Tại sao chúng tôi lại làm điều này miễn phí. Tại sao điều đó lại quan trọng. Và điều đó giúp chúng tôi làm được những gì mà người khác không thể.
"Tại sao anh lại làm việc này miễn phí vậy?"
Đó là câu hỏi mà chúng tôi thường xuyên nhận được. Từ các nhà báo. Từ các nhà nghiên cứu an ninh. Từ những kẻ lừa đảo đang cố tìm hiểu đối thủ của mình. Từ những người thực sự không thể hiểu nổi tại sao ai đó lại dành hàng năm trời để xây dựng cơ sở hạ tầng tình báo về mối đe dọa mà không khai thác nó để kiếm tiền.
Vậy đây là sự thật — không qua lọc, có phần khó chịu, và chính xác là điều mà có lẽ bạn không ngờ tới.
Có một điều mà hầu hết mọi người thường hiểu lầm về chúng tôi: sống tự do không có nghĩa là sống cô lập.
Chúng tôi hợp tác. Chúng tôi chia sẻ công cụ. Chúng tôi hỗ trợ các dự án khác phát triển. Ngay cả những dự án có thu phí — miễn là chúng thực sự mang lại lợi ích cho xã hội và góp phần làm suy yếu hệ sinh thái lừa đảo.
Nhưng đây mới chính là điều làm nên bản sắc của chúng ta:
Chúng tôi không bao giờ thu một xu nào cho việc đó.
Tiền tạo ra sự phụ thuộc. Sự phụ thuộc tạo ra ảnh hưởng. Ảnh hưởng tạo ra sự im lặng. Sự im lặng bảo vệ những kẻ lừa đảo.
Vì vậy, chúng tôi chỉ hợp tác dựa trên những điều khoản thực sự quan trọng: Không có lợi nhuận, không có giao dịch, không có đòn bẩy tài chính, không có quyền sở hữu, không có nghĩa vụ.
Chúng tôi đã hỗ trợ các nhà nghiên cứu quy mô nhỏ trong việc phát triển các công cụ. Chúng tôi đã góp phần thúc đẩy các dự án OSINT chuyên biệt. Chúng tôi đã chia sẻ thông tin tình báo với các nhà phân tích đang phát triển các sản phẩm thương mại. Chúng tôi đã hỗ trợ các chuyên gia vận hành, nhà phát triển, nhà báo, điều tra viên độc lập — bất kỳ ai cùng chung sứ mệnh với chúng tôi.
Chúng tôi không cạnh tranh với ai cả. Bạn không thể cạnh tranh với một thứ vốn dĩ đã từ chối tham gia vào nền kinh tế ngay từ đầu.
PhishDestroy ra đời nhằm gia tăng áp lực tổng thể lên những kẻ lừa đảo, chứ không phải để thu hút sự chú ý.
Nếu một dự án khác tạo ra thứ gì đó hữu ích — thật tuyệt. Chúng tôi sẽ quảng bá cho dự án đó. Chúng tôi sẽ hỗ trợ dự án đó. Chúng tôi sẽ hướng người dùng đến dự án đó. Bởi vì mục tiêu không phải là để phát triển của chúng tôi quyền lực.
Mục tiêu là tăng cường khả năng chống lại các cuộc tấn công lừa đảo của hệ sinh thái.
Đó là lý do tại sao chúng ta mãi mãi được tự do: không phải để thể hiện đức hạnh, mà bởi vì việc không có tiền chính là vũ khí mạnh mẽ nhất trong cuộc chiến này. Nó giúp chúng ta giữ được sự trong sạch, không thể bị chi phối, không đứng về phe nào và không thể bị thao túng.
Và mọi sự hợp tác mà chúng tôi lựa chọn đều tuân theo một nguyên tắc đơn giản:
Nếu điều đó góp phần tiêu diệt lừa đảo qua email — chúng tôi sẵn sàng tham gia. Nếu điều đó đòi hỏi phải có lợi nhuận — chúng tôi sẽ rút lui.
Chúng tôi không nhận tiền vì tiền tạo ra những rào cản. Và những rào cản đó lại tạo điều kiện cho những kẻ lừa đảo.
Mọi dự án bảo mật nhằm mục đích sinh lời — từ các nhà đăng ký tên miền đến các nhà cung cấp giải pháp bảo mật, cho đến các nền tảng thông tin về mối đe dọa — đều bị hạn chế về những gì họ có thể nói và làm. Đó là thực tế của ngành này.
Bạn có biết vấn đề lớn nhất của ngành an ninh là gì không?
Số người thu được lợi nhuận từ việc này là rất ít. Đó là thực tế. Việc này tiềm ẩn rủi ro.
Có đáng sợ không? Đúng vậy.
Đó có phải là sự thật không? Chắc chắn rồi.
Và PhishDestroy, người không màng đến lợi nhuận, mới có thể đủ can đảm để nói to — chứ không phải thì thầm — sự thật khiến thế giới phải khó chịu.
Khi bạn không nhận tiền, một điều kỳ diệu sẽ xảy ra:
Không ai có thể mua chuộc được bạn. Không ai có thể đe dọa được bạn. Không ai có thể bịt miệng được bạn.
Chúng ta có thể viết sự thật như nó vốn có. Nêu tên các nhà đăng ký tên miền tạo điều kiện cho các vụ lừa đảo. Vạch trần các nhà cung cấp dịch vụ lưu trữ đang bao che cho tội phạm. Ghi chép lại những hành vi lạm dụng và sự thờ ơ có hệ thống.
Không phải chiều lòng nhà tài trợ nào. Không phải bảo vệ mối quan hệ đối tác nào. Không có nguồn thu nào có thể bị đe dọa chỉ vì nói ra những sự thật khó nghe.
Mục tiêu duy nhất của chúng tôi là tiêu diệt cơ sở hạ tầng lừa đảo. Không phải để tăng trưởng ARR. Không phải để làm hài lòng các nhà đầu tư. Cũng không phải để duy trì các mối quan hệ kinh doanh.
Dù phải đánh đổi bằng bất cứ giá nào đối với tính khả thi về mặt thương mại của dự án. Bởi vì vốn dĩ không có tính khả thi về mặt thương mại nào cần phải bảo vệ cả. Chúng ta hoàn toàn tự do gây ra thiệt hại tối đa cho bọn lừa đảo.
Hãy để tôi nêu cụ thể một ví dụ minh họa rõ ràng cho điều này:
NameSilo phớt lờ các báo cáo về hành vi lạm dụng. Họ làm vậy thật. Rất nhiều. Một cách có hệ thống. Chúng tôi có dữ liệu. Chúng tôi có các email. Chúng tôi có những báo cáo bị phớt lờ đang chất đống trong khi các tên miền lừa đảo vẫn hoạt động.
Webnic? Cũng y như vậy. NiceNIC? Chắc chắn rồi.
Họ có ghét những email của chúng ta không? Có lẽ vậy.
Liệu chúng ta có nên lên án những hành vi lừa đảo mà họ thực chất đang tiếp tay bằng cách làm ngơ, không áp dụng các biện pháp xử lý vi phạm thích hợp, phớt lờ các báo cáo, hay gửi những phản hồi tự động vô nghĩa hay không? Chắc chắn rồi.
Ban đầu, đó chỉ là một trò đùa. Thật đấy.
Bắt đầu từ năm 2019 với tư cách là một nhóm nhỏ trên Discord, chúng tôi đã cùng nhau vui vẻ phá vỡ các đường dây lừa đảo trên Steam. Đó là trolling trên quy mô lớn — Các bot tự động chống lạm dụng đã tiêu diệt hàng nghìn tên miền lừa đảo, trong khi những kẻ lừa đảo thì điên đầu cố tìm hiểu xem ai đang tấn công họ.
Chúng tôi cười khi họ bắt đầu tố cáo tên miền của nhau. Chúng tôi chứng kiến cảnh hỗn loạn ngày càng lan rộng mà không cần phải làm gì cả.
Đó là một hình thức giải trí. Nó rất hiệu quả. Nó là miễn phí.
Chúng tôi nhận ra rằng công việc của mình không chỉ là phá hủy — mà còn là giúp đỡ mọi người.
Các bản quét của chúng tôi cuối cùng đã trở thành bằng chứng trong các cuộc điều tra thực tế. Khi những kẻ lừa đảo xóa sạch mọi thứ, kho lưu trữ của chúng tôi vẫn còn nguyên vẹn. Các bản ghi URLScan mà chúng tôi đã công bố cách đây nhiều năm đang được sử dụng trong các vụ kiện tại tòa án. Các nạn nhân đã tìm thấy dữ liệu của chúng tôi và hiểu rõ những gì đã xảy ra với họ.
Điều ban đầu chỉ là một trò trêu chọc đã trở thành một điều thực sự có ý nghĩa.
Vì vậy, chúng tôi đã nỗ lực hơn nữa. Xây dựng những hệ thống tốt hơn. Phát triển trí tuệ nhân tạo (AI) có khả năng phân tích các mô hình lừa đảo. Phát triển hệ thống trinh sát tự động. Bắt đầu hoạt động ở mức độ chuyên nghiệp — đồng thời vẫn hoàn toàn miễn phí, độc lập và cực kỳ trung thực.
Và cậu biết không? Nó hoạt động được. Câu đùa đó đã phát huy tác dụng. Hành vi trolling đã trở thành nguồn thông tin tình báo về mối đe dọa ở cấp độ chuyên nghiệp. Dự án miễn phí đó đã trở thành thứ mà ngay cả các chính phủ cũng tham khảo.
Đây là công thức chiến tranh bất đối xứng giúp đánh bại bọn lừa đảo:
Tiền dành cho tên miền. Thời gian dành cho hạ tầng. Năng lượng dành cho việc bảo vệ hoạt động của họ. Hy vọng vào lợi nhuận.
Nhấn một nút. Phá hủy mọi hoạt động. Chi phí bằng không. Thiệt hại tối đa. Lặp lại vô hạn.
Các tên miền đã biến mất. Cơ sở hạ tầng bị thiêu rụi. Tiền bạc bị lãng phí. Tinh thần suy sụp vì phải chiến đấu với một kẻ thù chẳng thèm quan tâm.
Không có tốc độ tiêu hao vốn. Không có thời gian dự trữ. Không phải chịu trách nhiệm trước các nhà đầu tư. Chỉ là sự hủy diệt thuần túy và bền vững.
Họ không thể hiểu được điều này. Họ chỉ nghĩ đến lợi nhuận và lỗ. Họ tính toán tỷ suất hoàn vốn (ROI). Họ cho rằng ai cũng có giá của mình.
Chúng tôi thì không. Và chính điều đó đã đánh gục tinh thần họ trước khi chúng ta kịp động đến cơ sở hạ tầng của họ.
Vì chúng ta nằm ngoài hệ thống lợi nhuận, nên chúng ta có thể:
Chúng tôi viết những điều này như hiện tại. Chúng ta gọi những thứ đó là theo tên của họ. Chúng tôi không làm nhẹ đi ngôn từ để tránh làm tổn thương cảm xúc hay ảnh hưởng đến các mối quan hệ kinh doanh.
Liệu NameSilo có đang phớt lờ các hành vi lạm dụng hay không? Chúng tôi nói thế.
Các cơ quan đăng ký có đang kiếm lợi từ “tiền máu” không? Chúng tôi ghi chép lại điều đó.
Liệu hệ thống báo cáo lạm dụng có thực sự đã hỏng từ gốc rễ hay không? Chúng tôi sẽ chứng minh điều đó.
Mọi người luôn muốn biết lý do “thực sự”. Động lực cá nhân đằng sau việc dành nhiều năm cho việc này.
Đây rồi:
Tôi lớn lên trong một gia đình giàu có. Sống trong những môi trường đầy đặc quyền. Mọi thứ đều có sẵn theo ý muốn. Nhưng tôi đã chứng kiến một điều khiến tôi cảm thấy ghê tởm — những người giàu có nhưng lại có tâm lý như những kẻ đang đói khát. Tham lam. Hẹp hòi. Độc hại.
Sự tò mò đó đã dẫn tôi vào thế giới ngầm của những kẻ lừa đảo. Vào tâm lý của chúng. Vào cuộc sống tan vỡ và trống rỗng của chúng.
Và tôi đã nhận ra một điều cơ bản:
Những kẻ lừa đảo không nhận thức được những thiệt hại mà chúng gây ra. Chúng không nhìn thấy niềm tin bị phá hủy, những nạn nhân thực sự, cũng như những tổn hại không thể khắc phục. Thế giới của chúng trống rỗng. Động cơ của chúng cũng trống rỗng. Chúng rỗng bên trong.
Và những thứ rỗng ruột sẽ dễ dàng sụp đổ khi bạn tác động một lực vừa đủ.
Vì thế, tôi đã ở lại lâu hơn những gì họ dự kiến. Tôi đã xây dựng những hệ thống mà họ không thể hiểu nổi. Tôi đã tạo ra các quy trình tự động hóa khiến chính sự cẩu thả của họ trở thành nguyên nhân dẫn đến sự sụp đổ của họ.
Không phải vì tiền. Không phải vì danh tiếng. Mà là vì Một thế giới có ít ký sinh trùng hơn đơn giản là một thế giới tốt đẹp hơn.
Chúng tôi nhận được rất nhiều lời đề nghị. Liên tục.
Các nhà tài trợ muốn tài trợ cho chúng tôi. Các công ty muốn mua dữ liệu của chúng tôi. Các nhà cung cấp giải pháp bảo mật muốn hợp tác. Các nhà đăng ký tên miền đề xuất “cơ hội hợp tác” (tức là: mua sự im lặng của chúng tôi).
Chúng tôi bác bỏ tất cả những điều đó.
Không chỉ vì nguyên tắc — dù điều đó cũng quan trọng. Mà bởi vì Ngay khi chúng ta nhận tiền, chúng ta sẽ mất đi vũ khí duy nhất giúp chúng ta trở nên hiệu quả: khả năng nói lên những sự thật khó nghe.
Chúng tôi sẽ không bao giờ thu lợi nhuận từ công việc này.
Chúng tôi sẽ không bao giờ nương tay trong cách diễn đạt chỉ để bảo vệ lợi ích kinh doanh.
Chúng tôi sẽ không bao giờ ngừng vạch trần sự thật, bất kể điều đó gây phiền toái cho ai đi chăng nữa.
Bởi vì phải có ai đó đóng vai kẻ điên rồ trong phòng, người sẵn sàng nói ra những điều mà mọi người khác đều quá sợ hãi để thừa nhận.Đây là những gì chúng tôi thực sự đã đạt được nhờ việc duy trì sự tự do và không bị kiểm duyệt:
Các nghiên cứu của chúng tôi đã được trích dẫn trong: Các vụ việc liên quan đến chính phủ. Các thủ tục tố tụng tại tòa án. Nghiên cứu học thuật. Các báo cáo của ngành an ninh. Các bài báo trên các phương tiện truyền thông đại chúng.
Dữ liệu của chúng tôi đã góp phần: Các nạn nhân hiểu rõ những gì đã xảy ra. Các điều tra viên xây dựng hồ sơ vụ án. Các nhà nghiên cứu theo dõi các mối đe dọa mới. Ngành công nghiệp này thừa nhận những vấn đề mà họ thà làm ngơ.
Sự gây áp lực của chúng tôi đã buộc: Các nhà đăng ký tên miền sẽ cải thiện việc xử lý các hành vi lạm dụng (một cách chậm chạp và miễn cưỡng). Các nhà cung cấp dịch vụ lưu trữ sẽ đóng tài khoản. Các đơn vị xử lý thanh toán sẽ cắt đứt quan hệ với những kẻ lừa đảo. Hệ sinh thái sẽ trở nên ít khoan dung hơn một chút đối với sự cẩu thả.
Trong khi những kẻ lừa đảo tưởng rằng chúng đang đối đầu với một dự án bảo mật, thì thực tế chúng đang đối mặt với một thứ nguy hiểm hơn nhiều:
Một hệ tư tưởng không thể bị mua chuộc, đe dọa hay ngăn cản.
Chúng ta không cần phải thắng mọi trận chiến. Chúng ta chỉ cần khiến các hoạt động của chúng trở nên không thể duy trì được. Làm cho cơ sở hạ tầng của chúng trở nên mong manh. Kéo tỷ suất lợi nhuận của chúng xuống mức âm. Khiến tinh thần của chúng sụp đổ khi phải đối đầu với một kẻ thù thậm chí còn chẳng thèm phản kháng — chúng ta chỉ cần bấm nút và ngồi nhìn thế giới của chúng chìm trong lửa.
Mỗi tên miền mà chúng tôi gỡ bỏ đều khiến họ mất tiền. Mỗi báo cáo mà chúng tôi nộp đều khiến họ mất thời gian. Mỗi cuộc điều tra mà chúng tôi công bố đều khiến họ mất uy tín. Mỗi công cụ mà chúng tôi phát triển đều giúp cho hoạt động tiếp theo trở nên dễ dàng hơn.
Và điều đó khiến chúng ta phải trả giá không có gì.
Đó chính là chiến tranh bất đối xứng. Đó là lý do tại sao chúng ta chiến thắng.
Các hoạt động của các bạn chẳng có ý nghĩa gì cả.
Sự chống cự của ngươi chẳng có ý nghĩa gì cả.
Những tham vọng của bạn chẳng có ý nghĩa gì cả.
Chúng tôi đã nhóm lửa sẵn ở nơi họ sẽ bị thiêu sống.
Và với tất cả mọi người khác: đây chính là lý do tại sao chúng tôi làm điều này miễn phí.
Bởi vì sự thật quan trọng hơn lợi nhuận.
Và đạo đức quan trọng hơn các mối quan hệ kinh doanh.