从 dump 到钓鱼工具包：数据泄露资料转售链条的内幕
当一家公司确认发生数据泄露时，头条新闻总是聚焦于有多少条记录被盗。更值得追问的是接下来发生了什么，因为被盗数据几乎从来不会从丢失它的服务器直接流向最终使用它的罪犯，而是沿着一条有自己专业分工的转售管线向下流动：拿走第一批副本的掮客、合并 dump 的聚合商、为原始数据行添加价值的充实商、把同样的材料换个名字重新打包的转售商，以及最终消费成品的钓鱼工具包和自动登录工具的运营者。
第一笔交易
刚被盗的数据库在最初几天最值钱。在网络犯罪论坛上，卖家可以面向一个或少数几个为独占性付费的买家做私下交易，也可以开公开帖一份份出售副本。场所的重要性没有新手想象的那么大。Flashpoint 的数据泄露交易时间线展示了这一模式：Raid Forums 在其创始人于 2022 年 1 月被捕后倒下，Breach Forums 取而代之，其管理员又在 2023 年 3 月被捕，随后包括 Exposed、PwnedForums 以及由 ShinyHunters 支持的重启站点在内的一批继任者争夺同一门生意，其间一度泄露了包含 478,870 条 Raid Forums 用户记录的数据库。 查封打击的是分销渠道，而不是库存。数据本身会在每一次平台崩塌后幸存并迁移到下一个平台，这就是为什么查封公告很少意味着材料就此消失。通常在灯光熄灭之前，数据已被复制了很多次。先聚合，再充实
原始 dump 难以使用：格式不一、重复项多、密码哈希强度参差。聚合商把材料规范成邮箱-密码对，SpyCloud 指出 combolist 通常合并了多次企业数据泄露的资料。充实环节才是利润率所在。转售商可以把账号密码对拿到真实登录上测试哪些仍然有效；通过地址匹配把同一个人的账号在不同服务之间串联起来；从不相干的泄露中补充电话号码或通信地址；再把记录与带有 Cookie 和会话令牌的信息窃取木马（infostealer）日志配对。每一步都把一行原始数据变成买家可以直接据此行动的东西。 定价反映了这种加工。Securelist 对约二百条暗网论坛帖子的分析发现，stealer 日志按大宗交易：有卖家出售 2020 至 2021 年间共计 2 TB 的材料，同一研究中还有买家出价五十美分收购一条附有支付卡的有效账号，最低订购量为 150 行。未分拣的数据很便宜；经验证的数据按命中计价。"犯罪分子往往在最初下载 combolist 的多年之后，仍会尝试撞库攻击。他们知道用户经常忘记重置密码。" - SpyCloud Labs
改标签与重新打包
同一批数据行可以卖出远不止一次。旧 dump 以"全新"为标签重新出现在合集中；文件被改名、按国家或行业拆分、破解成明文，或并入订阅式的更新流。买家几乎看不到数据来源，标签大多只意味着"对这个卖家来说是新的"。重新打包之所以有效，是因为底层弱点持续存在：SpyCloud 测得 2021 年遭遇数据泄露的用户中存在 70% 的密码重用率，在财富 1000 强员工中这一比例为 64%，因此多年前事件的账号密码对至今仍能打开现用账号。价格衰减曲线
被盗数据像易腐商品一样表现。当泄露还独家时价格高企，随着副本扩散、数据中仍然有效的部分不断缩水，价格随之下滑：受害者重置密码、网站强制更换凭据、支付卡被注销。Securelist 发现大多数企业访问权报价低于 5,000 美元，大公司的访问权通常在 2,000 至 4,000 美元之间，而批量消费者凭据以每行几美分的价格易手。让旧数据在商业上保持生命力的是规模加复用。即便有效率很低，摊在极庞大的列表上也足够自动化工具用上多年，所以这条管线里的任何东西都不会被扔掉。链条可以在哪里被切断
管线的每一环都有防御侧的对应手段，而成本最低的干预位于使用端而非源头：- 验证并重置：将登录信息与泄露数据库比对，一旦密码出现在已知 dump 中就强制重置，让旧 combolist 在门口就失效，而不是等待一场只会改变场所的查封。
- 第二因素与 passkey：无论输入的是新鲜日志还是十年前的 dump，它们都能钝化管线的最终产品，因为单靠一个被重用的密码不再足够。
- 核实数据的日期，而不是帖子的日期：大量泄露炒作其实是把多年前的旧事重新打包，因此对"最新"标签保持怀疑，在回应一次泄露之前先核实日期。
- 盯住掮客层：监控自己组织的域名和员工地址是否出现在聚合数据库中，可以在材料向下游流转时提供早期预警。