Часть 2
Открыли один black box — получили другой
После доклада Asier Moneva про экспериментальный cybercrime market из зала задали довольно простой вопрос:
Обычно у нас есть black box offender behavior: мы знаем, что человек совершил преступление, но не видели непосредственно, как он принимал решения и как разворачивался crime commission process. Эксперимент Asier и коллег переворачивает ситуацию. Теперь исследователи прекрасно видят поведение: куда человек зашёл, что проверил, какие команды вводил, пытался ли обойти защиту или получить persistence в системе.
Но откуда мы знаем, что все эти люди — преступники?
Особенно те самые beginners, которые зашли, немного исследовали машину и не продемонстрировали сложного offending behavior. Это вполне может быть cybersecurity researcher. Журналист. Любопытный программист. Или, в конце концов, полицейский.
Ответ Asier был прекрасен своей простотой:
«We don't know».
Исследователи попытались максимально увеличить вероятность того, что к ним придут именно criminally inclined users: рекламировали фальшивый market только на подфорумах реальных криминальных рынков. Но это всё равно ничего не гарантирует. Security researcher тоже может читать такой форум. А спросить посетителя: «Простите, а вы настоящий преступник?» — по понятным причинам невозможно.
Получается очень красивый методологический обмен.
При интервью мы лучше знаем, кто перед нами, но видим преступное поведение через его ретроспективный рассказ.
В эксперименте мы непосредственно наблюдаем, что человек делает, но хуже знаем, кто именно это делает и с каким намерением.
Открыли один black box — появился другой.
Но в конце обсуждения выяснилась ещё одна прекрасная деталь про сам эксперимент.
Когда команда только собиралась запускать fake cybercrime market, computer scientists, с которыми они работали, предсказывали ему очень короткую жизнь. По их оценке, примерно через два дня посетители поймут, что перед ними fake, сайт раскроют или атакуют — и эксперимент закончится.
В реальности market спокойно проработал пять месяцев.
И закрыли его вовсе не потому, что киберпреступники разоблачили исследователей. У исследователей просто закончились деньги.
Поддержание экспериментальной инфраструктуры и сбор данных обходились примерно в 600–700 евро в месяц. В какой-то момент бюджет исчерпался — и market пришлось закрыть самим.
Причём были признаки того, что окружающие воспринимали его вполне всерьёз. Кто-то предложил исследователям business partnership и долю от прибыли. Администраторы криминальных форумов предлагали купить premium space для рекламы market. Сам Asier предположил, что эксперимент мог продержаться так долго именно потому, что площадка была новой и небольшой: она не представляла угрозы другим market actors и просто не была достаточно важной, чтобы кто-то специально занялся её разоблачением.
#EUROCRIM2026 #Cybercrime #CyberCriminology #ResearchMethods #DigitalMethods #CrimeScripts #ExperimentalMethods #EmpiricalCriminology #LEADLab
Открыли один black box — получили другой
После доклада Asier Moneva про экспериментальный cybercrime market из зала задали довольно простой вопрос:
Обычно у нас есть black box offender behavior: мы знаем, что человек совершил преступление, но не видели непосредственно, как он принимал решения и как разворачивался crime commission process. Эксперимент Asier и коллег переворачивает ситуацию. Теперь исследователи прекрасно видят поведение: куда человек зашёл, что проверил, какие команды вводил, пытался ли обойти защиту или получить persistence в системе.
Но откуда мы знаем, что все эти люди — преступники?
Особенно те самые beginners, которые зашли, немного исследовали машину и не продемонстрировали сложного offending behavior. Это вполне может быть cybersecurity researcher. Журналист. Любопытный программист. Или, в конце концов, полицейский.
Ответ Asier был прекрасен своей простотой:
«We don't know».
Исследователи попытались максимально увеличить вероятность того, что к ним придут именно criminally inclined users: рекламировали фальшивый market только на подфорумах реальных криминальных рынков. Но это всё равно ничего не гарантирует. Security researcher тоже может читать такой форум. А спросить посетителя: «Простите, а вы настоящий преступник?» — по понятным причинам невозможно.
Получается очень красивый методологический обмен.
При интервью мы лучше знаем, кто перед нами, но видим преступное поведение через его ретроспективный рассказ.
В эксперименте мы непосредственно наблюдаем, что человек делает, но хуже знаем, кто именно это делает и с каким намерением.
Открыли один black box — появился другой.
Но в конце обсуждения выяснилась ещё одна прекрасная деталь про сам эксперимент.
Когда команда только собиралась запускать fake cybercrime market, computer scientists, с которыми они работали, предсказывали ему очень короткую жизнь. По их оценке, примерно через два дня посетители поймут, что перед ними fake, сайт раскроют или атакуют — и эксперимент закончится.
В реальности market спокойно проработал пять месяцев.
И закрыли его вовсе не потому, что киберпреступники разоблачили исследователей. У исследователей просто закончились деньги.
Поддержание экспериментальной инфраструктуры и сбор данных обходились примерно в 600–700 евро в месяц. В какой-то момент бюджет исчерпался — и market пришлось закрыть самим.
Причём были признаки того, что окружающие воспринимали его вполне всерьёз. Кто-то предложил исследователям business partnership и долю от прибыли. Администраторы криминальных форумов предлагали купить premium space для рекламы market. Сам Asier предположил, что эксперимент мог продержаться так долго именно потому, что площадка была новой и небольшой: она не представляла угрозы другим market actors и просто не была достаточно важной, чтобы кто-то специально занялся её разоблачением.
#EUROCRIM2026 #Cybercrime #CyberCriminology #ResearchMethods #DigitalMethods #CrimeScripts #ExperimentalMethods #EmpiricalCriminology #LEADLab