艾莉森·尼克森（Allison Nixon）曾協助逮捕數十名「The Com」的成員，「The Com」是一個鬆散的線上團體，對暴力和駭客攻擊負有責任。接著，她自己也成了目標。
2024 年 4 月，一個使用線上代號「Waifu」和「Judische」的神秘人物開始在 Telegram 和 Discord 頻道上發布針對網路安全研究員艾莉森·尼克森的死亡威脅。
「Waifu/Judische（兩者都有冒犯性的含義）寫道：『Alison [sic] Nixon 很快就會被套上裝滿汽油的輪胎處死。』『腦死亡是我最喜歡的腦死亡類型，這就是 Alison Nixon 的下場。』
不久之後，其他人也紛紛加入。有人分享了尼克森的 AI 生成的裸照。
這些匿名人物之所以針對尼克森，是因為她已成為一個強大的威脅：作為網路調查公司 Unit 221B 的首席研究官（該公司以夏洛克·福爾摩斯的公寓命名），她建立了一份追蹤網路罪犯並協助逮捕他們的職業生涯。多年來，她一直潛伏在線上聊天頻道，或使用化名直接與犯罪者接觸，同時拼湊他們因粗心而洩露的關於自己及其罪行的線索。這幫助她將許多網路罪犯繩之以法——特別是那些自稱為「The Com」的無政府主義駭客的鬆散亞文化群體的成員。
但「The Com」的成員不僅僅參與駭客活動；其中一些人還對追蹤他們的研究員進行線下暴力行為。這包括砸窗（向受害者窗戶扔磚頭）和假報警（一種危險的惡作劇，謊報某人家中發生謀殺或人質情況，導致 SWAT 小組荷槍實彈地趕到）。「The Com」的一個分支「764」的成員被指控犯有更嚴重的暴力行為——包括虐待動物、刺傷和校園槍擊——或煽動「The Com」內外的人犯下這些罪行。
尼克森開始追蹤這個社群的成員已超過十年，當時其他研究員和執法部門的官員大多因為他們年輕——許多人還是青少年——而對他們不予理會。她的早期關注使她能夠制定出揭露他們身份的策略。
聯邦調查局（FBI）的特別探員瑞安·布羅根（Ryan Brogan）表示，自 2011 年他開始與尼克森合作以來，她已協助他及同事識別並逮捕了該社群的二十多名成員，並且她在揭露他們方面的技能是無與倫比的。「如果你進入了艾莉森和我關注的雷達，你就完蛋了。只是時間問題。」他說。「無論你如何運用數位匿名和情報技巧，你都完了。」
儘管她從事這項工作已超過十年，尼克森卻無法理解為何「Waifu/Judische」帳戶背後的人突然開始威脅她。她曾就「The Com」接受過媒體採訪——最近一次是在《60 分鐘》節目中——但並未談及她揭露成員身份以將他們逮捕的工作，因此這種敵意似乎是突如其來的。而且，儘管她過去曾對「Waifu」這個帳戶過去吹噓的罪行產生興趣，但在威脅開始時，他已經不在她的關注範圍內了，因為她當時正在追蹤其他目標。
現在，尼克森決心揭露「Waifu/Judische」以及其他對死亡威脅負責的人的身份——並因他們承認犯下的罪行而將他們繩之以法。「在他們對我發出死亡威脅之前，我沒有理由關注他們。」她說。
大多數人從未聽說過「The Com」，但其影響力和威脅正在不斷增長。
這是一個線上社群，由主要位於北美和英語歐洲地區的青少年和二十多歲的年輕人組成的鬆散聯盟組成，他們已成為某些人所稱的網路犯罪青年運動的一部分。
國際法律和規範，以及報復的恐懼，阻止各國全力進行網路行動。這並沒有阻止無政府主義的「The Com」。
在過去的十年裡，他們的犯罪活動已從簡單的分布式拒絕服務（DDoS）攻擊（擾亂網站）升級為 SIM 卡交換駭客（劫持受害者手機服務）、加密貨幣盜竊、勒索軟體攻擊和企業數據盜竊。這些罪行影響了 AT&T、微軟、Uber 等公司。「The Com」成員還參與了各種形式的性勒索，旨在強迫受害者自殘或錄製自己進行性行為的影片。「The Com」的影響力也已從數位領域擴展到綁架、毆打和其他暴力行為。
一位要求匿名以便繼續工作的長期網路犯罪研究員表示，「The Com」在網路領域的威脅與俄羅斯和中國相當——原因有些不尋常。
「中國願意走多遠，俄羅斯或朝鮮願意走多遠，都有極限。」他說，指的是國際法律和規範，以及報復的恐懼，這些都阻止各國全力進行網路行動。他說，這並沒有阻止無政府主義的「The Com」。
「這是一個相當嚴重的威脅，人們傾向於……將其掩蓋起來，因為他們認為這只是一群孩子。」他說。「但看看他們造成的影響。」
布羅根說，他們造成的金錢損失「會很快變得驚人」。
沒有一個單一的網站供「The Com」成員聚集；他們分散在許多網路論壇以及 Telegram 和 Discord 頻道上。該組織遵循了過去二十年來在網路上出現的一系列駭客和亞文化社群的模式，這些社群獲得了聲名，然後在主要成員被捕或因其他因素導致其衰落後消失。他們在動機和活動上有所不同，但都源於「同一片原始湯」，尼克森說。「The Com」的根源可以追溯到「The Scene」，它最初是一個從事盜版電腦遊戲、音樂和電影的各種「warez」群體的社群。
當尼克森在 2011 年開始研究「The Scene」時，其成員正在劫持遊戲帳戶、發動 DDoS 攻擊並運行 booters 服務。（DDoS 攻擊會用來自機器人控制的機器的流量淹沒伺服器或電腦，阻止合法流量通過；booters 是任何人都可以租用的工具，用於針對選定的目標發動 DDoS 攻擊。）雖然他們賺了一些錢，但他們的主要目標是名聲。
情況在 2018 年左右發生了變化。加密貨幣價值不斷上漲，「The Com」——或有時自稱為「The Community」——出現了一個最終接管了「The Scene」的子群體。成員開始專注於經濟利益——加密貨幣盜竊、數據盜竊和勒索。
兩年後的疫情期間，「The Com」成員激增，尼克森認為這歸因於社交隔離和兒童因學校而被迫轉向線上活動。但她認為經濟狀況和社交問題也推動了其增長。許多「The Com」成員由於缺乏技能或有行為問題而無法找到工作，她說。許多被捕者有著艱難的家庭生活和適應學校的困難，有些還表現出精神疾病的跡象。「The Com」提供了友情、支持和發洩個人挫折的途徑。自 2018 年以來，它還為一些人提供了解決金錢問題的方案。
該社群中湧現出鬆散的細胞組織——Star Fraud、ShinyHunters、Scattered Spider、Lapsus$——共同合作進行一系列犯罪活動。根據法庭記錄，他們通常以高調的加密貨幣玩家和科技巨頭為目標，並從盜竊和勒索中賺取了數百萬美元。
網路犯罪研究員說，即使在盈利性操作中，主導地位、權力和吹噓的權利仍然是動機，這也是為什麼成員們會以「大鯨魚」為目標的部分原因。
「有經濟利益，」他說，「但這也是在傳達一種訊息，即我可以接觸到那些認為自己是無可觸及的人。」事實上，尼克森說，一些「The Com」成員有強烈的自大動機，這最終與他們的經濟動機相衝突。
「他們的金融計劃常常因為他們的自大而破裂，而這種現象也是我賴以謀生的事業。」她說。
尼克森有著深色的直髮，戴著細框眼鏡，身材嬌小，氣質書卷氣，初次見面時，可能會讓人誤以為她還是個青少年。她語速飛快地談論著自己的工作，就像一個大腦裡充滿了急於傾瀉而出的事實的人，她散發出一種緊迫感，試圖讓大家理解「The Com」帶來的威脅。當她追蹤的某人被捕時，她會毫不掩飾地流露出喜悅。
2011 年，當她開始調查「The Com」的起源社群時，她正在安全公司 SecureWorks 的安全運營中心上夜班。該中心負責處理客戶網絡發出的工單和安全警報，但尼克森渴望進入該公司的反威脅團隊，該團隊負責調查和發布針對中國和俄羅斯等國家支持的駭客組織的威脅情報報告。沒有人脈或經驗，她沒有進入調查工作的途徑。但尼克森是一個極度好奇的人，這為她開闢了自己的道路。
威脅團隊專注於駭客對客戶網絡造成的影響——他們如何入侵，竊取了什麼——而尼克森對他們的動機和驅動他們行為的個性特徵更感興趣。她認為網路上一定有犯罪駭客聚集的論壇，於是她搜尋了「駭客論壇」，並找到了一個名為 Hack Forums 的網站。
「這真的非常簡單。」她說。
她驚訝地看到成員們在那裡公開討論他們的罪行。她聯繫了 SecureWorks 的一名威脅團隊成員，詢問他是否知道這個網站，他卻不屑一顧地說那是一個「腳本小子」（script kiddies）——一個對技術不熟練的駭客的貶稱——聚集的地方。
當時，許多網路安全專家正將重點從網路犯罪轉向國家支持的駭客行動，這些行動更為複雜且備受關注。但尼克森喜歡在別人轉向時反其道而行，而她同事的輕蔑態度反而激發了她對論壇的興趣。另外兩名 SecureWorks 的同事也分享了這種興趣，三人利用輪班的空閒時間研究這些論壇。他們專注於試圖識別運行 DDoS booters 的人。
尼克森喜歡這些論壇的原因是，像她這樣的初學者很容易進入。威脅情報團隊需要對受害者的網絡擁有特權訪問權才能調查洩漏事件。但尼克森可以在公開論壇上獲取她所需的一切，駭客們似乎認為沒有人在監視他們。因此，他們經常在操作安全（OPSEC）方面犯錯——洩漏一些個人細節，例如他們居住的城市、就讀的學校或曾經工作過的地方。這些在他們的聊天中洩露的細節，結合其他信息，可以幫助揭露他們匿名面具背後的真實身份。
「我對能夠相對容易地找出他們是誰感到震驚。」她說。
她並不介意充斥論壇的幼稚吹噓和無聊的爭吵。「很多人不喜歡做閱讀聊天記錄這項工作。我意識到這是一件非常罕見的事情。也許我的大腦構造有點奇怪，我願意做這件事。」她說。「我有一種特殊的天賦，能夠在垃圾中辨別，而且這不會困擾我。」
尼克森很快意識到，並非所有成員都是腳本小子。有些人表現出真正的創造力和「強大」的技能，她說，但由於他們將這些技能用於無關緊要的目的——劫持遊戲帳戶而不是盜取銀行帳戶——研究員和執法部門對他們不予理會。尼克森開始追蹤他們，懷疑他們最終會將技能轉向更重要的目標——這種直覺被證明是正確的。當他們這樣做時，她已經積累了大量關於他們的信息。
她繼續進行 DDoS 研究兩年，直到 2013 年發生了一個轉折點，當時以追蹤網路罪犯而聞名的網路安全記者布萊恩·克雷布斯（Brian Krebs）遭到假報警（swatting）。
安全界約有十幾個人與克雷布斯合作揭露了肇事者，尼克森受邀協助。克雷布斯將一些謎題碎片發給她調查，最終該小組確定了罪犯（儘管他花了兩年時間才被逮捕）。當她被邀請與克雷布斯和其他調查人員共進晚餐時，她意識到自己找到了同伴。
「這對我來說是一個驚人的時刻。」她說。「我心想，哇，有這麼多志同道合的人，他們只是想幫忙，而且基本上是出於對這場遊戲的熱愛。」
是色情明星為尼克森提供了下一個重要的研究焦點——這突顯了她在早期階段就能發現「The Com」的演員和犯罪趨勢的能力，在他們成為主要威脅之前。
2018 年，有人劫持了某些成人電影明星的社交媒體帳戶，並利用這些帳戶向他們的大量粉絲群發送加密貨幣詐騙。尼克森無法弄清楚駭客是如何劫持社交媒體帳戶的，但她承諾幫助這些演員恢復帳戶訪問權，如果他們同意向她展示在他們控制帳戶期間駭客發送或接收的私人消息。這些消息將她引導到一個論壇，在那裡成員們討論他們如何竊取帳戶。駭客欺騙了一些演員，讓他們洩露了其他演員的手機號碼。然後，他們使用一種稱為 SIM 卡交換的技術重置了其他明星的社交媒體帳戶密碼，將他們鎖定在外。在 SIM 卡交換中，詐騙者將受害者的手機號碼分配給他們控制的 SIM 卡和手機，以便將原本發送給受害者的電話和消息轉發給他們。這包括網站發送給帳戶持有者用於驗證身份或更改密碼的一次性安全碼。在涉及色情明星的一些案件中，駭客操縱電信工人，讓他們以為是出於合法原因進行 SIM 卡交換，而在其他案件中，他們賄賂工人進行更改。然後，駭客能夠更改演員社交媒體帳戶的密碼，鎖定所有者，並利用這些帳戶宣傳他們的加密貨幣詐騙。
SIM 卡交換是一種強大的技術，可用於劫持和耗盡整個加密貨幣和銀行帳戶，因此尼克森驚訝地發現詐騙者將其用於相對無利可圖的計劃。但當時 SIM 卡交換很少用於金融詐騙，而且與尼克森在 Hack Forums 上看到的早期駭客一樣，劫持色情明星帳戶的駭客似乎並不理解他們使用的技術的威力。尼克森懷疑情況會發生變化，SIM 卡交換很快就會成為一個大問題，因此她相應地調整了她的研究重點。詐騙者也很快轉變了策略。
尼克森這種預見未來的能力在她的職業生涯中一直發揮著作用。在許多場合，一個駭客或駭客組織會引起她的注意——例如，因為在一次小型行動中使用了新穎的駭客方法——她就會開始追蹤他們的線上發帖和聊天記錄，相信他們最終會利用這項技能做一些重要的事情。
他們通常會這樣做。當他們後來以一次引人注目的或有影響力的行動登上頭條新聞時，這些駭客似乎會讓其他人覺得他們是憑空出現的，讓研究員和執法部門爭先恐後地了解他們是誰。但尼克森已經為他們編寫了檔案，在某些情況下，甚至還揭露了他們的真實身份。Lizard Squad 就是一個例子。該組織在 2014 年和 2015 年通過一系列備受矚目的 DDoS 攻擊登上頭條新聞，但尼克森和她當時工作公司的同事們已經觀察其成員一段時間了。因此，FBI 尋求他們的協助來識別他們。
「這些年輕駭客的問題是，他們……會一直這樣做，直到被捕，但他們需要很多年才能被捕。」她說。「所以我的職業生涯中很大一部分就是坐擁這些尚未被採取的資訊。」
在 Lizard Squad 活動期間，尼克森開始開發工具來抓取和記錄駭客的線上通訊，儘管過了多年她才開始使用這些概念來抓取「The Com」的聊天室和論壇。這些頻道包含大量數據，在駭客職業生涯的早期階段可能看起來沒有用，但當執法部門最終調查他們時，可能會變得至關重要；然而，這些內容始終面臨被「The Com」成員刪除或被執法部門在查封網站和聊天頻道時沒收的風險。
尼克森的工作之所以獨特，是因為她與聊天空間中的參與者互動，從他們那裡提取「原本無法獲得」的信息。
經過幾年，她抓取並保存了她正在調查的任何聊天室。但直到 2020 年初，當她加入 Unit 221B 時，她才有機會抓取「The Com」的 Telegram 和 Discord 頻道。她將所有這些數據匯總到一個可搜索的平台，供其他研究員和執法部門使用。該公司聘請了兩名前駭客來幫助構建用於此工作的抓取工具和基礎設施；結果是 eWitness，一個由社群驅動的、僅限邀請的平台。最初只包含尼克森在加入 Unit 221B 後收集的數據，但後來又增加了其他平台用戶從「The Com」的社交空間抓取的數據，其中一些數據已不再公開。
FBI 的布羅根說，這是一個極其寶貴的工具，而尼克森自己的貢獻使其更加有價值。其他安全公司也會抓取線上犯罪空間的數據，但他們很少與外部人士分享內容，布羅根說尼克森的工作之所以獨特，是因為她與聊天空間中的參與者互動，從他們那裡提取「原本無法獲得」的信息。
她加入 Unit 221B 後開始的保存項目，時機再好不過了，因為它恰逢疫情、新「The Com」成員激增以及兩個令人不安的「The Com」分支 CVLT 和 764 的出現。她能夠在這些群體剛剛出現時就捕捉到他們的聊天記錄；在執法部門逮捕了這些群體的領導人並控制了他們發布聊天記錄的伺服器後，這些材料就下線了。
CVLT（發音為「cult」）據報導成立於 2019 年，專注於性勒索和兒童性虐待材料。764 從 CVLT 中脫穎而出，由德克薩斯州一名 15 歲的男孩布拉德利·卡登黑德（Bradley Cadenhead）領導，他以其郵政編碼的前幾位數字命名。其重點是極端主義和暴力。
2021 年，由於她在這些群體中觀察到的情況，尼克森將注意力轉向了「The Com」成員之間的性勒索。
他們從事的性勒索類型，其根源可以追溯到十年前開始的「粉絲簽名」活動。駭客會利用威脅公開個人信息（doxxing）來脅迫某人，通常是年輕女性，在紙上寫下駭客的代號。駭客會將照片作為其線上帳戶的頭像——一種戰利品。最終，一些人開始勒索受害者在他們的臉、胸部或生殖器上刻下駭客的姓名。在 CVLT 中，情況進一步升級；受害者被勒索在皮膚上刻下「The Com」成員的名字，或在錄製或直播時進行性行為。
根據尼克森的說法，在疫情期間，令人驚訝數量的 SIM 卡交換者轉向了兒童性虐待材料和虐待性勒索。
她討厭追蹤這些令人髮指的活動，但她看到了利用這些活動來做好事的機會。她長期以來一直對法官對金融詐騙犯的寬大處理感到沮喪，因為他們的罪行看似非暴力。但她看到了一個機會，如果她能將他們與性勒索聯繫起來，就可以獲得更嚴厲的判決，於是她開始專注於這些罪行。
此時，「Waifu」仍然不在她的關注範圍內。但情況即將改變。
在「Waifu」及其「The Com」的同夥參與了 2024 年 4 月針對 AT&T 客戶通話記錄的大規模駭客攻擊後，尼克森進入了「Waifu」的視線。
他們試圖再次勒索電信公司，在社交媒體上威脅要洩漏記錄。他們在帖子中標記了 FBI。「這就像他們在乞求被調查一樣，」尼克森說。
但隨後他們變得魯莽起來。他們據稱從 AT&T 勒索了近 40 萬美元，以換取承諾刪除他們竊取的通話記錄。然後，他們試圖再次勒索電信公司，在社交媒體上威脅要洩漏他們聲稱已刪除的記錄，除非公司支付更多費用。他們在帖子中標記了 FBI。
「這就像他們在乞求被調查一樣，」尼克森說。
當時，「Snowflake」洩漏事件和 AT&T 記錄盜竊事件正引起媒體關注，但尼克森不知道她的號碼在被盜記錄中，也不知道「Waifu/Judische」是這些洩漏事件的主要嫌疑人。因此，當他開始在網路上嘲弄和威脅她時，她感到困惑。
在五月和六月的幾週裡，一種模式出現了。「Waifu」或他的同夥之一會發布對她的威脅，然後在網路上發布邀請她談話的消息。她現在假設他們認為她正在協助執法部門調查「Snowflake」洩漏事件，並希望通過對話來獲取有關當局知道什麼的信息。但尼克森當時還沒有協助 FBI 調查他們。直到她開始調查「Waifu」的威脅後，她才意識到他涉嫌參與「Snowflake」駭客攻擊。
這並不是她第一次研究他。2019 年，「Waifu」曾因吹噓自己誣陷另一名「The Com」成員犯下惡作劇炸彈威脅而引起她的注意，後來又談到他參與 SIM 卡交換操作。他給她留下了深刻的印象。他顯然擁有技術技能，但尼克森說他經常顯得不成熟、衝動且情緒不穩定，並且在與其他成員的互動中極度渴望關注。他吹噓自己不需要睡覺，並使用 Adderall 通宵駭客。他在保護個人細節方面也有些魯莽。他曾在與另一位研究員的私人聊天中寫道，他永遠不會被抓住，因為他擅長 OPSEC，但他也告訴該研究員他住在加拿大——事實證明這是真的。
尼克森揭露「Waifu」身份的過程遵循了她用於揭露「The Com」成員的通用配方：她會圍繞一個目標及其在網路上與該人溝通的所有身份畫一個大的調查圈，然後研究他們的互動，將圈子縮小到與目標有最重要聯繫的人。一些最好的線索來自目標的敵人；她可以從與他們在網路上爭吵的人對他們的評價中，獲取關於他們的身份、個性和活動的大量信息。
「總的來說，敵人或前女友是（收集嫌疑人情報）最好的。」她說。「我愛死他們了。」
在她這樣做的同時，「Waifu」和他的團隊正在聯繫其他安全研究員，試圖獲取關於尼克森以及她可能在調查什麼的信息。他們還試圖通過洩露其他可能與「Waifu」有關的加拿大網路罪犯的名字來向研究員植入虛假線索。尼克森從未見過網路罪犯採取過這種反情報策略。
在這種欺騙和混亂中，尼克森和另一位與她合作的研究員與其他研究員進行了大量諮詢和交叉驗證，以確保他們在將姓名提供給 FBI 之前獲得了正確的姓名。
到七月，她和該研究員確信他們找到了目標：康納·萊利·穆卡（Connor Riley Moucka），一個 25 歲的高中輟學生，與他的祖父一起住在安大略省。10 月 30 日，加拿大皇家騎警突襲了穆卡的家並逮捕了他。
根據提交給加拿大法院的一份宣誓書，在被捕前九天的 10 月 21 日下午，一名便衣加拿大警察以某種藉口拜訪了穆卡的家，以便秘密拍攝他的照片並與美國當局提供的照片進行比對。警察敲門並按鈴；穆卡開門時顯得衣衫不整，並告訴訪客：「先生，您吵醒我了。」他告訴警察他叫亞歷克斯；穆卡有時使用化名亞歷山大·安東尼·穆卡（Alexander Antonin Moucka）。在確認開門的人就是美國正在尋找的人後，警察離開了。此時，「Waifu」對尼克森的線上咆哮升級了，他試圖轉移注意力的行為也隨之升級。她認為拜訪他家門口讓他感到不安。
尼克森不願確切說明他們是如何揭露穆卡的身份——只說他犯了一個錯誤。
「我不想教這些人如何不被抓住（通過透露他的錯誤）。」她說。
針對穆卡的加拿大宣誓書揭露了他在網路上據稱發布的許多其他暴力帖子，除了他對她的威脅之外。其中一些涉及關於成為連環殺手或大規模郵寄硝酸鈉藥丸給密歇根州和俄羅斯州黑人的想法；在另一篇帖子中，他的線上身份談論獲取槍枝以「殺死加拿大人」並「自殺式執勤」。
檢察官在起訴書中列出了穆卡的線上化名，包括 Waifu、Judische 和另外兩個，他們說穆卡和其他人從至少三名受害者那裡勒索了至少 250 萬美元，這些受害者的數據他們從 Snowflake 帳戶中竊取。穆卡被控近二十項罪名，包括共謀、未經授權訪問計算機、勒索和電匯欺詐。他已認罪，並於去年七月被引渡到美國。他的審判定於今年 10 月舉行，儘管駭客案件通常以認罪協議告終，而不是進行審判。
在尼克森和她的同事將調查結果與當局分享後，當局花了數月時間才逮捕穆卡，但他在 Snowflake 陰謀中的一名據稱同夥，一名名叫卡梅倫·約翰·瓦格納斯（Cameron John Wagenius）（線上代號 Kiberphant0m）的美國陸軍士兵，則被更快地逮捕。
2024 年 11 月 10 日，尼克森和她的團隊發現了瓦格納斯犯的一個錯誤，這有助於確定他的身份，並於 12 月 20 日將他逮捕。瓦格納斯已承認兩項與出售或企圖出售機密電話記錄有關的罪名，並將於今年三月宣判。
如今，尼克森繼續調查「The Com」成員之間的性勒索。但她說，「Waifu」團伙的剩餘成員仍然在嘲弄和威脅她。
「他們仍在繼續他們的胡鬧，他們一個接一個地被清除。」她說。「我會一直這樣做下去，直到那邊沒有人剩下。」
金·澤特（Kim Zetter）是一位報導網路安全和國家安全的新聞記者。她是《Countdown to Zero Day》一書的作者。
這個故事是我們 2026 年 3 月/4 月刊的一部分。