原初的互联网教父，如何在网络罪犯之间建立信任

Brett Johnson 对 Lex Fridman 说，他已逃亡四个月，偷来约 60 万美元。他在拉斯维加斯醒来，前一晚刚从 ATM 取走 16 万美元。他登录 cardersmarket.com，这站点当时由“冰人”Max Butler 运营，他在上面看到自己的真名，旁边写着“美国头号通缉”。圈里从前无人知道他是谁，如今人人都知道了，那条帖子还把他和特勤局的 AnglerPhish 行动扯在一起。

Fridman 介绍他是 ShadowCrew 的创建者。ShadowCrew 是最早有组织的网络犯罪社区，也是今天暗网市场的前身。美国特勤局后来称他为“原初的互联网教父”。他在 2006 年被列入通缉名单，被判了 39 项重罪，越狱后又服了刑，现在讲述这些犯罪是怎么运作的。Fridman 说，他会尽量保持共情，但不会让嘉宾美化自己做过的事，因为我们每个人都有可能既是掠食者，也是猎物。

被问到职业生涯是怎么开始的，Johnson 没有从电脑讲起。他十岁那年住在肯塔基州东部，他把那里比作得克萨斯和路易斯安那的部分地区：没有工作的人，也许就会去搞骗局。在他的讲述里，录制节目时仍在世的母亲，是当地欺诈行当的“队长”。她偷过一台重达 10.8 万磅的卡特彼勒 D9 推土机，直接开上公路；在便利店假装滑倒讹钱；还给邻居 Debbie 拉皮条。Johnson 笑着说，母亲很有企业家精神，他说在网络罪犯身上仍然能看到这种精神。

他说，母亲的动机并不单一。她会试探别人：你能容忍她伤害到什么程度，还会不会回来爱她。在一辆单宽拖车里，她用皮带扣抽打 Brett 和妹妹 Denise，直到 Denise 一脚把她踹进了衣柜，并说她再也不许打他们了。父亲 Ray 是个好人，却忘了自己是好人。他有原则，却太怕妻子离开，于是忍受她的犯罪、出轨，以及当着他的面把男人带回家。Brett 七八岁的时候，Ray 提出离婚，母亲把刀架在他喉咙上，然后又哭着走进浴室，假装割腕，让他去照顾她，而不是盯着那把刀。

母亲离开 Ray 之后，把孩子们交给外祖父母照顾。外祖父母限制洗澡水，睡觉后只要电视有声音，就断掉电源。母亲常常一连几天不见人影。九岁的 Denise 有一天拎着一包猪排走进门，说是偷来的。Brett 让她教他怎么偷。后来他们发展到偷三明治：从凯马特偷一件连帽衫，剪掉吊牌，把一条面包塞进袖子里，免得被压坏。Brett 十岁时就已经在观察父母是怎么解决问题的。母亲发现了他们偷来的雅达利游戏机和其他东西，并没有制止。她加入进来，还把自己的母亲也拉下水，把孩子们当作掩护使用。

他坚持成年人要为自己的选择负责，但他不会假装童年没有在他身上留下痕迹。直到十六岁，他才遇到第一个正派的人。十五岁那年，父亲在佛罗里达告诉他，自己要再婚了，这意味着 Brett 要留在哈扎德。他走进医院的电梯，看到一个女人很像他的母亲，就打了她。他又打倒了一名保安，那人的儿子曾经和他打过篮球。他被单独关押在一个没有少年监区的县监狱里三个月，之后认罪，罪名是一级伤害。法官判他已服刑期，并下令在路易斯维尔做心理评估，还要求接受咨询。母亲说他不需要咨询，他从来没有去过。

M.C. Napier 的同学堵在门口，不让他进。Hazard High 愿意收 Denise，却不收他。一所相距 15 英里的乡村高中收下了他。第一天，他把材料交给班主任兼英语老师 Carol Combs。她听到他的声音，抬起头，问他有没有演过戏。他想进学术竞赛队。Combs 两个队都负责，于是条件是：演戏，换取队里的一个位置。在她手下，他当上了队长，据他自己说，他横扫了东肯塔基的各个县。他原来的学校派队来比赛时，对方队长问：你们那边有没有那个叫 Johnson 的小子？Combs 回答：那个 Johnson 小子就是整个队伍。

高三那年，他拿到了全州最佳男演员和最佳女演员两个奖，是唯一两个都拿到的男生。之后，他拒绝了奖学金，因为他害怕离开家。社区大学时，一位加州的导演请来了《三个忍者》（3 Ninjas）的编剧 Edward Emanuel，来看一部内战题材的演出，Johnson 在其中扮演了大约十八个角色。Emanuel 提出圣何塞州立大学的奖学金，说他在小池塘里是大鱼，去大池塘里会更有前途。两周后，Emanuel 开车到家里，进屋待了 15 分钟，出来时脸色惨白，一言不发地开车走了。Johnson 后来才知道，母亲在屋里掏出了刀，告诉那个人，如果他敢偷走她的儿子，她就杀了他。他说，这件事让他的斗志彻底垮了。之后他全职投入各种骗局，包括凌晨两点，把没有许可的小煤坑里的煤运出来的生意。

他仍然爱他的母亲，但已经大约两年没和她说话了。他的条件是：她要承认虐待，承担责任，并且能和他谈这件事。她花了一年时间打电话咒骂他和他的妻子，之后就没了声音。Denise 已经断绝联系十年了，那是在她酗酒、自杀未遂之后，而他当时并不知情。她曾经说，她一直以为会有人来救他们。他下意识地回答，他知道没有人会来。他认为，两个人的路就是从那一刻分开的。Denise 成了一名老师，是个好母亲，只是心里满是愤怒。他则继续走下去。他的妻子后来告诉他，这是东肯塔基男人的老套路：他踏进犯罪，是为了让 Denise 不必去踏进。

Fridman 念出了 Johnson 自己列出的清单：一家人想给房子换屋顶，他骗走了几千美元的银币；一张伪造的银行本票让一名受害者被捕；他对身边所有人撒谎。一个名叫 Script 的乌克兰同伙曾发布过一张照片，照片上的男人因欠债被绑架、遭到拷打。Max Butler 曾向对手的邮箱里塞满儿童色情图片，然后报了警。Johnson 的坦白很直接：他不在乎受害者，他只在乎自己。那位银币女士是后来才出现的：那时 ShadowCrew 已经在 2004 年 8 月登上了《福布斯》封面，而 10 月 26 日，特勤局在六个国家、六个小时内逮捕了 33 人。他是公开报道中被说成跑掉的那个人。他需要现金，于是说服一位单身母亲，以货到付款的方式，凭一张伪造的银行本票寄来 80 到 90 磅银币。她告诉他，这笔钱是拿去换屋顶的。他根本不在乎。

他说，自己是在童年时就学会社会工程的。大人们喜怒无常，要活下去，就得读懂他们，再把他们拨弄到自己想要的方向。他认识的那些顶尖网络罪犯，也是很小就学会了这套工具，之后又拿去对付陌生人。Fridman 指出其中的矛盾：要知道别人在想什么，需要极强的共情；而一旦用上这种能力，就必须对对方的痛苦无动于衷。Johnson 认为，这与其说是反社会人格，不如说是一种自我辩解。他告诉自己，他这么做是为了家人，为了妻子，为了那个脱衣舞娘女友，而他真的相信了这些说辞。在网上，骗子先用伪造的号码、伪装的网站和域名营造可信感，然后用一个能调动情绪的故事，让受害者凭感觉行动。很多时候，骗子并不需要编什么复杂的剧情。他只要把对方本来就想相信的东西喂过去，然后用几秒钟看清什么在驱动对方。

他的团伙是最早一批做钓鱼攻击的人。当时几乎没人见过这类邮件，所以一封邮件就能套出完整的身份档案，而不只是一个密码。他们拿到了大约 20 万个 E-Trade 账户的信息，包括登录名、社会安全号、出生日期和母亲的婚前姓氏。E-Trade 几乎没有像样的风控，他们在四到六个月里把钱转了出去。提现被锁之后，他们仍然握着这些账户，又去拉抬股价，为了几千美元，毁掉了一些退休人员的账户。E-Trade 的态度是，这不是公司的问题，是客户自己交出了密码。他说，同样的态度今天仍能在 Zelle 诈骗中看到。商业邮件诈骗（BEC）是更成熟的版本：鱼叉式钓鱼盯上公司高管，冒充其口吻，骗工资部门去改收款账户。规模越大的组织，越容易中招，因为责任已经分摊出去了。

Johnson 坚持认为，网络犯罪在技术上并不复杂。他反复提到一个数字：90% 的攻击用的是已知漏洞。零日漏洞确实存在，但指望靠它赚钱的罪犯会饿死。真正的功夫在社会工程，以及把各个环节串起来。Fridman 问到一起针对 QNAP 设备的勒索软件攻击，也问到人们动不动就把责任推给厂商的习惯。Johnson 不同意把无能当作犯罪。他家里有一份 130 页的集体诉讼材料，记录了他所理解的 SolarWinds 如何多年来隐瞒漏洞、敷衍审计人员。他的观点仍然是，犯罪的责任只属于攻击者。犯蠢不是犯罪，但严重的疏忽可能构成犯罪，他认为即使 SolarWinds 不是窃贼，也负有责任。

他解释，SolarWinds 位于成百上千家公司安全体系的底层，包括其他安全公司，它能提供整个环境的快照。一个俄罗斯团伙闯了进去，可以看到每一个客户的情况：IP、邮件、通信、机密，如果涉及微软的软件，甚至能看到源代码。他说，那是一场无法挽回的噩梦。更长远的危害在于，攻击者现在可以逐行翻查源代码，寻找新的零日漏洞，这打开了一个过去很少见的攻击面。他把伊朗、朝鲜、中国和俄罗斯列为四个主要玩家，巴西等国也有兴趣。他说，俄罗斯擅长与像他过去那样的罪犯合作：拿走情报，让他们去卖其余的东西。中国主要想要知识产权。朝鲜则是为了钱，偷走了大量比特币，因为它几乎没有别的选择，而且操作的人技术很高。

真正让他害怕的，是他在 ShadowCrew 时常挂在嘴边的一句话：人们对真相的认知，比真相本身更重要。比起又一个软件漏洞，深度伪造和假新闻更让他担心，因为人与人要相处，就需要一定程度的信任。Fridman 给出了一个温和一点的框架：用类似区块链的共识机制，取代一套单一的事实版本。Johnson 认可这个方向，但话题很快又绕回他自己是怎么走到这一步的。他说，ShadowCrew 的起源故事，要从爱情讲起。

为了凑结婚的钱，他伪造了一场车祸。那辆车是他在拍卖会上花大约 500 美元买下的雪佛兰 Spectrum。那天，他的表弟 Ronnie 拔掉了一颗牙，没有打麻药，也没有缝合，为的是让伤势看起来逼真。然后，他们假装去看望 Johnson 的母亲，回来的路上把车冲下山坡。保险公司赔了钱。他在社区大学认识了 Susan，六个月后就结了婚。为了让她不用工作，他在利盟（Lexmark）一周上三班，每班 18 个小时。在他看来，爱就是昂贵的礼物和掌控：他做饭、打扫，还要扛着每周 60 小时的工作，加上 18 学时的课程。总得有一样要放下。于是他辞了工作，重新做起电话推销诈骗，卖墓地、卖 Shriners 的门票，后来又用偷来的电话名单卖 Kiwanis 的食品篮，直到有一次敲开了一个警察的门。因诈骗在县监狱关了三个月后，夫妻俩回到哈扎德。岳父母家里有一台惠普台式机，他在那里发现了 eBay。

最早是些小额空头支票，用来买外州的音响。后来有一天晚上，《Inside Edition》介绍了一只宝蓝色的大象玩偶 Peanut，那是豆豆娃（Beanie Baby），在 eBay 上卖到 1500 美元。他翘了课，跑遍了肯塔基州的 Hallmark 门店也没找到。他最后花 8 美元买了一只灰色的小象，又买了 Rit 染料，想把它染成蓝色。结果涤纶布料泡进染缸，出来像长了癣一样。于是他找了一张真品 Peanut 的照片挂到 eBay 上，一个女人赢了拍。他马上让对方处于防守位置：我们以前没做过生意，我甚至不确定能不能信任你。为了保护我们双方，你去买两张美国邮政汇票，共 1500 美元。她什么也没问，就照做了。他兑现了汇票，把那只染坏的大象寄了出去。对方打来电话，他说：女士，你订的是一只蓝色大象，我寄给你的是一只偏蓝的大象。她一直打电话，他不接。他由此学到了网络罪犯几乎都会学到的第一课：只要把受害者拖得够久，很多人会气得甩手走人，再也不会去向任何人投诉。

他列出了人们咽下这口气的原因：疲惫，被问“你为什么要点那个链接”的羞耻，以及错综复杂的管辖权。地方警察让你去找联邦，金额太小不立案，联邦又让你去找地方，州里又说要去案发地。他没有就此停下，学会了隐藏身份，卖过盗版的世嘉土星和 PlayStation 光盘，接着是改装芯片、有线电视机顶盒，后来又给 RCA 卫星 DSS 卡重新编程。一位加拿大法官裁定，那里的公民可以盗接信号，理由是 RCA 没有在加拿大销售这套系统。PayPal 也在这时兴起。一夜之间，一批小作坊冒了出来：他们花 100 美元在百思买买下一套设备，在停车场里把硬件丢掉，改好卡后寄到加拿大，每套收 500 美元。他一周能赚 3000 到 4000 美元。后来他想，为什么非要把订单都做完？加拿大的客户不会来投诉。他早就知道，人是不会去投诉的。于是他开始收了钱却不发货。PayPal 早期对自身安全毫无概念，钱直接进了他名下的银行账户，每周 4000 到 6000 美元。他开始害怕，觉得必须洗钱，最直接的办法就是弄一张假驾照，用别人的身份开户，再从 ATM 里取现。他说，ShadowCrew 后来的第一原则是：所有犯罪都应该从身份盗用开始。

他不知道去哪里弄假驾照。两周后，他找到一个自称 Fake ID Man 的人开的网站，有模有样，还有用户评价。他寄去 200 美元和照片，结果被骗了，正是他惯用的那套信任把戏，反过来用在了自己身上。那时，网络犯罪者大多聚在 IRC 里，那是个无从核实身份的滚动聊天室。他转而找到 Counterfeit Library，一家卖假学位的网站，论坛几乎没人用。他每天在上面发帖，痛骂这次被骗的经过。随后，洛杉矶的 Mr. X 和萨斯喀彻温省 Moose Jaw 的 Beelzebub 也出现了。争论了几周，Beelzebub 通过 ICQ 找上他，说能做驾照。Johnson 不想再付钱，Beelzebub 说，这一行不信人就干不成：付 200 美元，证件一定寄到。两周后，一张俄亥俄州的驾照寄到了，持证人是 Steven Schwake，一个真实存在的人，Johnson 说此人至今仍在 ADP 工作。在当时，那是他见过的最漂亮的东西。现在回头看，它也只能说还过得去。

Beelzebub 说得没错，关键在信任。Johnson 说，成功的网络犯罪需要三个环节同时成立：获取数据、实施犯罪、变现。一个人几乎不可能全部做完。卖数据的人手里有个人信息、卡号、改号电话和远程桌面，却往往不会把钱套现，也不懂怎么洗钱。地域和技能把工作切开了，所以你必须依赖那些在你的短板上比你强的人。Counterfeit Library 大约有两三千名会员，做 eBay、PayPal 和证件的生意。Johnson 成了网站上唯一的评测员，因为他自己什么都不卖，一条好评就能让别的卖家发财。后来，乌克兰垃圾邮件发送者 Dmitry Golubov 琢磨，会不会有人愿意买被盗的信用卡信息。他在敖德萨召集了大约 150 名罪犯，推出了 CarderPlanet。Johnson 称之为现代信用卡盗刷的起点。东欧那边的欺诈太猖獗，银行把卡都停了，连正常的卡也没法套现。Golubov 有数据，也能作案，但没办法把钱揣进口袋。

一个自称 Script 的乌克兰人在公开论坛上发帖，说他的渠道能让人买到想要的东西。他说，只要提供收货地址，等五个工作日，想买什么都能买到。会员们以为他是警察。作为评测员，Johnson 很害怕。第一次测试在戴尔买了 5000 美元的货，失败了。Script 请求再给一次机会。第二次，在 Thompson's Computer Warehouse 买了 4000 美元，又在戴尔买了 5000 美元，成功了。Johnson 发了评测，一夜之间，这个站点就从 eBay 和 PayPal 的聚集地变成了信用卡盗刷论坛。对老手来说，卡不在场的消费欺诈每月能带来 3 万到 4 万美元，买笔记本再转手就能赚到。Script 和像 Roman Vega 这样的人也卖伪造的实体卡。Beelzebub 后来回去种大麻了，Mr. X 在赌场套现时被捕，于是 Johnson 坐到了金字塔的顶端。在这里，他给你评测，你就能赚钱；他不评，你就做不成生意。

磁条有三条磁道。第一条是持卡人姓名，会显示在收银员的屏幕上。第二条是卡片数据：卡号、一个斜杠，再加一段 16 位的校验算法，这是唯一会发出去做验证的数据。第三条没有用到。他们的窍门是在十张卡上分别写入十组不同的数据，每张卡的第一条磁道都写上同一个假驾照的名字，这样屏幕上的身份对得上，银行看到的却是另一个号码。之后，乌克兰人发现没有哪家银行真正实现了第二条磁道的校验，斜杠后面写上任意十六位数字都能通过。再配上钓鱼得来的真实 PIN，这张卡就能在 ATM 上取钱。他们管这叫 CVV1 漏洞。卡不在场的消费欺诈，原本每月能赚 3 万到 4 万美元，如今变成了每天 3 万到 4 万美元。乌克兰人仍然没法变现，美国这边便拿走四成，其余的钱经西联汇款、预付卡、e-gold 和 Liberty Reserve 转回去，最后用上了加密货币。执法部门的 IP 也开始毫无遮掩地冒出来。一名 T-Mobile 的内部人员泄露过帕丽斯·希尔顿（Paris Hilton）的通讯录，还把洛杉矶特勤局关于 ShadowCrew 调查的短信也倒到了论坛上。站在金字塔顶端的 Johnson 觉得，这事不会有好结局。

他利用手里的多个数据库，找到可以冒用的身份信息，并借用已故者的身份申报退税。这门生意每周能带来 16 万美元，他一共干了十个月。他说，当时不同机构之间的记录并不互通。社会保障金需要本人到场面谈，他过不了这一关，退税则不需要。他每次拿到的退税大约 3000 美元，一天要忙上十个小时。之后几天，他会把钱取出来。他说，一个双肩包能装下 15 万美元面额为 20 美元的钞票。每张 20 美元的钞票重一克，这也是联邦探员估算一整托盘现金的办法。钱多到堆满了客房，他不得不开始学洗钱。

洗钱的路子包括经营现金生意、开影视制作公司、汽车美容店，甚至想过开快餐车。资金经过美国、墨西哥和加拿大的账户，最后落在爱沙尼亚。《爱国者法案》之后，可疑交易报告的门槛降低了，他又用更多账户和预付卡来周转资金。2005 年 2 月 8 日，他被捕。最后一份资产查封通知是 2010 年才收到的。暴力也随着钱进来了。ShadowCrew 的规矩是：不做儿童色情，不做假钞，不碰毒品。真正被遵守的只有第一条，而且连这一条也有 Max Butler 那样的例外。Script 有钱到可以买下他在乡间开车时看中的庄园，还通过家族关系与乌克兰有组织犯罪相连。他在论坛上发了一组照片，讲一个男人被撞进面包车里，正在遭受酷刑。Johnson 第一反应是这是演戏，第二反应是那是真的。他跟妻子开玩笑说，要是能拿到那个有 8000 个比特币的人的访问权限，就可以用锤子敲他的脚趾。他说这是玩笑，但也承认，手里有那么多钱，他可能会被说服。他说，罗斯·乌布利希（Ross Ulbricht）本来不是个暴力的人，但手握 2400 万美元的比特币时，他以为自己雇了杀手。Johnson 把动机分成三类：地位、现金和意识形态。他手下的人全都是为了现金，而乌布利希属于意识形态驱动。包括后来运营丝绸之路 2 号的人在内，这类人要难停得多。

Johnson 说，ShadowCrew 真正留下的，是一套信任机制：几周后仍能检索的论坛帖子、担保、评价、托管，以及一个有分量的网名。与此同时，有关作案手法的实时资讯也一直存在，它与这套信任机制并行，两者至今都在发挥作用。后来又出现了两项发明，改变了整个环境。Tor 浏览器由美国海军设计，目的是让特工匿名通信，直到今天，军方仍是它的主要出资方；它后来公开了源代码，电子前哨基金会（EFF）也曾资助它，对外的叙事就变成了防火墙和吹哨人。有人忘了，最早采用匿名转账技术的，总是犯罪分子。2005 年到 2006 年初，Johnson 仍在特勤局眼皮底下作案，那时特勤局的一份备忘录提醒大家留意 Tor。他们装上试用，发现根本没法用，太慢了，因为几乎没人在用它。几年后，中本聪提出了比特币，罗斯·乌布利希（Ross Ulbricht）拿来就用，丝绸之路只接受比特币。Johnson 说，加密货币最早的用途，是一件没人愿意承认的事：有人想买大麻，需要一种付钱的办法。

论坛壮大之后，他开始分包工作。Kim Taylor 找到一个技术高手，网名是 CumbaJohnny，后来改名 Scarface，真名是 Albert Gonzalez。Gonzalez 在新泽西的一台 ATM 前白天站了 40 分钟，直到街对面两个警察一直盯着他。他戴着假发，被问在做什么时当场崩溃，立刻提出要为特勤局工作。在数字世界面前，Johnson 对当时的特勤局评价很刻薄：他们简直是一群白痴。Gonzalez 得向他们解释什么是 VPN，他们觉得这主意不错。Johnson 之前已经看到了特勤局的内部短信，也看到了没有遮掩的机构 IP。他在 2004 年 4 月 15 日宣布退出，放弃了每周 16 万美元的收入，因为他知道这事不会有好结局。他不知道 Gonzalez 已经被捕。Gonzalez 回到论坛后，封禁了所有怀疑他的人，并宣布今后所有交易都必须经过一个 VPN。这个 VPN 是特勤局运营的。四五个月里，特勤局记录下了约 700 万美元的交易流水。《福布斯》在 2004 年 8 月把 ShadowCrew 做成封面，标题是《谁在偷你的身份》。10 月 26 日，特勤局在六个国家、六个小时内逮捕了 33 人。Johnson 当时在南卡罗来纳州的查尔斯顿，从新闻里看到了这一切。公开报道说，他是那个跑掉的人。另一个漏网的是网名 Tron 的人，他几乎能不受限制地进入美国银行的系统。乌克兰警方得知美国人已经在路上，便开车过去告诉他快跑。他逃到南美，之后自由了六七年。

让他彻底失去耐心的，是一出闹剧。他们曾为内布拉斯加州因支票诈骗而被通缉的 David Thomas（网名 El Mariachi）凑过钱。Johnson 给他找了份活，又找来乌克兰朋友 Big Buyer，出资在华盛顿州的伊萨夸（Issaquah）设立了一个办公室，分工是：Big Buyer 下单，货寄到办公室，由他们收货、挂到 eBay 上卖，五五分成。第一单是 outpost.com 的 1.8 万美元订单，是该网站有史以来最大的一单，货到了。随后，在丹佛 Tattered Cover 书店当店员的 Kim Taylor 也赶了过来。他 46 岁，网名叫 Jason Bourne，自认是个狠角色，开着一辆 Saturn 去伊萨夸分一杯羹。他们喝了一整夜酒，把行规抛在了脑后。Big Buyer 又在同一地址下了第二单，1.7 万美元。Outpost 已经知道第一单有问题，直接打电话给伊萨夸警察，警方让他们先寄几个空箱子过来。Taylor 走进去取件，被捕了。Thomas 逃跑，在州际公路上被抓，身上有三张假驾照和一张真的，又因为内布拉斯加的通缉令无法保释。Taylor 获得保释后躲到犹他州，整天嗑摇头丸，直到房东让他搬走。Johnson 把他介绍给丹佛的另一支队伍，Taylor 却把那些人也害得被捕了。Johnson 让剩下的管理员封禁他，自己也就此离开。他说，网络犯罪往往不会在法庭上结束，因为做这件事的成千上万人里，绝大多数从来没有被抓。它结束于你成为了什么样的人。他二十年没有朋友，只有同伙。他对妻子撒了九年的谎，直到妻子离开。Jonathan James 未成年时曾让 NASA 瘫痪了六周，后来与 Gonzalez 合作，结果被推出来顶罪，最后开枪自杀。Evolution 市场的运营者偷走了约 2400 万美元，其中很大一部分来自乌克兰的有组织犯罪，其中一人被发现时，尸体在海滩上，没有头，也没有手。一个被 Johnson 骗走 900 美元的人给他发邮件，说猜他一定是需要钱，那就留着吧。Johnson 说起这件事，至今仍会起鸡皮疙瘩。

Susan 离开之后，他从黄页上找了一位犯罪心理学家，四个月里一直被劝去做房地产。然后，34 岁的他走进查尔斯顿的一家脱衣舞俱乐部 Joe's Roundup。此前他从没碰过毒品，也从没进过这种地方。他一下子就被第一个登场的舞娘 Elizabeth 吸引住了，花 400 美元开了一瓶 Korbel 香槟，聊了两个小时。她读的是宗教学。他把她接过来同住。她常常早上十点、十一点才回家，连车都开不了。他翻她的包，找到了可卡因，又在一个论坛上看到有人讲她为了买毒品去卖淫，他坐在那里哭。他从没告诉她自己知道卖淫的事，只告诉她，他不能接受毒品。那天他留下一封信放在枕头上：我爱你，如果你停不下来，等我回来时，你就别待在这里了。她当晚就戒掉了毒品，也辞了工作。他决定，让她远离毒品的办法是花钱：每周在晚餐上花 300 到 600 美元，买 1000 美元的鞋和 2000 美元的包，而那时大部分现金都已经转到了爱沙尼亚。ShadowCrew 被端掉之后，他没法再靠报税行骗，也不敢相信卡圈里的任何人，于是转而用伪造的银行本票行骗，其中包括用一张伪造的本票，在 eBay 上买下一枚价值 2 万美元的三克拉蒂芙尼戒指。婚礼定在 2005 年 2 月 26 日。2 月 8 日早上 8 点，他出门去取戒指，大约 11 点半在一次受控交付中被捕，停车场里有大约 30 名探员。特勤局在 45 分钟内接管了案子。当晚，他签署了搜查豁免书，好让自己能见她一面。探员们把房子翻了个底朝天，从她手腕上拿走一块手表，戒指留下了，并且问她他的真名。保释金是 30 万美元。三个月里，她来探视过两次。当时他觉得自己才是受害者。现在他说，她是真的爱过他，后来发现他是个混蛋。

两名新泽西的特勤局探员把他从牢房里提出来，说他们拿到了他的笔记本电脑，问他能不能为他们做点什么。他说，只要能让他回到 Elizabeth 身边，他什么都愿意做。探员们又把他关了三个月，让他尝尝滋味。之后，妹妹 Denise 付了保释金，把保释金降到了 1000 美元。Denise 曾因为他和脱衣舞娘交往而和他断绝关系。那天晚上 11 点，Elizabeth 乘着一辆加长轿车赶到，把两大塑料箱他的衣服扔在地上，抱了他一下，说回头再联系，然后就开车走了。他身上只剩 30 美元，第一晚的旅馆钱是那位探员垫付的。探员一走，他就去沃尔玛买了一张预付借记卡，回到房间后又开始做报税欺诈。他向 Elizabeth 承诺，自己会被聘为顾问。他们搬到了南卡罗来纳州的哥伦比亚市，那里是特勤局外勤分局所在地。他的正式工作是每天花四到六个小时，用一台接了外线的笔记本，连着墙上一块 50 英寸的等离子屏幕，给屋里的两名特勤局探员和一名州执法人员讲解网络犯罪是怎么运作的。头两个星期，大家都很认真。之后，看他快速工作让他们觉得无聊，他们开始在电脑上看色情片。他们每晚仍然用键盘记录器、Spectre Pro 和 Camtasia 录下所有操作，刻成一摞摞光盘。他赌他们不会去看那些光盘，于是十个月里，他在特勤局的办公室里继续作案。

他与 Elizabeth 的关系，也毁于信任。她曾对一个朋友说，他是唯一一个要求她戒毒的男人；她还对他说，如果不嫁给他，她这辈子都不会结婚。据他所知，她至今没有结婚。后来他们又开始去俱乐部，她喝醉后提议说，如果他让别人给他口交，那会很好笑。他把这当成了终点，转而去找另一个舞娘，并告诉她关系结束了。他教会了 Sean Mims 报税欺诈，还叮嘱他，如果 Johnson 失踪了，就别跟他联系。Johnson 重新上线的第一天，Mims 就找上了他。2006 年 3 月，Mims 成了“滚石行动”（Operation Rolling Stone）的目标。探员们冲进 Mims 的公寓，那套房子里铺着他花 3 万美元买来的意大利石材，但前一晚他已经叫了 U-Haul 把东西全部搬走。探员要求他测谎，问他有没有跟别人联系，有没有在办公室之外用过电脑，有没有接触媒体，或者向目标人物通风报信。那时他正和《纽约时报》的记者坐在一起。他没有通过测试，保释被撤销了。探员 Jim Ramone 和 Bobby Kirby 是他至今仍然认为很好的人，他们曾一次又一次地给他机会。多年后，他为让 Kirby 和另一名探员被开除而道歉。Kirby 告诉他，他们当时真的是他的朋友。Johnson 说他在努力做一个更好的人，Kirby 说，他一直都是，只是他自己不知道。撤销保释一周之后，法官裁定撤销保释的程序不当，保释恢复了。没有人通知特勤局。Johnson 就这么走了出去。

他打电话给一位曾收到他约 6 万美元的舞娘，在奥古斯塔向对方借了 1000 美元，承诺两周后还 3000 美元，然后沿 I-20 公路一路向西开，没有目的地。在达拉斯，他用社会工程手段，在没有出示任何执照、也没有付款的情况下，让一家预付卡供应商把 60 张卡交了出来。他靠这些卡套现获利约 16 万美元，买了一辆吉普切诺基。计划是攒够钱，去巴西的弗洛里亚诺波利斯安顿下来。又过了四个月，他的钱累计约 60 万美元，来到拉斯维加斯，前一晚刚从 ATM 里取出 16 万美元，第二天一早就在 cardersmarket.com 上看到了自己的真名。他对自己说，你已经上了美国头号通缉名单，接下来怎么办？他给出的答案是去迪士尼乐园。他开车去了奥兰多，买下迪士尼和环球影城的年票，用 12900 美元现金买了环球大道旁一套未装修的分时度假房，又花 3 万美元添置家具，还花钱把之前被扣押的一批 DVD 收藏全部买了回去，价值约 3 万美元。此后大约六周，他每天都泡在游乐园里。

他们是用一台“触发鱼”（triggerfish）找到他的，这种设备如今叫 Stingray，即黄貂鱼。2006 年 9 月 16 日，星期六，上午 10 点半左右，他透过猫眼什么也没看到，开门后发现走廊里站着 Bobby Kirby、另一名南卡罗来纳州探员，还有一名橘郡警察。Kirby 问屋里有没有东西。Johnson 说卧室里有 12 万美元，接着又说有一把 AK-47，看着 Kirby 的脸色变白，然后他说自己在开玩笑。接下来的转运被称为“柴油疗法”：从奥兰多到哥伦比亚市要花两周，途中每一座县监狱都要做六个小时的收押，刚在铺位上躺下，就又被叫走。一个名叫 Yeti 的狱友告诉他，联邦刑期能减免的只有毒品项目。Johnson 不吸毒，所以每到一站，他都谎称自己有酒精和可卡因依赖。心理医生问他每天吸多少，他说每天一个八球（eight ball），借用了《不羁夜》（Boogie Nights）里一句关于勃起的台词。这些都写进了量刑前报告。检察官大吼说，Johnson 操纵了特勤局、操纵了政府，现在又在操纵法庭，要求按量刑指南的最高标准判刑。Johnson 之前已经跟狱友说过，他不会在监狱里待超过 60 个月。法官判了 75 个月，只建议他去做毒品评估。他告诉律师，别想上诉了，把他送去营地就行。家人找了一个没有围栏的营地，最后把他送到了肯塔基州的阿什兰。那里有 14 英尺高的围栏，顶上是刀片刺网。

他要求去围墙外面干活，拒绝了国有森林的工作，选择了园林绿化。两天后，办公室的墙上挂上了一张放大的航拍图，把整个监区和周围的地形都标得清清楚楚。他的父亲 Ray 多年来一直沉默，在宣判那天站起来，说可以让 Brett 出狱后住在自己家，之后又开始来探视。第三次探视时，Ray 说他在网上看到了关于那笔钱的报道，问 Brett 能不能教别人怎么做。Johnson 以前觉得这是在利用他。现在他觉得，那是他们之间唯一能说的话。他答应了，条件是父亲给他最后的 4000 美元现金、一套换洗衣服、一部手机和一张驾照。Ray 手里唯一的驾照，就是 Brett 自己的那张。在绿化队里干了六到八周，他是最卖力的人，有一次被安排扫山坡，他就把整座山都扫了一遍。之后他跑了。两三个星期后，法警在列克星敦把他找到了，离营地大约 250 英里。他把头发染成了火红色，晒得很黑，但他不得不用那张真驾照，因为那是他唯一有的。一名法警经过敞开的窗帘，退了回来，敲了敲玻璃，指了指门。之前的量刑前报告，连同毒品的内容，又随他进入了越狱的量刑程序。法官拒绝考虑尚未起诉的身份盗用证据，说他在吸毒之前是个相当不错的公民，判了 15 个月，外加毒品项目。毒品项目还要一年，之后还有半年的过渡教习所。算下来，他因越狱比原定时间早了三个月出狱。代价是八个月的单独监禁，关在 6 乘 9 英尺的小房间里。

单独监禁的第一个月，没有书、纸和笔，后来才发了一本钦定版圣经。他每天睡 16 到 18 个小时。规定说每天放风一小时，实际上一周能有一小时就不错了，洗澡一周两次，打电话一个月一次。头一周，他在牢房里来回撞墙。之后他慢慢适应，把伊丽莎白、母亲，以及所有事都想了一遍。他被送到得克萨斯州的大泉（Big Spring），那是一座改建的空军基地，热得电台会提醒司机，别在快要化掉的路面上开车。他在那里学到，监狱实际上是由犯人管的。雅利安兄弟会的司库 Nick Sandifer 在门口迎他，先问进来了多少白人，再问他犯的是什么罪。Johnson 笑着说：计算机犯罪。在监狱的行话里，“计算机犯罪”通常指儿童色情，真正的卡商都这么说。头一个月，大家都在观察他。后来，《连线》（Wired）杂志的一篇封面报道送进了监区，作者是 Kevin Poulsen，Johnson 曾就 Max Butler 的事接受过他的采访。文章点名他是特勤局的线人。典狱长问他觉不觉得安全。说不安全，就要再关八个月禁闭，所以他说很安全。第二天，Sandifer 躺在床上看那本杂志，Johnson 走过去替他翻到那一页。Sandifer 早就知道了。规矩是：只要 Johnson 告发过的那些人还没到，他们就没事。但 Sandifer 需要他帮个忙。

联邦监狱里每个人都有工作。Johnson 每周三晚上六点到八点半教一门文学课，整个监区都有人报名，偶尔还有狱警过来看一眼。他们其实不学文学，学的是诈骗，他也因此没有挨揍。他的另一份工作，是在白人新犯人下车的时候，把他们分门别类：哪个是抢银行的，哪个是性犯罪的。他要对那些人讲清楚：你们的罪名是什么，现在告诉我，你就没事；要是瞒着，被那些人发现了，就会被杀。恋童癖、强奸犯，以及伤害过儿童或女性的人，在监狱里处于最底层：这些人不能开口，不能看电视，活动范围只限图书馆，交往只能限于同类，遭人勒索也只能忍着，什么都不敢说出去，否则就是死路一条。他在服刑期间，亲眼见过两起杀人案、三次骚乱，以及四起自杀。两起杀人都发生在傍晚的娱乐时间，跑道一圈三分之一英里。人群像鸟群一样朝门口涌去，而一个犯人正把另一个人的头往水泥地上砸。狱警要等十五分钟才会过来，因为狱警自己也可能受伤。之后整个监区封锁，每个人依次走进一个房间，只回答两个问题：你看见什么了吗？如果看见了，你会说吗？两个答案都是没有。在里面多待一会儿的人，就会被当成嫌疑人。他告诉 Fridman，监狱的运转靠的就是信任，和 ShadowCrew 的运转一样。

他在监狱里待了五年半。一位名叫 Keely 的辅导员想让犯人接受教育，买了一门打折的博弈论课程，有人告诉她，如果有谁懂这门课，那就是 Johnson。Johnson 讲起囚徒困境来头头是道，还教过公开演讲。在被告知 Keely 无法帮他转监的一周后，他就坐上了去福特沃思的大巴，进入为期九个月的住宿式毒品项目。这个项目每天 24 小时做认知行为疗法，跟毒品几乎没什么关系。他说，这是能发生在他身上最好的事，但前提是他自己选择去用它。Denise 与他断绝了关系，之后却在他越狱被捕后开了七个小时的车过来，探视的十分钟里，她对他说，她爱他。之后五年半，他再也没见过她。这是他转变的第一步。但直到在监狱里待了两年半，他才承认，自己犯罪的原因，既不是为了妻子，也不是为了脱衣舞娘女友，他只是想做，于是就做了。2011 年他出狱，缓刑三年，期间不许碰电脑。德勤想让他去英国负责一个网络犯罪办公室；一家做钓鱼防御的公司也想要他；快餐店的岗位要用到终端，餐厅服务员要接触信用卡。他一样都不能干。

靠食品券过活，还要分摊房租，他能养一只叫 Monster 的猫，却买不起厕纸，只好在巴拿马城海滩上顺手牵羊。一位朋友替他在 Plenty of Fish 婚恋网站上挂了资料。米歇尔（Michelle）给他留言，看了他那些阴沉的监狱照片，问他为什么不笑。他回复说：这就是我的笑脸。他搬进她那里，是因为自己的住处快撑不下去了。他在 Craigslist 上找到一份园林工的活，雇主是 Dustin DeRamus。通话二十分钟后，对方问他是不是在逃，因为他看起来不像是干这行的人。Johnson 把一切都告诉了他。DeRamus 从周五想到周日晚上，才问他，真的会干活吗？Johnson 保证自己会拼命干，第二天早上六点就到了。他每天推十个小时割草机，一周五天，一周 400 美元，干完回家倒头就睡。DeRamus 的兄弟退出后，DeRamus 想让他入伙。但他已经找到了另一份工作，给油田培训做销售，每周 1500 美元，他也按规定告诉了对方自己的犯罪史。那边的人打电话来说，不能雇用他了。DeRamus 那边已经换了人。米歇尔上班时，他觉得自己没用，就告诉自己至少能往家里带点吃的，于是在暗网上用偷来的卡订购食品。后来他又去偷衣服，给她的两个儿子穿。他因为一笔食品订单被捕，那单是米歇尔并不知道的。量刑那天，米歇尔对法官说，他对她的两个儿子，比他们的亲生父亲还要好。缓刑官和检察官都说，这只是一次性的。法官判了一年；缓刑官请求判一年零一天，这样就能算表现良好，减刑出狱。他实际服刑十个月。那时他才知道，米歇尔想要的是他这个人，而不是他能买来的东西。他们结了婚。缓刑结束，他终于又可以碰电脑了。

他仍然不能去卖车：贩毒的人有时还能干这行，身份盗用的人却不行。他清楚自己的触发点在哪里。他在 LinkedIn 上给匹兹堡的 FBI 探员 Keith Mularski 发了消息，对方参与过他的案子。他说自己尊重对方的工作，也想走合法的路。Mularski 两小时后就回复了，给了他推荐人、建议，还愿意为他撑腰。身份盗用委员会的负责人也这样做。卡不在场交易的行业组织请他去演讲，微软则请他做咨询。他说，微软请他做这件事之后，行业里的人才逐渐放心和他打交道，他的路从那时起便顺畅了。Fridman 问，该如何对付网络犯罪。Johnson 的第一条经验是，人不能同时侍奉两个主人。如果你爱的人沉迷于犯罪、毒品或赌博，那份成瘾就排在最前面，直到对方决定改变；你还得知道什么时候该离开。另一面是，他之所以能转身，是因为有人愿意冒险给他一次机会。他确信，如果没有 Mularski、Denise、Michelle，还有最早那几家公司，他很可能会再回去，一待就是二十年。

在防守问题上，他的看法几乎有些平淡。企业总想象有一匹独狼在作案，却不理解罪犯之间分享信息有多自由。隐私和竞争让企业彼此封闭，做不到这一点。九成攻击用的是已知漏洞，早已编目在册，并不是 SolarWinds 那种级别的事件。打补丁，更新系统，别再假装某一款产品就是一站式的解决方案。市面上有 7500 家供应商，很多都是卖安慰剂的，包括 RFID 防盗钱包在内，他很少见到罪犯那一侧真正利用这类产品。要提高犯罪成本，让小偷去挑下一个目标。要报案。他见过财富 50 强的公司付钱给内鬼，签保密协议，把案子压下来，风险收益比因此没有任何变化。他喜欢白帽测试，前提是诚实面对真实存在的问题。他还曾在 LinkedIn 上猛烈抨击 ID.me。他说，这家公司本质上是营销公司，却包装成身份验证公司，被国税局、社会保障局、退伍军人事务部，以及约 23 个州的失业救济办公室采用。他说，他在一定程度上让它丢掉了一份 8600 万美元的国税局合同。问题不只是一家私营公司的政策难看。真正的症结在于，公民本可以获得政府服务，却被迫把完整的身份资料交给一家私营公司，而对方还拿去做营销。即便去掉所谓的个人身份信息，只要保留生物特征和浏览记录，仍然可以把一个人从人群里单独挑出来。他笑着说，Brett Johnson 居然成了隐私倡导者。

他的家人担心卡特尔的暴力，也担心暗网毒品市场里如今已经固化的暴力。他觉得自己可能离得太近，反而感觉不到，而他后来的名声，正是靠点名公司、个人和团伙建立起来的。他对年轻人说，想赚钱、想测试系统，甚至想绕开一些规则，都没问题，只要不违法；但要让自己的人生是帮人的，而不是伤人的。他走进匡蒂科（Quantico）时，看到一些聪明的年轻人放弃了市场上的高薪，因为他们相信自己是在帮助别人，而他自己却用整个职业生涯去伤害别人，这一点让他深受触动。对他来说，希望在于：真正糟糕的时候，人们仍然会团结起来，对不公站出来。伊丽莎白让他戒掉了追新闻的习惯，他现在明白了，她为什么从来不看新闻。关于人生的意义，他的回答与他讲的安全建议是一回事：每个人都只顾自己，而解决安全问题的唯一办法，是每个人都替别人看着点。他做过很多卑劣的事，也不打算改变，因为他喜欢现在的自己，并且觉得自己终于在做应该做的事。Fridman 以 George R. R. Martin 的一句话作结，大意是：好事洗不掉坏事，坏事也抹不去好事，两者各自都该有自己的回报。