(http://www.wooyun.org /bugs/wooyun-2010-03523)上。

律師觀點

hzqedison可能觸犯刑律

對於hzqedison的這種「無意識」，德和衡律師事務所合夥人姚克楓律師昨天接受本報記者採訪時說，他的行為是一種傳播行為，無論是否為「源頭 傳播」，都涉嫌違法。如果他是源頭，則責任更重。hzqedison是行業內人士，有保密與審慎義務，此事可能觸犯刑律。無論如何，這種行為讓人憤怒與不 解，絕對應當譴責。

(責任編輯：姜濤)

網絡大洩密

http://magazine.caixin.com/2012-01-06/100346334.html

偶然中的必然

「這些數據庫在黑客圈幾年前就有了，這一次只不過是個比較集中的爆發」

是誰，在什麼時候，拿走了這些涉及用戶隱私的數據？原本隱秘在黑客圈的數據庫緣何會曝光在公眾面前？互聯網是否還有安全可言？此輪網絡大洩密，讓這些問題成了普通互聯網用戶最自然的追問。

「這些數據庫在黑客圈幾年前就有了，這一次只不過是個比較集中的爆發。」安全寶CEO馬傑對財新《新世紀》記者稱，CSDN數據庫的曝光看似偶然，實則必然。「冰凍三尺非一日之寒，互聯網行業安全問題的累積已經太多了，遲早會爆發。」馬傑在安全行業超過十年，曾任瑞星研發總經理，負責個人和企業的安全產品。

這也是網絡安全行業人員近乎一致的觀點。天融信公司高級安全顧問呂延輝向財新《新世紀》記者證實，最早在2008年時，就曾聽說有一些網站的數據庫在黑客圈流傳。

本次密碼信息最先被公佈的CSDN社區，後來曾組織安全專家進行討論，得知公司的數據庫事實上早就在黑客的手上了。「並不是說這一刻先攻破了CSDN，放出數據庫，然後下一刻攻破了天涯再放出數據庫。而是這些數據他們手上一直都有，只不過拋出來的時間不一樣。」蔣濤說。

天融信成都分公司技術負責人鄒曉波稱，早期的很多網站，都可以通過服務器滲透，取得後台數據庫的權限，直接取得數據。「黑客圈內人都知道誰被盜了，他們不一定公佈，但是會炫耀，在小範圍內流傳，大部分沒有去獲利。」

CSDN社區數據庫的曝光，曾經被指向一名ID為Hzqedison的金山公司員工，他分享數據庫下載地址的截圖最早在網上流傳。12月22日，CSDN數據庫外洩一事被廣泛關注的時候，Hzqedison在新浪微博表示道歉。隨後，金山公司也發表聲明，金山員工並非網絡上傳言的黑客，並非最早對外發佈密碼庫的第一人。

Hzqedison解釋了事情的經過：「12月21日，我在一個聊天群裡看到CSDN數據庫的迅雷下載地址，就離線下載了該文件來檢查自己賬號是否被洩露。為了讓同事們也檢查，才做了分享貼到同事群裡。5分鐘後，該地址截圖被發到了烏云漏洞報告平台上，得知後我立即刪除了迅雷分享地址。因為刪除很及時，該地址只有幾名同事下載過，而且從未將數據庫文件外洩。」

李鐵軍告訴財新《新世紀》記者，據他瞭解，當時該金山員工上傳CSDN數據庫時，是「秒傳」的，說明這個數據庫文件在迅雷下載服務器中早已存在。

「是誰最早上傳了這些數據庫，現在已經很難確定。」李鐵軍說，除了CSDN的數據庫，還有其他網站的數據庫一起在網上流傳。因為CSDN的影響力比較大，所以就傳開了。

事實上，CSDN數據庫曝光之前已有徵兆。李鐵軍告訴財新《新世紀》記者，他在12月14日前後，即洩密事件發生的前一週，就已經注意到有很多網友在新浪微博上反映賬號被盜，「這是黑客在用數據庫去試探新浪的數據庫，有些就撞到了」。

馬傑分析，這次曝光的網站數據庫應該是最近幾年間連續不斷被刷庫的。「安全圈也知道，這幾年地下黑客圈在刷庫，也知道一些數據庫在黑客圈流傳。」

所謂刷庫，是指黑客入侵網站服務器之後竊取用戶數據庫的行為，互聯網業內也稱其為「拖庫」，取其諧音，也形象稱之為「脫褲」（參見輔文「致命的漏洞」）。

看上去，金山員工「偶然」的發現和分享，加上地下黑客累積經年的刷庫行為，以及數據庫在圈子中的一輪輪擴散，最終促成了這次網站數據庫大規模的曝光。

但是，這裡面依然隱藏著兩個問題。第一，金山員工如何能「偶然」發現原本在地下黑客圈流傳的數據庫？第二，僅是CSDN的數據庫曝光，緣何能引發一連串的數據庫浮出水面？

地下黑客圈傳輸或交換文件，一般都是點對點的傳輸，有時甚至通過郵寄移動硬盤或光盤來實現。但隨著被刷的數據庫越來越多，轉手的次數越來越多，參與的人數也越來越多，出錯和曝光的概率就越來越大。

烏云漏洞報告平台的創建人劍心分析說，由於不同黑客掌握的數據庫各有不同，刷出來的數據庫會在黑客圈中交換，這樣就會一輪一輪的擴散。很有可能是某個人在轉手傳播的過程中，由於文件太大，無法實現網絡上點對點的傳輸，不得不利用迅雷、網盤一類的工具進行上傳和下載。在這過程中，工具會把這些文件洩露出來，甚至會在搜索「數據」等關鍵詞時出現推薦。這樣擴散的範圍就更大，進入與黑客圈有交流的安全圈也就不足為奇了。

至於網站用戶密碼連續被報丟失的現象，呂延輝解釋說，一些數據庫曝光之後，黑客手中那些與之雷同的數據庫就沒有價值了。並且，引發公眾關注後，基本所有網站都會通知用戶修改密碼，政府相關部門可能還會介入，那麼其他的一些非核心數據庫的價值也就更低了。

呂延輝表示，可以看出來，這次曝光的數據庫都是在地下黑客圈轉手很多次的，本身價值也不大，再加上CSDN數據庫的曝光，其他數據庫的含金量進一步降低，那些手上有庫的人拋出來也不奇怪，這才形成了一連串的規模效應。

脆弱的網站安全

互聯網從提供內容為主發展到有很多網上購物與社交，但安全現狀停步不前

洩密事件，將眾多網站在安全方面的脆弱暴露無遺。知名網絡安全專家、安天實驗室首席技術架構師江海客直言，這是一個安全崩盤的時代。

安全圈內資深人士的共識是，被黑客攻擊和刷庫，各大網站幾乎是無一倖免，只是程度和範圍的不同。在做安全行業的人看來，目前大部分網站的安全性都不足。「這一次表面上看是明文密碼庫的問題，但實際上多數網站從根本上都沒有重視自身的信息安全。」天融信公司副總裁劉輝對財新《新世紀》記者表示，網站把絕大部分資金投入到日常運營中，只有被攻擊或吃過教訓後，才想起來安全的重要性。

「一些網站之所以容易被『脫褲』，很大一部分原因就是因為本身就穿得太少了。」劉輝說，很多經營性網站甚至都沒有專門的網絡安全工程師。

CSDN社區數據庫在此次事件中最先曝光。蔣濤也坦言，「原來對安全的認識還停留在相對低的水平上，覺得自己的數據不是什麼關鍵數據，別人拿去也沒什麼用。」

但這次一連串的數據庫洩密事件證明，互聯網存在很大的關聯性，特別是擁有大量用戶的網站，更不是一個孤立的存在，很多用戶的郵箱、賬號都與別的系統相關聯，一旦有事，就會造成跨網站的連鎖反應。另外，由於安全問題出在了服務器端，普通用戶基本沒有辦法防範，數據庫被刷後曝光出來，用戶只能被動的修改密碼。

馬傑則指出，現在互聯網從原來提供內容為主，到現在有很多的網上購物與社交，網站的重要性進入了另外一個層面，但安全現狀停步不前。「現在網站數據中所包含信息的價值在上升，但安全防護的措施並沒有加強。」他說。

另一方面，專業做網站功能、應用和服務的人，與專業做安全的人，在技術思維上也存在巨大差異。「一個B2C網站的程序員，做了一個系統，花了幾個月的功夫，自己覺得沒什麼問題，然後請專業做安全的人去找漏洞，結果做不到十分鐘就破解了。」李鐵軍舉例說，二者沒有高下之分，只是職業的特徵決定了思路上的差異。

思路上的差異，加上安全意識的不到位，導致了網站安全的脆弱。CSDN、天涯社區至今仍未披露數據庫外洩的具體原因。馬傑告訴財新《新世紀》記者，從技術上講，有很多種方法可以刷庫，「就像一個很大的房子，可以爬窗戶、撬門，或者從煙囪進來，甚至挖個地道進來，就看黑客想花多大的功夫和精力」。

通常來說，黑客都是通過發現網站或應用軟件的漏洞進入服務器，然後想辦法提升權限，就可以把數據庫下載下來。對一些防護比較弱的網站，甚至都不用進入網站就能刷庫。安全行業資深人士TK說：「只要分兩步，第一步找到一個SQL注入點，執行一條備份命令，備份到一個目錄去；第二步，從目錄把數據下載回來。根本不需要獲得網站的權限，只要有SQL注入的漏洞，就可以爆庫了。」

劍心告訴財新《新世紀》記者，決定在12月30日臨時關閉烏云平台的其中一條原因，就是擔心後續幾天爆出的網站漏洞會越來越多，引起互聯網用戶的恐慌。烏云漏洞報告平台是由一群互聯網安全研究人員自發組織的信息安全溝通平台，研究人員在上面提交廠商的安全問題，也披露一些通用的安全諮詢和安全使用。有超過500個「白帽子」安全研究人員和120多個廠商參與平台，反饋和處理了接近4000個安全問題。在洩密事件引發大範圍關注後，烏云平台因曾多次發佈相關安全漏洞預警而被關注。

劍心也證實說，目前國內除極少數大型網站外，可能都被黑客刷過庫，包括網易、搜狐在內的門戶，一些漏洞都是在烏云平台上被證實的。此外，近年來快速膨脹的電子商務網站，在劍心看來，安全性更是糟糕，烏云平台已經多次證實並報告了他們的漏洞。這其中就包括11月10日所報告的噹噹網漏洞，可以抓取超過4000萬條用戶信息。

相對而言，金融系統的安全性較強。銀行通常會採用硬加密的技術，既不僅依靠登錄密碼和交易密碼，還需有一個外在於密碼系統的物理密鑰，比如發送到手機的動態口令或U盾密鑰，其安全性要高於單靠密碼的「軟加密」方式。但是，隨著第三方支付、代收費、代繳費等業務的展開，銀行系統需要開放的接口也越來越多，對銀行系統的安全提出了更高的要求。

除網站的安全性差外，本次洩密事件中備受詬病的還有明文密碼庫。所謂明文密碼庫，即在對用戶密碼信息存儲時未進行加密處理，黑客獲得數據庫後，所有的用戶名、密碼一目瞭然，更加容易利用。

蔣濤解釋稱，各家網站的明文密碼庫都有複雜的歷史原因，CSDN是在2010年9月之後才採用了密文存儲。「這不是一家的問題，而是行業性的問題。」

但是，加密存儲也並不一定意味著安全。多位受訪的網絡安全專家告訴財新《新世紀》記者，現在相對簡單的MD5加密方法已經不安全，黑客圈建立了龐大的MD5值的「字典庫」，通過「查字典」的方式很快就能破解還原。

馬傑建議，在進行密文存儲時，還需要對加密算法做一些改變，或多次加密，安全性能才會有所提升。儘管通過「彩虹表」碰撞等方法不存在破解不了的情況，但至少會大大增加破解的成本和時間，降低數據庫對黑客的吸引力。

烏云平台撰文稱，最好的安全應該是自始至終就有人為安全負責，將安全落實到公司的流程制度規範以及基礎技術架構裡去，形成完善的安全體系，並且持續更新迭代，「如果以前沒有這方面制度，就從現在開始建設；如果沒有團隊，就可以先找一些公司或者外部顧問。但是記住，不要幻想一次性的投入就可以抵抗利益驅動長久進化的黑色產業鏈」。

黑色產業鏈

有人負責發掘漏洞，有人負責根據漏洞開發利用工具，有人負責漏洞利用工具的銷售，有人負責刷庫，有人負責洗庫，有人負責銷售，還有人利用數據庫釣魚、詐騙、發送垃圾郵件

大規模的洩密事件，也使得互聯網江湖中最為隱秘的黑色產業鏈再度引人關注。「熊貓燒香」病毒讓公眾知道了病毒黑色產業鏈，而此次的洩密事件則指向了數據交易的黑色產業鏈。

馬傑告訴財新《新世紀》記者，最近幾年，「黑帽子」黑客圈內的盈利模式發生了一些變化。最早是「掛馬」比較掙錢，通過發現漏洞SQL注入，然後想辦法獲得網站權限，在網頁上掛上木馬程序，中了木馬程序的機器就成為「肉雞」，通過木馬控制「肉雞」來賺錢。比如說盜號、彈窗、導流量等。

「早幾年木馬猖獗的時候，一個服務器能控制幾萬台的『肉雞』。即使只是IE自動跳轉到某一頁面，每年也能帶來可觀的流量和收入。」李鐵軍說，還有黑客利用系統漏洞和木馬進行「釣魚詐騙」，從個人客戶一端入侵網銀系統，進行非法轉賬等。

後來，「掛馬」和「釣魚」被各大安全公司打擊得非常厲害，特別是免費殺毒軟件在個人終端的普及。而這個時候，地下黑客發現，刷庫是個更快、更直接的賺錢方法。

最近幾年，圍繞數據交易的黑色產業鏈正在逐步形成。在地下黑客圈內，一些大型網站的數據庫被明碼標價，一個數據庫整個端下來，價值數百萬元到上千萬元不等。

拖庫成功後，到手的數據庫可以有很多用途，比如直接賣給被刷庫網站的競爭對手。黑客還可以利用部分互聯網用戶「多家網站一個用戶名一個密碼」的習慣，去試探別的網站數據庫。這叫「撞庫」，技術上也很容易實現，只需要編寫一個腳本，自動不斷用已盜取數據庫裡的信息去請求登錄。由於都是正常請求，被撞的網站也很難防範，所以也會有網站「躺著中槍」。

安全業內人士稱，刷庫之後，黑客拿著數據庫去「撞」有虛擬幣系統的遊戲網站、騰訊，以及網上銀行、支付寶及電子商務網站，都是必然會發生的事情。如果撞到了重合用戶，將其賬號內虛擬資產、網銀洗劫一空都是再自然不過了。

經過多次倒賣和「洗庫」之後，數據庫還能被賣給價值鏈的末梢買家——利用賬號信息來發送廣告、垃圾郵件、垃圾短信的推銷公司。通常情況下，數據庫的價格越賣越便宜，流傳的範圍也就越廣，距離曝光也就越近。

而在整條黑色產業鏈中，分工也比較明確。最核心和最難的是發掘漏洞，這對技術的要求最高，能發掘漏洞的黑客也比較少。呂延輝介紹，在地下黑客中，有人專門負責發掘漏洞，有人專門負責根據漏洞開發利用工具，有人負責漏洞利用工具的銷售，有人負責刷庫，有人負責洗庫，有人負責數據庫的銷售，最後端，還有人利用數據庫釣魚、詐騙、發送垃圾郵件。

有網絡安全人士估算，目前互聯網的地下黑色產業鏈規模已經達到上千億元，而安全行業的規模目前還只有幾百億元，「就像毒品的市場規模反而大於麻醉藥的市場規模」。

失能的法律防火牆

周漢華表示，「當網站的資料和個人信息緊密相連，安全卻沒有保障，這種情況下，實名制是相當危險的」

劉輝判斷，這次洩密事件將注定會是互聯網發展歷史上一件大事。一方面是對互聯網業務發展模式的影響；另一方面，則是互聯網行業安全規範機制的建立已勢在必行。

「短期內，互聯網行業的發展會受到一定的影響。」劉輝說，例如近兩年興起的云計算服務，現在提供云服務的互聯網公司必須要重新建立用戶的信息，並說服用戶上傳至云端的資料是安全的。要說服用戶，就需要相應的安全承諾及安全認證機制。

蔣濤也表示，這次洩密事件相當於給整個互聯網業上了一課。「CSDN也是專業的IT社區平台，我們會利用這個平台來加強安全的教育和普及，提升互聯網行業的安全意識。」他說，除了加強自身的安全性，這是CSDN在2012年要去做的重要事情，「互聯網上各大網站的關聯度越來越高，安全已經不是一家兩家的問題，而是全行業的問題」。

在全世界，身份的盜用和密碼的洩露每天都會出現，但與發達國家不同的是，這次密碼洩露事件發生後，各方幾乎束手無策。「大家都不知道怎麼去保護自己的權利，大家就只能看著發生，等著下一次什麼時候發生。」中國社會科學院研究員周漢華對財新《新世紀》記者說，「我們的問題是沒有有效的管理手段，沒有可以適用的法律。」

在亞太網絡法律研究中心主任劉德良教授看來，個人信息在網絡時代越來越具有商業價值，這也是目前非法收集、加工、買賣和商業性濫用個人信息行為日益氾濫的內在驅動力。針對如此嚴重的網絡的個人信息安全威脅，法律的「防火牆」為何失能以及如何重構，成為一個急需解決的問題。

上海一位經偵人員對財新《新世紀》記者介紹，他們曾經偵辦過一個利用個人信息實施犯罪的案子。有人發現幾百萬元銀行存款莫名消失，於是報案。此案涉及幾百萬條的車主信息數據庫，這些信息有黑客攻擊得到的，也有銀行、保險業的內部人洩露出來的。犯罪分子的作案手法是，通過內部洩露或者黑客攻擊得到包括車主姓名和身份證號碼的用戶信息庫，找銀行的人查開戶信息，這個行話叫「包行」，幾百塊就能做。得到卡號後，然後猜密碼，利用黑客軟件和銀行卡進行比對。

從刑事法律來看，2009年《刑法》修正案增加了「非法侵入計算機信息系統罪」的條款，「違反國家規定，侵入計算機信息系統或者採用其他技術手段，獲取該計算機信息系統中存儲、處理或者傳輸的數據，或者對該計算機信息系統實施非法控制，情節嚴重的，處三年以下有期徒刑或者拘役，並處或者單處罰金；情節特別嚴重的，處三年以上七年以下有期徒刑，並處罰金」。

同年，全國人大常委會還出台《侵權責任法》，規定網絡服務提供者和網絡用戶利用網絡侵害他人民事權益的，應當承擔侵權責任；網絡服務提供者知道網絡用戶利用其網絡服務侵害他人民事權益，未採取必要措施的，與該網絡用戶承擔連帶責任。2000年，全國人大常委會又專門制定了《關於維護互聯網安全的決定》，重申各種互聯網違法的刑事責任和民事責任。

在行政監管層面，除了國務院在1994年制定的《計算機信息系統安全保護條例》，作為全國計算機系統安全保護工作主管部門的公安部，也制定了《信息安全等級保護管理辦法》以及《計算機信息系統安全保護等級劃分準則》《信息系統安全等級保護基本要求》《信息系統安全等級保護測評要求》等30多個標準。

多重的法律規定，為何實施效果不佳？周漢華認為，《刑法》的適用門檻比較高，需要「違反國家規定」和「情節嚴重」的條件，何況這兩個條件目前都缺乏相應的標準。而《侵權責任法》的適用，在網絡環境下，當事人舉證非常困難，而且存在成本投入和收益不對稱的情況。

周漢華認為，《刑法》和《侵權責任法》都屬於事後救濟，在網絡時代，由於損害的發生是系統性的、不可復原的，所以對網絡安全以及個人信息進行全流程的監管才更為有效。目前對於這種全流程的監管，中國既缺乏專門的法律，也沒有專門的執法機關，蒐集個人資料的企業所應承擔的相應的安全責任以及相應的信息流管理行為規範都缺失。「這就是為什麼要制定《個人信息保護法》的原因。」周漢華稱。

據財新《新世紀》記者瞭解，早在2003年之時，周漢華曾經受當時的國務院信息化辦公室委託，主持《個人信息保護法》的立法研究，並且在2005年形成了一份專家意見稿。但時隔多年，這部法律的立法工作遲遲未被啟動。

劉德良教授認為，在當前中國的法律框架下，把個人信息都納入人格權的範疇，而不承認個人信息的商業價值也是個人的財產；人格權受到侵害後，原則上也不能要求財產損害賠償。因此他提出，對於個人信息的法律保護，應該包括隱私上的人格利益和個人信息的商業價值這雙方面，將個人信息的商業價值視為個人的財產，未經允許擅自收集和商業性利用個人隱私，既是一種侵犯人格權的行為，也是一種侵害財產權的行為。

財新《新世紀》記者張宇哲對此文亦有貢獻

在蘋果　洩密會被律師告到死

標題2007年FOMC完整紀要公佈：伯南克等嚴重低估危機 蓋特納被指洩密（已更新）

當地時間週五，美聯儲公佈了2007年美聯儲公開市場委員會（FOMC）閉門會議的完整文本記錄。

金融危機從2007年開始爆發，隨後美國陷入了大蕭條以來最嚴重的經濟衰退。

也是從2007年開始，美聯儲政策進入一個前所未有的貨幣政策新時代。

2007年，FOMC一共召開了8次常規會議和3次緊急視頻電話會議。

8月16日，美聯儲在一次緊急視頻會議中決定下調「貼現利率」。9月，10月和12月，美聯儲三度下調利率。在12月，美聯儲還宣佈啟動第一個非常規項目支持全球銀行系統，允許外國央行使用美聯儲的美元。

美聯儲嚴重低估金融危機

按照慣例，這些會議的完整紀要都是在五年之後發布。從這些紀要中，我們可以一窺當時政策制定者對金融危機的看法以及部分貨幣政策內幕。回頭來看，包括美聯儲主席伯南克等人在內的判斷都出現嚴重失誤。

在2007年3月的FOMC會議中，伯南克相信，美國房市將保持強勁。

即便在市場已陷入恐慌的12月，伯南克還說，「我預計任何主要金融機構都不會破產或接近破產。」

但在隨後的一年裡，多家金融機構瀕臨破產，美國政府不得不出面救助。未得到救助的雷曼兄弟走向了破產之路。

蓋特納也低估了這次危機。2007年8月，蓋特納說，「沒有任何跡象顯示，大型的多元化機構會遇到任何融資壓力。」

2007年10月，舊金山聯儲主席Janet Yellen說，「我認為經濟最有可能的結果是邁向軟著陸。」

不過Yellen很快就意識到了問題的嚴重性，兩個月後的12月，Yellen說，「出現信貸緊縮和經濟衰退的可能性看起來已經非常真實。」

蓋特納被質疑洩露美聯儲政策

還有更有意思的細節，在8月16日的FOMC會議上，裡奇蒙聯儲主席Lacker質疑當時的紐約聯儲主席蓋特納，認為他把美聯儲貨幣政策的動向洩露給了美國銀行CEO，而這是不允許的。

兩人當時在會議上還發生了爭執。

他們的對話：

Lacker先生：蓋特納副主席，你剛才的意思是說不是這樣，我們對貼現利率的考慮，或者說我們可能怎麼做，銀行並不知道？

副主席蓋特納：是的。

Lacker先生：蓋特納副主席，我今天下午和美國銀行總裁和CEO Ken Lewis進行過對話，他說，對於蓋特納改變貼現工具的安排，他表示感謝。我的信息和你的不一樣。

伯南克主席：好的，謝謝你。請繼續，蓋特納副主席。

蓋特納：我不能代表Ken Lewis說話。銀行的權利範圍有哪些，我們目前在窗口方面有哪些政策，我想他們是尋求對此有更清晰的理解。我所做的唯一的事情，就是幫助他們理解這些範圍，我想整個系統的情況都是這樣的。因為人們通常都不會使用窗口，從某種程度上來說他們沒有真正理解這個工具是什麼。

伯南克談政策洩密

在2007年10月的會議上，伯南克還溫和批評了美聯儲成員對《華爾街日報》記者Greg IP透露信息。

伯南克的原話：

我認為實際上沒有任何人洩密。因為Greg Ip工作的方式是這樣的，他跑去和每一個人談話，從每個人那裡獲得一些信息，然後把它拼湊起來。不管怎樣，我認為當我們內部的商討變成公開信息時，很明顯對我們機構是不利的。所以我要求每一個人在保密方面要特別小心。

如今，Greg Ip已經離開華爾街日報，加入了《經濟學人》。他很快就被市場認為是歐洲央行貨幣政策的傳聲筒。

華爾街日報接班Greg Ip的是Jon Hilsenrath。

他曾一次又一次準確預測美聯儲政策，以至於FT的記者嘲諷說，看了他的前瞻文章後，已無必要再去閱讀第二天將發表的FOMC聲明了。

整個華爾街都把他視為伯南克的傳聲筒，大摩的羅奇甚至稱Hilsenrath才是真正的美聯儲主席。伯南克曾要求其他人保密，但如今，人們一看到Hilsenrath的文章，就會將之視為伯南克在洩密。

美聯儲FOMC會議完整記錄

美聯儲每一年的FOMC會議都會在5年後公佈完整的會議記錄（僅作少數修改）（一年前，當公佈2006年的FOMC會議完整記錄時，我們看到了格林斯潘時代最後的落幕），下面是蓋特納對格林斯潘的評價：

美聯儲的這一政策源於1994年，當時在國會的巨大壓力下，美聯儲開始增加透明度，決定在每次會議的五年後發布輕度刪改但保持完整的發言紀錄。然而，這一政策也導致意想不到的結果：從那一年開始，每位在FOMC會議上的發言者都會在每次會議後的幾週拿到一份他們發言的草稿。令他們驚奇的是，這份稿子比他們想像中的要粗製濫造得多。他們對之前發言者的即興回應在紙面看上去顯得相當輕率。於是，有些人開始帶著準備好的講稿去參加會議。FOMC會議開始時看似是一場準備就緒的激烈辯論賽，實際上卻以每個人拿出準備好的講稿唸完而告終。

摩根士丹利認為這也產生了一個新的現象：影響市場觀點的時間窗口被提前了，以前是在與會者在會議中發言的時候，現在變成了在與會者寫完講稿的時候。因此，美聯儲官員搶在會議前發表更多講話來相互示意他們將在正式會議上讀什麼內容。如果一項政策引起爭議，交易量就會放大，現實中市場就是這麼反應的。

一位三星員工的第一手告白 宗教般洗腦 軍隊化管理 防員工洩密如防賊

彭博"窺探門"引發洩密恐慌美聯儲財政部介入調查

如華爾街見聞此前報導，在高盛公開質疑信息供應商彭博(Bloomberg)可能對其數據庫產品彭博終端(Bloomberg Terminal)的用戶使用情況進行窺探後，美聯儲的發言人對CNBC透露，美聯儲正在檢查一些官員使用彭博終端的數據信息是否有被彭博的員工所窺探的嫌疑。

美聯儲發言人表示：「我們正在關注此事，並且已經與彭博方面接觸來獲取更多相關信息。」另有知情人士透露，美國財政部也在展開類似的調查。

據一位前彭博員工透露，他在彭博任職時可以查看到前美聯儲主席格林斯潘和前財長蓋特納的使用數據信息。 彭博洩漏用戶使用數據引發了美國監管層的恐慌，如果彭博能夠監測到央行行長所熱衷查詢的信息頁面，那麼或許可以以此推測出一些未來央行可能展開行動的相關信息。

這位前彭博僱員透露，所有知道這個功能(UUID <GO>)的彭博社記者都可以查看到這些用戶使用數據信息，比如高級官員查看股票，債券市場信息的頻率。

彭博發言人並沒有對外透露公司是否對記者獲取用戶數據信息所展開調查。

一位之前曾在彭博社編輯部工作的員工透露，他們將伯南克和蓋特納使用彭博終端的數據信息收集起來展示給新加入彭博的員工，以此炫耀彭博終端在獲取信息數據領域的強大能力。

據一位摩根大通消息人士透露，在「倫敦鯨」事件發酵期間，多位彭博記者使用用戶登陸數據信息來監測交易員Bruno Iksil以及其它職員的登錄信息，以此第一時間獲得交易員或其它員工是否離職的消息。

彭博終端在全球有31.5萬用戶，每台彭博終端的年租金超過2萬美元，去年彭博的的收入為79億美元。

"美國史上從未發生如此重大的洩密"

曾因洩密五角大樓機密一舉成名Daniel Ellsberg稱，美國歷史上從未發生過如此重大洩密。

2013年6月7日，華盛頓郵報披露了代號PRISM的絕密項目。

從2007年起，美國國家安全局(NSA)和FBI通過PRISM項目可直接使用九大美國互聯網公司中央服務器中的音頻、視頻、圖片、電郵、文件和連接日誌，來分析追蹤個人動向和聯絡方式。

6月10日，前CIA僱員Edward Snowden逃到了中國香港，在香港萬豪大酒店向衛報透露：

我29歲，我洩密了PRISM的機密。

現在，Snowden已經離開萬豪大酒店，去向不明。據美國媒體Daily Beast報導，NSA已經啟動所謂「Q-Group」行動組，全力追捕Snowden。

這一事件佔據了全球所有重要媒體的頭條，中國人也在微博和微信上熱烈地討論此事。

一時間，Edward Snowden命運存疑。同樣存疑的是，面對「隱私權利和自由」重大問題時，美國、香港以及所有各國各民將如何反應？

上述問題的答案，將展示人類對「隱私權利和自由」的珍視程度。

Snowden稱其逃到香港的原因是：

香港有濃厚的自由言論的傳統……香港人有長期街頭抗議表達觀點的傳統……我覺得在處理與許多西方主要國家的關係問題上，香港是具有獨立性的。

他想逃往冰島找到庇護，但是他知道NSA遲早可以抓住他，因為他清楚他們的手段。

911事件後，美國出台愛國者法案，無疑讓情報部門的權力越來越不受限制。一位不願透露姓名的前情報部門官員透露：

現在，NSA已經完全處於一種癲狂模式。

目前，可以想見這種「癲狂模式」將給Edward Snowden帶來多大衝擊，但無法揣測這將對美國人耗費200多年建立的民主和自由造成多大衝擊。

這不禁讓人聯想起華裔著名影星Maggie Q主演的美國電視劇《尼基塔》中，那無法無天的美國情報特工部門「DIVISION」。

看看美國官方和民眾的反應：

美國民眾中，支持Edward Snowden的第一時間在紐約的聯合廣場舉行了抗議。抗議者在標語中寫道：「揭秘者是英雄」、「我愛曼寧+Snowden」。[註：布拉德利·曼寧，生於美國奧克拉荷馬州，美國陸軍上等兵，於2010年時因涉嫌將美國政府的機密文件外洩給維基解密網站而遭美國政府逮捕並起訴。檢方針對此事件起訴的罪名包括洩密與最高可判處死刑的通敵罪，然而檢方宣稱並無意求處其死刑。]

即使是曾參與起草愛國者法案的共和黨議員Jim Sensenbrenner，也對情報部門的行為發出質疑：

在Edward Snowden向衛報洩密事件上，愛國者法案已經被錯誤使用。

白宮新聞發言人Jay Carney週一說：

美國政府歡迎Snowden披露事件在華盛頓引起的強烈爭論。如果這些爭論能夠導致就修改[愛國者法案]達成共識，[奧巴馬]總統將會考慮這個問題。總統一直以來都非常清晰地表達過要嚴肅考慮這些問題。

週一，美國前副總統提名人Paul Ryan和其他三位可能於2016年參選的共和黨候選人質疑：

美國人的隱私權利是否[受到情報部門]的過度威脅。

Paul Ryan說：

我確信某些能夠搞起巨大計算機計劃的人士[指PRISM項目指使者]會說：「我們可以做從X、Y到Z的任何事[意指為所欲為]」，但這並不表明他這麼做是合法的。我希望為我所代表的人民，知道有關此事的更多詳情。

再看看其他國家和民眾的反應。

據英國衛報報導，歐洲大陸的主要官員，從德國首相默克爾到整個大陸的信息主管，都想盤問美國人，PRISM的絕密項目到底是怎麼一回事兒。

默克爾下週會向奧巴馬提出這個問題。歐盟委員會副主席 Viviane Reding會在週五與美國官員的會議上提出這個問題。[註：Viviane Reding是負責歐洲信息安全的歐盟官員。]

德國聯邦數據保護專員Peter Schaar稱：

迄今為止，美國尚無足夠級別的數據保護法律，也沒有像歐洲一樣的獨立監管。我不知道美國人都就數據問題向歐洲政府說了什麼。但問題是，美國政府收集的數據可能會回到歐洲各國政府的手中，被歐洲政府使用。我們要與我們的政府討論這個問題了。

此外，法國、意大利、加拿大都對PRISM表達了嚴重關切。

中國政府目前尚無表態。

Daniel Ellsberg在衛報上著文稱：

顯然，美國現在不是一個警察國家。但考慮到其對個人隱私的入侵已經達到這種程度，美國確實具備了一個警察國家所需要的完整的電子和立法基礎設施。[註：Daniel Ellsberg丹尼爾·艾爾斯伯格 是前美國軍方分析師，受僱於蘭德公司，因1971年私自拷貝並向媒體提供五角大樓機密文件為世人所知。]

Daniel Ellsberg對Edward Snowden表達了他的同情：

Snowden之所以這麼做，是因為他意識到NSA的監察行為是危險而違反憲法的。這次對美國和外國公民隱私的入侵，不會給我們的安全帶來益處，但會對我們努力保護的自由帶來危險。

Edward Snowden在香港曾說：

我知道美國是這樣一個國家之後，我不想呆在這個國家了，我想去別的地方。

問題是，「別的地方」在地球的哪裡？

PRISM洩密者、前CIA僱員：美安全局黑客已攻擊中國多年

PRISM洩密者、前CIA僱員Edward Snowden稱美國國家安全局（NSA）黑客已攻擊中國多年。

6月12日Edward Snowden接受南華早報採訪時說：

2009年開始，NSA就已經對中國大陸和香港進行黑客攻擊。

Edward Snowden洩密美國NSA高端機密PRISM項目後，引發軒然大波。Edward Snowden目前逃到了中國香港。

下面是南華早報相關內容：

Snowden說，文件顯示，2009年開始，NSA就已經開始對中國大陸和香港進行黑客攻擊。文件沒有顯示任何中國軍方的信息。

Snowden稱，NSA在中國香港的攻擊目標是大學、商業機構、政府官員和學生。文件還顯示NSA黑客對中國大陸的攻擊。

Snowden認為，NSA已經在全球發動了超過61000起黑客攻擊，數百個中國大陸和香港的目標受到了攻擊。

「我們的黑客骨幹——像一個巨大互聯網路由器——讓我們可以進入成千上萬的電腦，而不需要單獨對某一台電腦發動攻擊。」Snowden說。

Snowden稱他公開這些信息是要「表明美國政府的虛偽，美國政府稱它沒有將民用設施作為目標。美國政府不僅這麼做了，還非常害怕事情敗露，他們願意用任何手段比如外交恐嚇來防止事情為公眾所知。」

美國政府一直在指責中國軍方對其實施黑客攻擊，Snowden的信息若然屬實，對美國政府來講將是一次巨大的政治和外交挑戰。

不久前的習奧會談中，中國國家主席習近平曾對美國總統奧巴馬錶示：中國是黑客攻擊的受害者。

FP雜誌稱：

美國一直指責中國的黑客攻擊，但北京方面又指責美國人的黑客攻擊。顯然，中國政府的指責是正確的，據一些保密的消息源透露，NSA下設了一個絕密電子竊聽機構TAO(Office of Tailored Access Operations)。TAO已經成功進入中國電腦和通訊系統達15年之久，TAO成功收集了中國內部的最佳和最可靠情報。

據前NSA官員稱，TAO的任務很簡單。通過黑客手段入侵國外目標的電腦和通訊系統，然後拷貝所有目標使用電郵或聊天系統發送的信息和數據。

TAO的義務還有，發掘可供美國政府摧毀外國電腦和通訊系統的信息。消息源稱TAO是NSA最大和最重要的情報部門。

再來看下Snowden如何陳述他目前的心態：

我必須冒極大個人風險來幫助全世界的公眾，不管他們是美國人、歐洲人還是亞洲人。

下面是更多諷刺這次事件的漫畫：

1.

2

3.

4.