2013年，漏洞犯罪一位安全研究员在推特上发了一张照片：一台ATM机的漏洞犯罪屏幕上显示着“请选择金额”，而旁边插着一根USB线。漏洞犯罪他用一根线、漏洞犯罪一个键盘，漏洞犯罪让机器吐出了现金。漏洞犯罪这不是漏洞犯罪电影桥段，是漏洞犯罪真实发生的漏洞利用。漏洞犯罪，漏洞犯罪说白了，漏洞犯罪就是漏洞犯罪有人把系统里的一个小裂缝，撬成了自己的漏洞犯罪提款机。

很多人以为黑客都是漏洞犯罪天才，敲几行代码就能攻破银行。漏洞犯罪实际情况往往更“土”。漏洞犯罪2016年孟加拉国央行被窃8100万美元，攻击者没用什么零日漏洞，他们只是拿到了SWIFT系统的操作员凭证，然后伪造转账指令。漏洞不一定是代码写错了，也可能是流程里少了一道验证，或者某个员工点了一封钓鱼邮件。犯罪者像水，专找墙缝流。

我跟踪过几个暗网论坛的帖子。有人卖某电商平台的“漏洞利用包”，标价500美元，附赠教程视频。视频里连命令行都不需要，双击一个exe，输入目标网址，等三秒，数据库里的用户手机号、地址、订单记录就全下载下来了。买家留言问：“能用来搞退款吗？”卖家回：“随便，别搞太大。”这种低门槛化让漏洞犯罪从技术圈扩散到了普通犯罪团伙。以前需要懂汇编，现在只需要会点鼠标。

漏洞犯罪有个特点：犯罪者往往比厂商更早发现漏洞的价值。厂商觉得“这个问题不影响核心功能”，犯罪者看到的是“这里能绕过支付验证”。2017年，一个智能门锁的漏洞被公开：蓝牙协议里有个重放攻击缺陷，攻击者可以录下开锁信号，等主人出门后再播放一遍。厂商回应说“物理接触才能利用”，拒绝修补。三个月后，某小区连续发生入室盗窃，作案手法完全吻合。漏洞不会自己犯罪，但犯罪者会等在那里。

法律追责也麻烦。漏洞犯罪常常跨地域：一个俄罗斯人写利用工具，一个巴西人买去攻击美国服务器，数据卖给东南亚的诈骗团伙。每个环节都隔着好几层代理和加密货币。FBI破获过一起案子，主犯在罗马尼亚，但受害者遍布12个国家，最后只判了三年。犯罪成本低，收益高，漏洞就成了黑市的硬通货。

有个做渗透测试的朋友跟我说，他给某政务系统报了一个SQL注入漏洞，厂商拖了两个月没修。他按规矩在漏洞平台公开了细节，结果第二天就收到律师函，说他“危害计算机系统安全”。而真正的攻击者呢？早就在他公开前利用这个漏洞爬走了三万条公民信息。漏洞犯罪里，白帽子和黑帽子的界限，有时候取决于厂商什么时候修。

要减少这类犯罪，光靠打补丁不够。得让漏洞的发现者愿意交给厂商，而不是卖给黑市。得让厂商知道，一个不修的漏洞，最后可能变成法庭上的证据。也得让普通人明白，你手机里那个没更新的APP，可能就是别人眼里的后门。漏洞是技术问题，但漏洞犯罪是人的问题——有人选择修，有人选择偷。