Ubiquiti 内鬼自导自演勒索比特币，败在自家路由器
Ubiquiti 云团队负责人觉得年薪 25 万美元还不够，自导自演入侵公司、索要 25 比特币，结果被自家路由器记录的 MAC 地址锁定，判刑六年。
核心论点 · 时间戳为按文稿位置估算
主角登场：从 AWS 到 Ubiquiti
Nick 之前在 AWS 波特兰办公室做视频云服务，距离 Ubiquiti 只有一英里。2018 年 8 月他跳槽到 Ubiquiti，带领 800 人团队里的云部门。公司在招聘他前就注意到他的 AWS 技能与自己的云需求完全匹配。这个职位让他数年后成为整个云团队负责人，手握 AWS 环境、GitHub 私有仓库和 Slack 的顶级权限——这段履历正是后面内鬼攻击的前提。
年薪 25 万仍觉被亏欠
Nick 年薪 25 万美元，在 Ubiquiti 做了几年后升到云团队负责人。但工资增长停止了，他觉得自己技能稀缺、被低估。他拿自己和 CEO Robert Pera 比：两人年龄相仿，对方已经是世界上最年轻的亿万富翁之一，而自己却停在原地。这种心理失衡，加上他喜欢靠发现安全问题来出风头的习惯，让他最终想到用一场人为安全事故给自己制造表现机会。
用自己工卡当黑客
Nick 没有用后门，也没有破解任何东西。凌晨三点，他用日常上班的公司凭证登录 AWS，找到一把能解锁整个凭据库的钥匙，然后退出。两分钟后，另一个隐藏在不同 IP 后的账号出现，用的正是那把钥匙。他执行了一条 get-caller-identity 命令确认身份，然后静观一周。整个测试只证明了一件事：Ubiquiti 的权限管理违背了最小权限原则，一个员工可以自由拿到通往所有系统的钥匙，而且没人会注意到。
断网 30 分钟留下铁证
12 月 21 日他正式行动，用共享高权限 GitHub 账号通过 SSH 克隆私有仓库。就在快完成时，家里断网了。他给 ISP 打了 30 分钟电话，虽然开着 VPN kill switch，但 GitHub 日志还是记下了一个波特兰住宅 IP——与他的 VPN IP 并列。他后来修改 AWS 日志保留期、把 18 个会话嫁祸给 DevOps 同事，却不知道那个真实 IP 已经成了未来定罪的核心证据。技术上的慌乱，比黑客技术本身更决定案件走向。
25 比特币勒索自家公司
新年第一个早晨，Ubiquiti 几名高管收到匿名勒索邮件：交出 25 个比特币（当时约 200 万美元），否则公布被盗数据；再付 25 比特币，黑客会交代自己找到的后门。Nick 认为参照 CWT 付 450 万、Garmin 可能付 1000 万的先例，公司会付钱。但 Ubiquiti 市值超过 230 亿美元，200 万不够痛，而且系统里没有装勒索软件，业务没有停摆，公司选择了无视。他还通过 Keybase 向一位高级雇员展示公共文件夹里的证据，结果 Keybase 配合执法删掉了数据，勒索计划彻底失败。
VPN 藏不住 MAC 地址
取证人员一开始在 Nick 上交的公司笔记本和摄像头里一无所获。但检查他家中的 Ubiquiti 路由器时发现，攻击发生的时间段里，有一台单独的 MacBook 通过 Wi-Fi 连接了路由器，并传输了与失窃数据量相符的流量。VPN 工作在 OSI 第三层，路由器记下的 MAC 地址来自第二层，VPN 无法隐藏。这成为指向第二台电脑的钥匙。Nick 没有立刻交出这台 MacBook，而是先把它重置了，但 FBI 在 3 月 24 日持搜查令上门，仍然没收了它。
吹哨人文章砸掉 40 亿市值
被 FBI 问询后 Nick 没有逃跑或找律师，而是匿名联系记者 Brian Krebs，以吹哨人身份说 Ubiquiti 撒谎、淡化入侵，给了根权限、用 LastPass 存密码等猛料。Krebs 的文章《吹哨人：Ubiquiti 入侵是灾难性的》上线后，投资者两天抛售让股价跌 20%，市值蒸发约 40 亿美元。Nick 还向国内外监管机构举报。报复的快感很真实，但 2021 年 12 月他还是被捕，2023 年 2 月认罪三项罪名，最终被判处六年监禁。
原话 · 已逐字校验
He just wanted to be seen, to be heard, to matter.
他只想被看见、被听见、被重视。
The hacker has given Ubiquiti an ultimatum; either cough up twenty-five Bitcoin or your stolen data will be published online.
黑客给 Ubiquiti 下了最后通牒：要么交出 25 个比特币，否则被盗数据就会被公开到网上。
No BTC, he types out. No talk. We done here.
「没有 BTC。」他敲出。「不谈判。到此为止。」
We have evidence you purchased a Surfshark VPN back in July 2020
我们有证据，你在 2020 年 7 月购买了 Surfshark VPN。
Whistleblower: Ubiquiti Breach Catastrophic
吹哨人：Ubiquiti 入侵是灾难性的
The whole thing was just an unsanctioned security drill to make Ubiquiti a safer place.
整个事情只是一场未经批准的安全演练，为了让 Ubiquiti 变得更安全。
数字与实体
| Ubiquiti 团队规模 | 800 人 | 3:11 |
| Ubiquiti 2020 年股价 | 翻倍 | 6:09 |
| CWT 勒索案 | 最初索要 1000 万美元，谈判后支付 450 万 | 7:09 |
| Garmin 勒索传闻 | 被索要 1000 万美元 | 7:09 |
| Nick 的勒索金额 | 25 比特币（当时约 200 万美元）再加 25 比特币购买后门情报 | 22:46 |
| Ubiquiti 当时市值 | 超过 230 亿美元 | 22:46 |
| 刑期 | 六年监禁；2023 年 2 月认罪三项罪名 | 34:31 |
术语
- least privilege最小权限原则
- 用户只应拥有工作所需的最小权限；Ubiquiti 违反了它，内鬼因此能拿到一堆钥匙。
- VPN kill switchVPN 断线保护
- VPN 断开时自动阻断网络连接，防止真实 IP 暴露；Nick 开了它仍留下 IP。
- MAC addressMAC 地址
- 网卡硬件地址，工作在第 2 层；VPN 只掩盖 IP，掩盖不了 MAC。
收听指南
云基础设施负责人、企业安全团队，以及所有拿公司最高权限却觉得钱少的人。
开头 0:00-3:11 的三明治小偷引子与主线无关，赶时间可跳过。