2023年冬天，俄罗我蹲在一个俄语黑客论坛的斯黑注册页面，盯着验证码里扭曲的客网西里尔字母发呆。那是俄罗个卖被盗信用卡数据的站点，首页挂着“今日上新：4721条”的斯黑滚动横幅，像超市促销。客网管理员ID叫“Snegir”——俄语里是俄罗“红腹灰雀”的意思，挺文艺，斯黑干的客网却是把别人银行账户掏空的买卖。

这类网站远不止一个。俄罗它们有个松散的斯黑行话叫“кардерский форум”，直译是客网“刷卡客论坛”。你不需要懂技术，俄罗只要会填表单、斯黑会复制粘贴，客网就能花几美元买到一套完整的他人身份信息：姓名、地址、社保号、信用卡正反面照片。卖家甚至贴心地附上“使用教程”，教你如何绑定Apple Pay去线下店买iPhone，再转手卖出套现。

我观察过其中一个站点的“信誉体系”。每个卖家头像旁挂着彩色徽章，绿标代表“交易超过500笔，争议率低于2%”。买家留言区像淘宝评价：“货很干净，秒过”“客服回复慢，但卡能用”。有人抱怨买到的卡被银行风控拦截，底下立刻有“老鸟”支招：“别用美国IP，挂德国节点，先刷一笔小额咖啡测试。”——整套流程比很多正经电商的售后还细致。

俄罗斯黑客的“专业分工”让人印象深刻。写恶意软件的、洗钱的、做钓鱼页面的、专门破解双重验证的，各占各的板块。有个叫“Тёмный”（黑暗）的子论坛，只对邀请码用户开放，里面讨论的是如何绕过俄罗斯银行的3D Secure验证。他们用俄语夹杂英语术语，偶尔蹦出几句粗口，讨论技术细节时却异常冷静，像一群工程师在调试设备。

执法难度大得离谱。服务器架在不受引渡条约保护的国家，支付用加密货币，沟通靠加密聊天。2022年有个叫“Try2Check”的信用卡验证平台被美国财政部制裁，结果不到三个月，原班人马换了个域名重新上线，界面都没改。FBI发过通缉令，照片里的小伙子们穿着运动服在莫斯科咖啡馆喝咖啡，表情松弛得像在等外卖。

但别以为他们只盯着欧美。俄罗斯本土用户同样被收割。有个叫“Блекджек”（黑杰克）的论坛，专门骗新手“黑客”——交200美元培训费，教你“入侵银行”，实际上发你一套过时的钓鱼模板，钱一到手就拉黑。黑吃黑在这行当里是常态，没人报警，因为报警等于自首。

我翻过其中一个站点的“新闻区”，置顶帖写着：“2024年重点：攻击移动端银行App，安卓比iOS好搞。”底下跟了三百多条回复，有人分享用恶意APK劫持短信验证码的案例，有人贴出某欧洲银行App的漏洞截图。语气平淡，像在讨论怎么修水管。

这些网站的存在本身就是一个信号：网络犯罪已经工业化。有客服、有质保、有用户评价体系，甚至还有“季度促销”。你不需要是天才，只需要一点贪念和一台能上网的电脑。而防御方——银行、执法机构、普通用户——永远在追赶。一个漏洞补上，三个新漏洞冒出来。这场猫鼠游戏没有终点，只有不断升级的版本号。

离开那个论坛前，我看了眼在线人数：1437人。凌晨三点，莫斯科时间晚上十点。他们大概刚泡好茶，准备开始一天的工作。