19岁“心理学大师”落网不敲代码只靠“嘴炮”他如何卷走全球1亿美元此前报道现年19岁、拥有美国和爱沙尼亚双重国籍的公民彼得·斯托克斯Peter Stokes因涉嫌多项网络犯罪被正式起诉。调查人员指出他是国际臭名昭著的网络犯罪组织“散落蜘蛛”Scattered Spider在安全圈内也被称为“章鱼风暴/Octo Tempest”或“0ktapus”的核心成员。他在黑客圈内曾使用“花束”Bouquet和“乔丹”Jordan等化名而微软安全研究人员在对其进行长期追踪时曾使用内部代号“斯宾塞”Spencer。屡屡得手的社会工程学攻击根据法庭案卷记录该组织其中一起关键事件发生在2025年5月一家大型珠宝和奢侈品零售商舆论普遍认为是以蒂芙尼公司为代表的巨头遭到黑客攻击。据调查人员称攻击者利用高超的社会工程学手段欺骗了该公司的IT支持人员并成功获得了两名IT管理员的账户访问权限。黑客随后下载了至少77GB的敏感数据并索要约800万美元的加密货币赎金。虽然该零售商的安全团队最终成功将黑客从网络中“驱逐”出去并未支付赎金但由于业务中断和后续的紧急调查费用此次攻击仍然给公司造成了至少200万美元的严重损失。第二起事件则涉及2023年3月对一家大型在线通讯平台根据公开信息披露很可能是Discord的入侵。调查人员认为斯托克斯及其同伙共同商议并协调了对该平台内部支持系统的渗透导致大量用户消息和个人数据外泄。隐蔽的VPN与致命的Windows GDID据调查人员称彼得·斯托克斯在行骗和发动攻击时极度依赖VPN代理和远程基础设施来隐藏其真实IP地址和网络痕迹。然而他忽视了现代操作系统的底层机制——包括在线服务遥测数据和GDID全局设备标识符在内的微软大数据最终帮助FBI将这些攻击设备与斯托克斯的真实身份锁死在一起。微软威胁情报分析师此前在分析涉案恶意软件时发现其背后的操控者正是化名为“Spencer”的黑客。微软在一份技术报告中指出与“Spencer”身份相关的在线服务遥测数据表明他密切参与了这些攻击且该化名高度指向居住在爱沙尼亚塔林的彼得·斯托克斯。到了2024年微软的一份技术报告让这起案件迎来了关键突破——全局设备标识符GDID号g:6755467234350028成为了核心铁证。在Windows生态系统中GDID是一种持久的设备级标识符旨在特定Microsoft服务和场景下唯一标识某一次Windows系统的安装除非重新彻底格式化并纯净安装系统否则该ID将保持不变。斯托克斯犯了一个极其业余且致命的黑客错误他使用同一台电脑在完全相同的GDID标识下同时进行网络黑客攻击和日常私人活动。漏洞百出的安全意识与“数字自杀”联邦调查局FBI特工阿里·萨迪克Ali Sadiq指出这台GDID从未改变的设备被微软遥测系统定期记录。例如数据表明该设备曾被用于创建名为“ngrok”的内网穿透账户并访问了纽约帝国酒店的官网。调查人员随后根据匹配的IP地址将斯托克斯个人的Facebook和Snapchat账户登录信息与该设备关联起来——这些日常社交服务的访问地址与黑客基础设施的地址完全吻合且均发生在同一个24小时内。更为讽刺的是斯托克斯在入住帝国酒店期间还在社交媒体上高调发布了酒店房间内部的度假照片。众所周知Windows操作系统上的多项内置服务会定期通过遥测技术与微软服务器交换数据。当斯托克斯自以为开启VPN就能高枕无忧时他的网络流量虽然被加密但他的设备依然在源源不断地与微软服务器进行底层通信。根据案卷记录微软能够精准地将这一GDID标识符与对特定第三方攻击URL的请求关联起来。这得益于科技巨头拥有的庞大数据湖。虽然没有安全专家会去手动监控普通人但面对“散落蜘蛛”这种系统性攻击微软Azure云客户端的重大威胁其威胁情报部门会全面启动遥测数据溯源并与联邦情报机构共享技术细节。不仅如此此案的另一条致命线索是有人曾使用这台设备登录了育碧旗下的网络游戏《Growtopia》私人账号。爱沙尼亚互联网服务提供商提供的IP地址与该苹果账号及游戏账号的登录信息在两分钟内完全重合。这无疑演变成了一场黑客界的“名场面”这名年轻人一边使用着商业Windows操作系统部署勒索软件一边在同一台设备上联机打游戏、发布奢华度假自拍。这种毫无操作安全OpSec意识的漏洞百出对于一名面临顶级情报机构通缉的网络罪犯来说无异于一场清醒的“数字自杀”。正是依赖GDID技术在线索上的闭环FBI特工成功证明了被黑客入侵的企业网络、Scattered Spider的服务器基础设施以及彼得·斯托克斯本人身份之间的铁证关联最终收网。奢华生活的终结与正义裁决2025年12月法院正式对斯托克斯发出逮捕令。2026年4月芬兰当局在赫尔辛基机场拦截了正试图登上飞往日本航班的斯托克斯并将其成功拘留。在随后的搜查中警方从其随身物品中查获了多部电子设备和两块2TB的加密硬盘。在对其使用的远程服务器进行取证时警方发现了DragonForce 勒索软件的底层聊天记录其中有同伙抱怨勒索分成并声称自己已通过该项目赚取了超过100万美元。在此之前斯托克斯过着极其奢华的“数字游民”生活频繁出入美国、爱沙尼亚、法国、意大利、西班牙、德国和泰国并长期下榻曼谷华尔道夫或纽约四季酒店等顶级奢华酒店。但出来混终究要付出代价。目前斯托克斯面临的联邦指控核心可归结为以下几项重罪▪️ 共谋对美国实施网络犯罪。▪️ 未经授权访问受保护的计算机以获取经济利益。▪️ 故意破坏及入侵计算机系统。▪️ 利用电子通讯手段进行大规模金融诈骗。▪️ 以泄露被盗敏感信息为威胁进行巨额敲诈勒索。2026年6月底芬兰当局完成了所有法定的跨国引渡程序将犯罪嫌疑人正式押解至美国芝加哥。在Dirksen联邦法院举行的首次庭审中鉴于其极高的逃匿风险与社会危害性法官当庭下令将其继续羁押不得保释。这名19岁的年轻人将面临漫长的法庭审判若数罪并罚且全部按最高顶格判罚其面临的法律最高刑期总计可达65年。具体刑期将在后续的庭审辩论中由联邦法官根据其涉案金额和最终定罪情况做出公正裁决。
19岁“心理学大师”落网不敲代码只靠“嘴炮”他如何卷走全球1亿美元此前报道现年19岁、拥有美国和爱沙尼亚双重国籍的公民彼得·斯托克斯Peter Stokes因涉嫌多项网络犯罪被正式起诉。调查人员指出他是国际臭名昭著的网络犯罪组织“散落蜘蛛”Scattered Spider在安全圈内也被称为“章鱼风暴/Octo Tempest”或“0ktapus”的核心成员。他在黑客圈内曾使用“花束”Bouquet和“乔丹”Jordan等化名而微软安全研究人员在对其进行长期追踪时曾使用内部代号“斯宾塞”Spencer。屡屡得手的社会工程学攻击根据法庭案卷记录该组织其中一起关键事件发生在2025年5月一家大型珠宝和奢侈品零售商舆论普遍认为是以蒂芙尼公司为代表的巨头遭到黑客攻击。据调查人员称攻击者利用高超的社会工程学手段欺骗了该公司的IT支持人员并成功获得了两名IT管理员的账户访问权限。黑客随后下载了至少77GB的敏感数据并索要约800万美元的加密货币赎金。虽然该零售商的安全团队最终成功将黑客从网络中“驱逐”出去并未支付赎金但由于业务中断和后续的紧急调查费用此次攻击仍然给公司造成了至少200万美元的严重损失。第二起事件则涉及2023年3月对一家大型在线通讯平台根据公开信息披露很可能是Discord的入侵。调查人员认为斯托克斯及其同伙共同商议并协调了对该平台内部支持系统的渗透导致大量用户消息和个人数据外泄。隐蔽的VPN与致命的Windows GDID据调查人员称彼得·斯托克斯在行骗和发动攻击时极度依赖VPN代理和远程基础设施来隐藏其真实IP地址和网络痕迹。然而他忽视了现代操作系统的底层机制——包括在线服务遥测数据和GDID全局设备标识符在内的微软大数据最终帮助FBI将这些攻击设备与斯托克斯的真实身份锁死在一起。微软威胁情报分析师此前在分析涉案恶意软件时发现其背后的操控者正是化名为“Spencer”的黑客。微软在一份技术报告中指出与“Spencer”身份相关的在线服务遥测数据表明他密切参与了这些攻击且该化名高度指向居住在爱沙尼亚塔林的彼得·斯托克斯。到了2024年微软的一份技术报告让这起案件迎来了关键突破——全局设备标识符GDID号g:6755467234350028成为了核心铁证。在Windows生态系统中GDID是一种持久的设备级标识符旨在特定Microsoft服务和场景下唯一标识某一次Windows系统的安装除非重新彻底格式化并纯净安装系统否则该ID将保持不变。斯托克斯犯了一个极其业余且致命的黑客错误他使用同一台电脑在完全相同的GDID标识下同时进行网络黑客攻击和日常私人活动。漏洞百出的安全意识与“数字自杀”联邦调查局FBI特工阿里·萨迪克Ali Sadiq指出这台GDID从未改变的设备被微软遥测系统定期记录。例如数据表明该设备曾被用于创建名为“ngrok”的内网穿透账户并访问了纽约帝国酒店的官网。调查人员随后根据匹配的IP地址将斯托克斯个人的Facebook和Snapchat账户登录信息与该设备关联起来——这些日常社交服务的访问地址与黑客基础设施的地址完全吻合且均发生在同一个24小时内。更为讽刺的是斯托克斯在入住帝国酒店期间还在社交媒体上高调发布了酒店房间内部的度假照片。众所周知Windows操作系统上的多项内置服务会定期通过遥测技术与微软服务器交换数据。当斯托克斯自以为开启VPN就能高枕无忧时他的网络流量虽然被加密但他的设备依然在源源不断地与微软服务器进行底层通信。根据案卷记录微软能够精准地将这一GDID标识符与对特定第三方攻击URL的请求关联起来。这得益于科技巨头拥有的庞大数据湖。虽然没有安全专家会去手动监控普通人但面对“散落蜘蛛”这种系统性攻击微软Azure云客户端的重大威胁其威胁情报部门会全面启动遥测数据溯源并与联邦情报机构共享技术细节。不仅如此此案的另一条致命线索是有人曾使用这台设备登录了育碧旗下的网络游戏《Growtopia》私人账号。爱沙尼亚互联网服务提供商提供的IP地址与该苹果账号及游戏账号的登录信息在两分钟内完全重合。这无疑演变成了一场黑客界的“名场面”这名年轻人一边使用着商业Windows操作系统部署勒索软件一边在同一台设备上联机打游戏、发布奢华度假自拍。这种毫无操作安全OpSec意识的漏洞百出对于一名面临顶级情报机构通缉的网络罪犯来说无异于一场清醒的“数字自杀”。正是依赖GDID技术在线索上的闭环FBI特工成功证明了被黑客入侵的企业网络、Scattered Spider的服务器基础设施以及彼得·斯托克斯本人身份之间的铁证关联最终收网。奢华生活的终结与正义裁决2025年12月法院正式对斯托克斯发出逮捕令。2026年4月芬兰当局在赫尔辛基机场拦截了正试图登上飞往日本航班的斯托克斯并将其成功拘留。在随后的搜查中警方从其随身物品中查获了多部电子设备和两块2TB的加密硬盘。在对其使用的远程服务器进行取证时警方发现了DragonForce 勒索软件的底层聊天记录其中有同伙抱怨勒索分成并声称自己已通过该项目赚取了超过100万美元。在此之前斯托克斯过着极其奢华的“数字游民”生活频繁出入美国、爱沙尼亚、法国、意大利、西班牙、德国和泰国并长期下榻曼谷华尔道夫或纽约四季酒店等顶级奢华酒店。但出来混终究要付出代价。目前斯托克斯面临的联邦指控核心可归结为以下几项重罪▪️ 共谋对美国实施网络犯罪。▪️ 未经授权访问受保护的计算机以获取经济利益。▪️ 故意破坏及入侵计算机系统。▪️ 利用电子通讯手段进行大规模金融诈骗。▪️ 以泄露被盗敏感信息为威胁进行巨额敲诈勒索。2026年6月底芬兰当局完成了所有法定的跨国引渡程序将犯罪嫌疑人正式押解至美国芝加哥。在Dirksen联邦法院举行的首次庭审中鉴于其极高的逃匿风险与社会危害性法官当庭下令将其继续羁押不得保释。这名19岁的年轻人将面临漫长的法庭审判若数罪并罚且全部按最高顶格判罚其面临的法律最高刑期总计可达65年。具体刑期将在后续的庭审辩论中由联邦法官根据其涉案金额和最终定罪情况做出公正裁决。
