檢視阿爾伯特·岡薩雷斯的原始碼

Albert Gonzalez（生於1981年）是一名美國電腦駭客、電腦罪犯及警方線人，他被控在2005年至2007年間，策劃了合計超過1.7億筆信用卡和ATM卡號碼的竊取及轉售案，為史上最大規模的此類詐欺案。Gonzalez及其同夥利用SQL注入攻擊在數個企業系統中部署後門程式，以便發動封包嗅探（具體為ARP欺騙）攻擊，從而竊取企業內部網路的電腦資料。

據稱，在犯案期間，他曾為自己舉辦一場耗資75,000美元的生日派對，並抱怨因點鈔機故障而必須親手數34萬美元的現金。Gonzalez下榻於豪華飯店，但其正式住所卻很簡樸。他與其團隊的故事，曾被CNBC頻道的系列節目《美國式貪婪》第五季的「第40集：駭客：致富或拚死一搏行動」專題報導。

Gonzalez面臨三項聯邦起訴。第一項是2008年5月在紐約提起的Dave & Busters案（排定2009年9月審判）。第二項是2008年5月在麻薩諸塞州提起的TJ Maxx案（排定2010年初審判）。第三項是2009年8月在紐澤西州提起的Heartland Payment案。2010年3月25日，Gonzalez被判處20年聯邦監禁。

==早年生活與教育==
Gonzalez在12歲時買了第一台電腦，到14歲時已成功駭入NASA。他就讀於佛羅里達州邁阿密的南邁阿密高中，當時被形容為電腦怪咖中「麻煩」的頭目。2000年，他搬到紐約市，居住了三個月後遷往紐澤西州的基爾尼。

==駭客生涯==
===ShadowCrew===

在基爾尼期間，他被控為一個名為ShadowCrew的駭客組織主謀，該組織販運了150萬筆被盜的信用卡和ATM卡號碼。儘管他被認為是該計畫的主謀（在網站上使用「CumbaJohnny」的網路化名），但他並未被起訴。根據起訴書，有4000人在Shadowcrew.com網站註冊。註冊後，他們可以在拍賣中購買被盜的帳戶號碼或偽造文件，或閱讀描述如何在信用卡、簽帳金融卡和ATM卡的磁條上使用密碼學的「教學與指南」，以便使用這些號碼。網站的版主會懲罰不遵守網站規則的成員，包括在盜來的卡號無效時向買家退款。

除了卡號，拍賣中還出售了許多其他用於身分盜竊的物品，包括偽造的護照、駕照、社會安全卡、信用卡、簽帳金融卡、出生證明、大學學生證和健康保險卡。一名成員出售了1800萬個電子郵件帳戶及其相關的使用者名稱、密碼、出生日期和其他個人識別資訊。大多數被起訴者是實際出售非法物品的成員。維護或管理網站本身的成員也被起訴，其中包括一名試圖註冊.cc域名Shadowcrew.cc的人。

美國特勤局將他們的調查行動命名為「防火牆行動」，並相信由於ShadowCrew與其他名為Carderplanet和Darkprofits的組織共享資訊，被盜金額高達430萬美元。該調查涉及來自美國、保加利亞、白俄羅斯、加拿大、波蘭、瑞典、荷蘭和烏克蘭的單位。Gonzalez最初在紐澤西州紐華克因持有15張偽造信用卡和簽帳金融卡而被起訴，但他透過向美國特勤局提供對抗其同夥的證據而免於入獄。共有19名ShadowCrew成員被起訴。Gonzalez隨後返回邁阿密。

===TJX Companies駭客案===
據稱，在與當局合作的同時，他策劃了對TJX Companies的駭客攻擊，在截至2007年的18個月內，共有4560萬筆信用卡和簽帳金融卡號碼被盜，超過了2005年CardSystems Solutions公司4000萬筆資料外洩的紀錄。Gonzalez與其他10人沿著邁阿密的美國1號公路進行「戰爭駕駛」（wardriving），尋找無線網路的漏洞以鎖定目標。他們入侵了BJ's Wholesale Club、DSW、Office Max、Boston Market、Barnes & Noble、Sports Authority及T.J. Maxx的卡片資料。起訴書中以「cumbajohny」、「201679996」、「soupnazi」、「segvec」、「kingchilli」和「stanozlolz」等網路化名指稱Gonzalez。這次駭客攻擊令TJ Maxx相當難堪，該公司於2006年12月發現此次入侵。公司最初認為入侵始於2006年5月，但進一步調查顯示，入侵可追溯至2005年7月。

他的一名被指控的共謀者是Stephen Watt，在駭客界以「Unix Terrorist」和「Jim Jones」聞名。Watt在紐約市的摩根史坦利工作，並編寫了該嗅探程式。

===逮捕===
Gonzalez於2008年5月7日被捕，罪名是從紐約州艾蘭迪亞一家餐廳的銷售點終端機駭入Dave & Buster's的企業網路。事件發生在2007年9月，約有5000個卡號被盜。其中675張卡片據報有總計60萬美元的詐欺交易。

由於公司電腦關機後，該駭客程式無法重新啟動，共謀者不斷返回餐廳重新植入程式，引起了當局的懷疑。

Gonzalez在佛羅里達州邁阿密海灘國家飯店的1508號房被捕。在多次相關的突襲行動中，當局查獲了160萬美元現金（包括埋在他父母後院一個三英尺深桶子裡的塑膠袋中的110萬美元）、他的筆記型電腦和一把緊湊型克拉克手槍。官員表示，Gonzalez被捕時住在邁阿密一棟不起眼的房子裡。他被帶到布魯克林的大都會拘留中心，並因Heartland攻擊案在此被起訴。

====同案被告====
在Dave & Buster's和TJX竊案中，Gonzalez有多名美國同案被告。主要被告的指控與判決如下：
* Stephen Watt被控在一起身分盜竊案中提供資料竊取工具。他被判處兩年監禁及三年監督釋放。法院還命令他支付25萬美元的賠償金。
* Damon Patrick Toey對電信詐騙、信用卡詐欺和加重身分盜竊罪認罪，被判處五年徒刑。
* Christopher Scott對共謀、未經授權存取電腦系統、存取設備詐欺和身分盜竊罪認罪。他被判處七年徒刑。

===Heartland Payment Systems駭客案===
2009年8月，Gonzalez在紐澤西州紐華克因駭入Heartland Payment Systems、花旗銀行品牌的7-Eleven ATM及Hannaford Brothers電腦系統而遭起訴。Heartland在此次攻擊中受創最重，有1.3億筆卡號被盜。Hannaford則有460萬筆卡號被盜。起訴書中未透露另外兩家零售商；然而，Gonzalez的律師向StorefrontBacktalk透露，其中兩家零售商是J.C. Penney和Target Corporation。Heartland報告稱，包括法律費用在內，公司在這次攻擊中損失了1260萬美元。據稱，Gonzalez將此計畫稱為「致富或拚死一搏行動」。

根據起訴書，Gonzalez與兩名身份不明的「在俄羅斯或其附近」的駭客，以及來自邁阿密的未起訴共謀者「P.T.」所發動的攻擊，始於2007年12月26日對Heartland Payment Systems的攻擊、2007年8月對7-Eleven的攻擊，以及2007年11月對Hannaford Brothers及另外兩家未公開公司的攻擊。

Gonzalez及其同夥鎖定大型公司，研究其結帳終端機，然後從位於紐澤西州、伊利諾州、拉脫維亞、荷蘭和烏克蘭的聯網電腦發動攻擊。

他們使用多個即時通訊軟體化名來掩蓋其網路攻擊，將攻擊相關資料儲存在多個駭客平台上，停用記錄駭客平台進出流量的程式，並透過使用代理伺服器來偽裝其攻擊來源的IP位址。起訴書指出，駭客們用20款防毒軟體測試了他們的程式。

Gonzalez的律師Rene Palomino Jr.在《紐約時報》網站的一篇部落格文章中指控，這份起訴書源於美國聯邦檢察官辦公室在紐約、麻薩諸塞和紐澤西州之間的爭鬥。Palomino表示，當紐澤西州提出起訴時，Gonzalez正就T.J. Maxx案與紐約和麻薩諸塞州進行認罪協商。Palomino指認未被起訴的共謀者「P.T.」就是Damon Patrick Toey，他已在T.J. Maxx案中認罪。Palomino稱，Heartland案的主謀是Toey而非Gonzalez。Palomino進一步表示：「Toey先生從第一天起就一直在合作。他當時住在（Gonzalez的）公寓裡。這整個計畫都是Toey先生的想法……這是他的心血。這不是Albert Gonzalez。我確信他並未參與所有從紐澤西州發動的駭客攻擊。」

Palomino說，Heartland案中一名未具名的俄羅斯駭客是Maksym Yastremskiy，他也在T.J. Maxx事件中被起訴，但目前因另一起駭入土耳其銀行的案件而在土耳其監獄服30年徒刑。調查人員表示，Yastremskiy和Gonzalez交換了600則訊息，Gonzalez透過e-gold支付了他40萬美元。

Yastremskiy於2007年7月在土耳其因駭入12家土耳其銀行而被捕。特勤局對他的調查被用來建立對Gonzalez的案件，包括2006年在杜拜對Yastremskiy的筆記型電腦進行的一次秘密搜查，以及對從Cronos IT租用、據稱用於攻擊的拉脫維亞電腦的磁碟映像檔的審查。

起訴後，Heartland發表聲明稱，公司不知道有多少卡號被盜，也不知道美國政府是如何得出1.3億這個數字的。

===認罪協商 ===
2009年8月28日，Gonzalez的律師向位於波士頓的美國麻薩諸塞聯邦地區法院提交文件，表示他將對U.S. v. Albert Gonzalez, 08-CR-10223案（TJ Maxx案）中的所有19項指控認罪。據報導，這項認罪協商將「解決」與紐約東區聯邦地區法院的U.S. v. Yastremskiy, 08-CR-00160案（Dave and Busters案）相關的問題。

Gonzalez以自己患有亞斯伯格症為由請求寬大處理，其律師提交了一份精神科醫生的報告，稱Gonzalez的行為「與亞斯伯格症的描述相符」且有「網路成癮」。2010年3月25日，美國聯邦地區法官Patti Saris因Gonzalez駭入並竊取TJX、Office Max、Dave & Busters連鎖餐廳、Barnes & Noble及其他多家公司的資訊，判處他20年監禁。次日，美國聯邦地區法院法官Douglas P. Woodlock就Heartland Payment Systems案判處他20年徒刑。兩項判決被裁定同時執行，這意味著Gonzalez將因兩案共服刑20年。Gonzalez還被命令沒收超過165萬美元、位於邁阿密的一間公寓、一輛藍色的2006年BMW 330i汽車、IBM和東芝筆記型電腦、一把克拉克27型手槍、一支諾基亞手機、一枚蒂芙尼鑽戒和三支勞力士手錶。

2011年3月25日，Gonzalez向波士頓的美國聯邦地區法院提出動議，要求撤回其認罪。他聲稱，在他犯罪期間，他一直在協助美國特勤局追查國際網路罪犯，並表示他的律師未能告知他，他本可以因此使用「公共授權」作為辯護理由。特勤局拒絕對Gonzalez的動議發表評論。

Gonzalez（囚犯編號：25702-050）在醫療機構列星頓聯邦醫療中心服完了20年刑期中的13年。他於2023年9月19日獲釋。

==參見==
* 電腦罪犯列表

==參考資料==

==外部連結==

* https://www.wired.com/images_blogs/threatlevel/2009/08/gonzalez.pdf Heartland Payment Systems
* http://fm.cnbc.com/applications/cnbc.com/resources/editorialfiles/2012/04/19/AGS5-E40C1-SKMBT-C45110120712520-v1.pdf

[[分類: 待校正]]