2024年12月10日，美国联邦调查局的通缉名单上多了一张中国面孔。海报上的信息不多：关天峰，1994年8月3日出生，四川成都人，身份一栏写着安全研究人员。
同一天挂出来的，还有一个数字：最高1000万美元。这是美方正义奖赏计划的最高档位，平时和这个级别并排的，多是重大恐怖主义案件。一个刚满30岁的成都人，怎么就跟那些名字摆到了一起？
美方的说法，要倒回四年多前的2020年4月，倒回全球数万台防火墙里。这个四川小伙到底做了什么？先把美方的指控摊开，再听中方怎么说。
先看海报本身。上面能确认的只有几样：姓名、出生日期、出生地成都，最后已知的住处也在成都。他在哪家公司上过班、读的什么学校、平时在网上用什么名字，海报一个字没写。
美方抛出千万悬赏要抓的这个人，公开信息薄得只够填满一张表格。但这张表格出来的那天，动静一点都不小。美国司法部宣布对他提出16项重罪指控，说他入侵的设备里，光美国境内就有约36000台。
联邦调查局把他挂上通缉名单，开出最高1000万美元的悬赏。财政部外国资产控制办公室同步把他列进制裁名单，冻结他在美国管辖范围内的资产，美国人不得跟他有任何交易。
三个部门，同一天，三样东西一起落地：起诉、悬赏、制裁。
为什么要这么摆？2023年，美国出台《国家网络安全战略》，定下"全政府应对"境外网络威胁的路子，起诉、经济制裁、外交施压都算进工具箱。
关天峰这一案，就是照着这套路子打出来的。司法部管定罪名，联邦调查局管悬赏抓人，财政部管断钱路，三条线同时出现，显示美方以刑事、悬赏和制裁并行推进此案。
再看悬赏的条件，更能看出美方的意图。海报写得清楚：提供的信息要能"直接导致"他被捕或者被定罪，钱才会兑现。
光说一句"我知道他是谁"，拿不到这笔钱。海报还注明，提供线索的人可能有资格获得移民福利。注意是"可能"，不是交了线索就自动拿到美国身份。
这样一套组合拳打下来，很容易让人觉得案子已经板上钉钉。
其实到今天，关天峰没有被逮捕，没有出过庭，也没有任何法院对他作出判决。悬赏挂着，人仍在通缉状态。美方手里有的，是一份指控和一笔赏金。
美方指控的事，发生在一家英国网络安全公司的产品上。这家公司叫Sophos，卖的XG系列防火墙，很多政府、医院、学校和企业拿它挡在内网门口。2020年4月，这款防火墙被发现有一个漏洞，编号CVE-2020-12271。
技术上叫"预认证SQL注入"，翻成大白话：攻击者不用登录、不用密码，站在门外就能往防火墙里塞指令。防火墙本该是看门人，这一下，看门人自己成了缺口。而且这个缺口在被发现之前，已经有人在用了。
Sophos的公告说，攻击者借着这个漏洞往设备里植入了一个叫Asnarök的木马，专门偷防火墙里存着的用户名、密码这些凭证。这一步为什么要命？防火墙里存的，往往是整张网络的管理账号。
偷走它，相当于从看门人腰上摘走了整串钥匙。拿着这串钥匙，后面想进哪个房间，门都是开的。那年4月，全球数万台设备受到波及。
Sophos察觉后推出补丁，帮客户清理恶意程序，但它的公告从头到尾没有说攻击者是谁。把这件事安到关天峰头上的，是美国司法部。
按美方的指控，他在中国境内做安全研究时发现了这个漏洞，没有按行业惯例报告给厂商，而是写了自动化攻击工具，对全球暴露在网上的XG防火墙批量扫描、入侵。
前面那约36,000台美国境内受影响设备，美方说覆盖了联邦和地方政府网络、医疗机构、学校、能源设施和私营企业。
16项罪名就是从这条链上拆出来的：6项违反《计算机欺诈与滥用法》，对应"未经授权闯进别人的系统"。7项电信欺诈，对应借网络实施欺骗。3项加重身份盗窃，对应拿着偷来的账号密码冒用别人身份。
闯门、骗人、冒名，美方把一次漏洞利用拆成了三类罪。这里有一处法律上的错位值得一提。美方说他"没报告给厂商"，按的是西方"负责任披露"的惯例。
而中国的相关法规要求，漏洞信息先报给境内机构。同一个行为放在两套规则下，评价起点就不一样。美方指控里分量最重的一句，是说他与中国国家安全部合作，或者受其指使。
这句话一出，案子的性质就从个人犯罪变成了国家间的事。中方对此予以否认。具体凭什么这么认定，美方没有公开，相关内容都在起诉书里没解封的那部分。
回到那个数字。1000万美元，在正义奖赏计划里属于最高的那一档，和重大恐怖主义、国家级网络威胁案件同级。单笔数额更高的也有：针对LockBit勒索团伙核心成员的悬赏是1500万美元，针对基地组织头目扎瓦希里的是2500万美元。
所以这个价码本身就是一句表态。一个30岁的成都人被放进这一档，说明美方是按国家级威胁给他定价的。
他们把一次漏洞事件，直接摆到了跟恐怖组织头目同一张桌子上。可价码定得再高，证据得另算。美方说，锁定关天峰是经过多年调查的结果。从2020年4月漏洞被利用，到2024年12月悬赏挂出，中间隔了4年8个月。
这四年多里查到了什么，外界能看到的很少：美方称技术归因靠的是恶意代码的特征和网络基础设施的重叠，完整的证据链封在新泽西州联邦法院的起诉书里，公开的只有新闻稿那几段摘要。
网络攻击的归因本来就难。攻击者可以借代理服务器、跳板机器层层绕路，一个IP地址指向哪里，不一定就是人坐在哪里。
证据摆不到台面上，旁人就没法核对。没法核对的指控，再配上千万悬赏和资产冻结，压在一个人身上的分量，已经远远超过它公开出来的那点依据。中方的态度很明确。
外交部表示，中国政府一贯反对任何形式的网络攻击，同时坚决反对美方的无端指责和单边制裁。
网络安全是全球性挑战，应当由各国通过对话合作来解决，而不是一方起诉、一方悬赏、一方冻结资产，自己当原告又当法官。这句话落在要害上。
真想查清一次跨国网络攻击，靠的是把证据拿出来、把渠道接起来，让双方的执法和技术人员坐下来对材料。一纸密封起诉书加一张千万赏金，能制造压力，撬不开真相。那么，这个四川小伙到底做了什么？
按美方的指控，他在2020年4月利用Sophos防火墙的漏洞，往全球数万台设备里植入木马、偷走账号密码，美国境内约36000台受影响，由此被控16项重罪，还被指与中国国家安全部有关联。
中方否认这些指控，美方的证据至今锁在没有解封的卷宗里。成都的那张通缉海报还挂在网上，1000万美元的数字也还在。它能证明的，是美国把这个人看得有多重。能不能给他定罪，要看那份起诉书哪天敢把证据摊到阳光底下。
参考资料：
Sophos Security Advisory: XG Firewall Vulnerability (CVE-2020-12271) Sophos.Ltd.2024-12-10
外交部发言人例行记者会实录（2024年12月）.中华人民共和国外交部
Sophos Security Advisory: XG Firewall Vulnerability (CVE-2020-12271).Sophos Ltd
Rewards for Justice Program: Reward Offers.U.S. Department of State
热门跟贴