乌克兰警方逮捕泄露Collection#1的骇客

去年1月17日，成立Have I Been Pwned网站的资安专家Troy Hunt，在部落格揭露一起宣称是史上最大规模的资料外泄事件，并命名为Collection #1，当中涉及逾7.7亿个电子邮件信箱账号，但是，这些资料的来源究竟为何？乌克兰国家安全局（Security Service of Ukraine，SBU）在5月19日，于伊凡-法兰科夫（Ivano-Frankivsk），宣布逮捕名为Sanix（又称Sanixer）的骇客，并指出他就是在去年1月，因为于网络讨论版兜售一个电子邮件帐密数据库，而引发全球资安专家关注的人。

SBU的专员指出，当时事件出现的87GB帐密资料，仅是Sanix持有的一小部分，他们发现Sanix拥有至少7个类似的数据库，档案容量接近1TB，涵盖个人或是财务账号，主要是来自于欧洲和美国。根据骇客使用Sanix这个名称，SBU认为，骇客很可能就是住在伊凡-法兰科夫的当地居民，因而展开追查，该单位也串连出整起事件之间的关连，他们在嫌犯住处查封电脑设备，内有2TB遭泄个资，并且起出19万元乌克兰格里夫纳币（UAH），以及3千美元，分别相当于新台币21万元和9万元。

乌克兰国家安全局找到当时因兜售大量电子邮件帐密，引发Collection #1事件的骇客Sanix，并在他的电脑里找到大量的电子邮件账号和密码文件。

根据乌克兰国家安全局截取的电脑屏幕画面，他们也拍下这名嫌犯的通讯软件账号，表示就是在网络上转卖大量个资的Sanix。

在Collection #1案发当时，不少资安专家调查此事，并且提供进一步资讯。例如，当时资安公司Hold Security技术长Alex Holden，就向资安部落格Kreb On Security表示，Sanix并非实际下手窃取资料的骇客，他应该只是掮客，从骇客收集到资料并加以整理后贩售。Kreb On Security也联系上这名骇客，证实这项说法，Sanix也透露，这些在当时都是超过一年以上的旧资料，而且不只有Collection #1，还有其他的外泄资料合辑。

Sanix曾经向Kreb On Security透露，他收集了多组资料，而光是Collection #1本身就涵盖了各式类型账号，如左侧树状目录所列，涵盖像是比特币类型，或者是游戏账号，也有归纳来自美国、欧洲，以及俄国的账号资料。

虽然SBU逮捕他的名义与Collection #1有关，但根据威胁情资公司Intel 471告诉Kreb On Security，Sanix被逮捕的原因，恐怕和他现在正忙于贩售各式帐密资料，让客户能远端存取大型组织的遭骇资源有关。例如，这名掮客就在本月初兜售全球近50间大学存取资料，还有美国圣贝纳迪诺-的VPN账号等。