有黑客正在暗网中拍卖一个据称包含9200万巴西公民详细信息的数据库，卖家声称每一条数据都是真实而唯一的。

这位卖家还推出了一项针对巴西人的搜索服务，称他们可以从海量数据中挖掘特定个人的详细信息。

出价最高者得到数据

这场拍卖在多个有访问限制的暗网网站中进行，只有有人邀请或者付费，才能参加拍卖。

[92 Million unique] records of almost every [Brazilian] citizen on sale in Underground forums. The actor also offers service to find records about any indi vidual with small initial information living in Brazil.#intelhunt #brazil #threatdiscovery #breached

— Breach Radar (@RadarBreach) September 27, 2019

根据BleepingComputer所寻找到的帖子信息，此次拍卖数据库的大小为16GB，起拍价为1.5万美元，每次竞价上涨1000美元。

而数据库卖方的匿称为X4Crow，据他表示，这些敏感数据是按省来分类，包括个人的姓名、出生日期和纳税人ID。此外该数据库还有纳税人的法律实体信息（或是登记信息）。

BleepingComputer还收到了数据库样本，能够验证个人信息的准确性，其中还包括其母亲的姓名。我们使用了巴西联邦税收网站上的CPF（个人登记信息）查询服务进行验证，该服务会提供了死者的死亡年份。

尽管卖家没有透露数据的来源，但BleepingComputer被告知这来源于一个政府数据库。X4Crow表示，它包含了9200万条唯一的记录，几乎覆盖了所有的巴西公民。

这听起来似乎不太可能，因为巴西人口在2010年超过1.9亿，预计2019年将增加到2.1亿以上。不过，其中的纳税人ID表明这些数据属于正在工作的公民。

据多项数据估计，巴西约有9300万就业人口，这进一步印证了上述理论。

搜索服务

从目前的信息来看，卖方可能还没有收到一个投标。但是，他们还开展了另一项收费服务，类似于社工库，使用者只要提供一些细节，就可得到关于某个巴西公民的详细信息。

X4Crow声称只需输入全名或是纳税人ID或是电话号码，就可以检索某个公民的其他详细数据。

除此之外，卖方还声称可能找到电话号码（移动电话和固定电话）、旧地址、电子邮件地址、职业、教育程度、可能的亲戚、邻居、车牌等。

不能保证每次查询都能得到以上所有信息，但是每次查询平均能提供上述80%的数据。

在某个暗网网站中，X4Crow表示，他们还可以提供某个公司的详细数据，售价是150美元，偶尔会有50美元的折扣。

一位独立的安全顾问告诉BleepingComputer，这项搜索服务可能只是部分依赖于他们想要出售的数据库，他们很可能还有其他的数据源。

对网络犯罪并不陌生

从的活动来看，X4Crow拥有足够多的网络犯罪知识，可以帮助其他人解决“非法需求”。从X4Crow参与的讨论来看，他似乎还提出了一些涉及到内网渗透和网络钓鱼的建议。

而X4Crow的个人资料中还列出了能提供的所有服务，包括编程、渗透测试和与恶意软件相关的建议和支持服务。不过销售数据库显然不在他们的技能范围之内，这需要知道市场的实时需求，还拟定一个合适的价格，而不是进行拍卖。

本文由白帽汇整理并翻译，不代表白帽汇任何观点和立场
来源：https://securityaffairs.co/wordpress/91867/security/outlook-web-blocked-files.html