Fora po bazarach. Jak underground przeniósł handel i reputację

blackweb.pl 7 min
fora underground dark-web reputacja cybercrime

Kiedy znika bazar w Torze, zwykle zostaje po nim plansza służb, plotka o kradzieży depozytów albo cisza. Użytkownicy przez kilka godzin próbują ustalić, czy to awaria. Potem zaczyna się migracja: zapasowe forum, kanał w komunikatorze, konto sprzedawcy na innej platformie, ktoś podający się za administratora i kilkanaście fałszywych adresów.

Nie ma jednego miejsca, do którego “przeniósł się dark web”. Jest rozsypana infrastruktura zaufania. Fora służą jednocześnie jako tablica ogłoszeń, giełda reputacji, support i poczekalnia przed następnym rynkiem. Część działa w Torze, część w zwykłej sieci za logowaniem, a rozmowy odpływają do komunikatorów.

Rynek może umrzeć w jeden dzień. Relacje między ludźmi próbują przeżyć dłużej.

Bazar był wygodnym opakowaniem

Silk Road spopularyzował model, który później kopiowano setki razy: katalog ofert, depozyt, oceny, spory i konta sprzedawców. Taki serwis nie usuwał oszustwa. Porządkował je na tyle, żeby obcy ludzie mogli zawrzeć transakcję bez spotkania i bez prawnej możliwości dochodzenia roszczeń.

Centralizacja dawała wygodę. Dawała też jeden serwer, jedną bazę i jedną grupę administratorów, którzy mogli zostać zatrzymani albo zniknąć z pieniędzmi. Historia Hansa pokazała jeszcze trzeci wariant: strona działa prawidłowo, bo przejęła ją policja i chce, żeby użytkownicy nadal się logowali.

Po kolejnych zamknięciach okres życia dużych platform skracał się. Europol w IOCTA 2024 opisał jednoczesny nacisk operacji policyjnych i exit scamów. Efektem nie było zniknięcie usług, lecz fragmentacja. Nowe marki powstawały szybciej, użytkownicy rozkładali aktywność między kilka miejsc, a reputację próbowano przenosić razem z nickiem.

To ostatnie jest trudniejsze, niż brzmi. Każdy może założyć konto o nazwie znanego sprzedawcy. Każdy może wkleić cudzy klucz PGP albo skopiować styl wypowiedzi. Gdy znika platforma, znika też baza komentarzy, historia sporów i licznik udanych transakcji. Zostają zrzuty ekranu oraz ludzie, którzy twierdzą, że pamiętają właściwą osobę.

Forum sprzedaje coś więcej niż dostęp

W cyberprzestępczym undergroundzie granica między forum i rynkiem od dawna jest umowna. BreachForums miało działy dyskusyjne, poradniki, płatne członkostwo i sekcję, w której handlowano wykradzionymi bazami. Według dokumentów Departamentu Sprawiedliwości administrator oferował również rolę pośrednika w transakcjach i system kredytów do zakupu zweryfikowanych danych.

Cracked i Nulled, przejęte podczas operacji Talent w styczniu 2025 roku, Europol opisał jako fora i jednocześnie punkty sprzedaży skradzionych danych, złośliwego oprogramowania oraz usług cybercrime-as-a-service. Łącznie miały ponad 10 milionów kont. Sama liczba kont nie mówi, ilu użytkowników było aktywnych ani ilu popełniało przestępstwa. Pokazuje jednak, że format forum nie jest bocznym kanałem dla garstki technicznych osób.

Forum potrafi obsłużyć to, czego katalog sklepu nie mieści. Ktoś szuka partnera do jednego zlecenia. Inny chce sprzedać dostęp, którego wartość zależy od rozmowy. Usługa nie ma stałej ceny. Towar jest próbką danych, a pełny pakiet wymaga negocjacji. Moderator potwierdza reputację, starsi użytkownicy ręczą za sprzedawcę, a publiczna kłótnia staje się odpowiednikiem działu reklamacji.

Ten model daje więcej elastyczności, ale nie zwiększa bezpieczeństwa.

Nick jako przenośny kapitał

Badacze z Carnegie Mellon przeanalizowali osiem anonimowych rynków działających od 2011 do 2023 roku, forum powiązane z takim handlem oraz ponad 15 tysięcy postów i komentarzy z dwóch subredditów. Wynik nie potwierdził prostego mitu, że wysoka ocena pozwala przewidzieć przyszły sukces sprzedawcy. Oceny pomagały wyjaśniać długość jego obecności, ale nie dawały pewnej odpowiedzi, czy zniknie w najbliższym czasie ani ile później zarobi.

To ważne rozróżnienie. Reputacja działa wystarczająco dobrze, żeby podtrzymać handel. Nie działa na tyle dobrze, żeby usunąć exit scam, przejęcie konta albo nagłe zniknięcie sprzedawcy.

Po zamknięciu rynku starszy nick ma mimo wszystko przewagę. Użytkownik może odwołać się do wcześniejszej historii, poprosić znane osoby o potwierdzenie i podpisać wiadomość używanym wcześniej kluczem. Fora stają się miejscem, gdzie ta ciągłość jest publicznie negocjowana.

Klucz PGP może potwierdzić, że wiadomość podpisała osoba posiadająca ten sam sekret co wcześniej. Nie potwierdza, że klucz nie został skradziony, że człowiek nie współpracuje ze służbami ani że jutro nie zniknie z depozytem. Kryptografia rozwiązuje wąski problem. Underground chętnie dokłada do niej resztę historii, której matematyka nie gwarantuje.

Po zamknięciu powstają kopie

W 2023 roku FBI doprowadziło do wyłączenia BreachForums i zatrzymania jego założyciela. Departament Sprawiedliwości przypomniał wtedy, że serwis zastąpił wcześniej przejęte RaidForums. Sama nazwa wracała później w kolejnych odsłonach, a użytkownicy przenosili się między następcami.

To typowy rytm. Zamknięcie infrastruktury tworzy popyt na następcę. Najszybciej reagują osoby, które potrafią postawić kopię interfejsu i przekonać część społeczności, że mają kontakt z dawną administracją. Niektóre serwisy są prawdziwą kontynuacją. Inne tylko zbierają loginy, depozyty albo opłaty za członkostwo.

Służby wykorzystują tę chwilę dezorientacji. Przy Hansa zamknięcie AlphaBay skierowało tysiące osób na rynek już kontrolowany przez holenderską policję. Przy innych operacjach przejęte domeny, serwery i konta pozwalały zbierać dowody albo identyfikować klientów. Z punktu widzenia użytkownika poprawnie działający login nie dowodzi już nawet tego, że rozmawia z przestępcą. Może rozmawiać z oszustem lub funkcjonariuszem.

Fora nie usuwają tego ryzyka. Rozprowadzają je między administratorów, moderatorów, pośredników i osoby prowadzące kanały zapasowe.

Zwykła sieć, Tor i komunikatory

“Dark web” sugeruje osobny kontynent odcięty od normalnego internetu. Rzeczywisty ekosystem częściej przypomina stos połączonych usług. Forum może działać w zwykłej sieci za ochroną dostawcy DDoS. Kopia lub panel sprzedażowy działa jako usługa onion. Ogłoszenie pojawia się na forum, negocjacja przechodzi do komunikatora, a płatność idzie osobnym kanałem.

Europol opisywał fora jako źródło wiedzy operacyjnej i miejsce reklamy usług. Nie wszystkie wymagają Tora. Bardziej zamknięte społeczności od lat działały również w deep webie, czyli za logowaniem, bez publicznego indeksowania. Ukrycie lokalizacji serwera jest tylko jedną z potrzeb. Inną jest selekcja członków i kontrola reputacji.

Komunikatory przyspieszają kontakt, ale źle nadają się do budowania publicznej pamięci. Historia kanału może zniknąć wraz z kontem administratora. Podszywanie się pod znany nick jest łatwe, jeśli platforma nie daje trwałego identyfikatora. Dlatego nawet grupy działające w komunikatorach wracają do forów po coś, co przypomina księgę ogłoszeń i archiwum sporów.

Nie jest to migracja z rynku do forum, zakończona raz na zawsze. Te formaty nakładają się i wymieniają funkcjami.

Fragmentacja pomaga i przeszkadza śledczym

Duży rynek skupia wiele transakcji w jednej bazie. Jego przejęcie może dać śledczym wiadomości, historię kont, adresy kryptowalut i dane serwerowe. Małe fora oraz kanały rozrzucają materiał między jurysdykcje i dostawców. Każde miejsce zawiera tylko kawałek historii.

Z drugiej strony fragmentacja zwiększa liczbę błędów. Użytkownik powtarza nick, adres email albo hasło. Administrator musi opłacić kilka serwerów. Sprzedawca publikuje ten sam klucz w różnych miejscach. Konflikt między grupami prowadzi do przecieków i wzajemnego doxxingu. Operacja Talent przeciw Cracked i Nulled objęła osiem państw, serwery, domeny, płatności i zatrzymania. Forum nie było niewidzialnym pokojem rozmów. Było przedsiębiorstwem z infrastrukturą.

Policyjne komunikaty zwykle podkreślają skalę przejęcia. Trzeba czytać je ostrożnie. Dziesięć milionów zarejestrowanych kont nie oznacza dziesięciu milionów przestępców. Przejęcie domeny nie oznacza zniszczenia relacji między użytkownikami. Zamknięcie dwóch serwisów nie kończy popytu na skradzione dane.

Skutki operacji bywają realne, ale czasowe. Serwery znikają, a część użytkowników wraca pod nową nazwą.

Co naprawdę przeżywa platformę

Najtrwalszym elementem undergroundu nie jest konkretna domena. Są nim relacje, rozpoznawalne pseudonimy, klucze, kopie baz i pamięć o wcześniejszych transakcjach. Platforma próbuje zamknąć je w liczniku ocen. Po jej upadku cała społeczność odtwarza ten licznik z rozmów i ręczeń.

Dlatego fora wracają. Nie potrzebują pełnego katalogu ani automatycznego depozytu, żeby połączyć podaż z popytem. Wystarczy dział ogłoszeń, moderator i grupa ludzi, którzy uznają jego decyzje. Reszta może wydarzyć się poza stroną.

Taki układ jest mniej wygodny od bazaru i trudniejszy do mierzenia. Jest też odporniejszy na zamknięcie jednej usługi. Nie dlatego, że jego uczestnicy znaleźli doskonałą technologię. Dlatego, że w razie awarii potrafią przenieść zaufanie do następnego prowizorycznego miejsca.

To zaufanie pozostaje kruche. Kolejny administrator może uciec, forum może być kopią, a stary klucz może znajdować się na dysku zabezpieczonym podczas przeszukania. Underground nie rozwiązał problemu upadających bazarów. Nauczył się z nim żyć.

Źródła

Powiązane

← Archiwum