欧洲执法机构成功渗透犯罪VPN服务，逮捕管理员

欧洲执法机构宣布，他们成功入侵了一个被用于勒索软件攻击及其他犯罪活动的VPN（虚拟私人网络）服务，在关闭该VPN并逮捕其管理员之前，已识别出数千名用户。

欧洲刑警组织（Europol）日前公布了针对"First VPN"服务的行动结果。目前，First VPN网站已显示一条声明，称该域名已被国际联合执法行动没收。

欧洲刑警组织表示："一项由法国和荷兰主导、欧洲刑警组织与欧盟司法合作署（Eurojust）协助的国际行动，成功摧毁了一个被网络犯罪分子用于掩盖勒索软件攻击、数据盗窃及其他严重犯罪行为的VPN服务。多年来，这项名为'First VPN'的服务在俄语网络犯罪论坛上被宣传为一款可以规避执法追踪的可信工具，向用户提供匿名支付、隐藏基础设施以及专门为犯罪活动设计的服务。"

此次调查始于2021年12月。欧洲刑警组织表示，调查人员在某个时间节点"成功访问了该服务，获取了其用户数据库，并识别出网络犯罪分子用于隐藏活动的VPN连接"。安全厂商Bitdefender为此次执法行动提供了技术支持。

欧洲刑警组织表示："收集到的情报揭露了数千名与网络犯罪生态系统相关的用户，并产生了与全球范围内勒索软件攻击、诈骗活动及其他严重犯罪相关的线索。"

荷兰国家警察部队的声明指出，在域名被没收之前，"警方已经能够访问该服务用户的犯罪流量，而这些用户还误以为自己处于安全状态"。

互联网档案馆保存的该VPN服务网站历史截图显示，其曾宣称具备隐藏IP地址、加密所有通信、向"服务提供商及其他相关方"隐藏用户行为等功能。First VPN还作出了VPN提供商普遍采用的"不留日志"承诺，以向客户保证其不会存储任何可能被移交给执法机构或第三方的记录。

该网站曾声称："我们所有的服务器均符合高安全标准，不保留日志，由具有丰富经验的专家进行配置。老大哥在监视你，但我们不会！"

与众多在线平台一样，VPN既可用于合法目的，也可被用于犯罪活动。用户几乎无法判断某个VPN服务的隐私和安全声明是否真实可信。

执法机构渗透VPN提供商内部系统的风险更加剧了用户的不确定性。不过，荷兰警方强调，该VPN服务"被认定为犯罪性质，因为它专门针对网络犯罪分子，为其提供保护身份的手段"。

First VPN"主要在警方已知的网络犯罪论坛上进行广告宣传，明确将网络犯罪分子作为潜在客户"，荷兰警方表示，"该服务网站还声明将拒绝与任何司法机构合作，不受任何司法管辖，也不存储用户数据。因此，该服务对外伪装成可信赖的工具，让用户误信自己是安全的，但实际情况并非如此。"

欧盟司法合作署表示，"First VPN网站以强调匿名性作为卖点，向用户承诺不与任何司法机构合作，不存储数据，且不受任何司法管辖。"

美国联邦调查局（FBI）在昨日发布的情报预警中表示，First VPN自2014年起开始运营，在27个国家提供32个出口节点服务器，并在俄语论坛上进行宣传，这些论坛"为网络犯罪分子提供买卖未经授权的计算机系统访问权限、盗取的个人身份信息、黑客工具及违禁品的交易市场"。

FBI表示："至少有25个勒索软件组织，例如Avaddon勒索软件团伙，曾使用First VPN服务基础设施实施网络侦察和入侵活动。First VPN的IP地址还被用于扫描活动、僵尸网络、拒绝服务攻击、诈骗及黑客行动。"

FBI指出，从First VPN IP地址观测到的扫描活动"与攻击者识别开放端口、服务和网络配置的行为一致"，并表示"VPN基础设施可能被用于在初始访问后对目标网络内的系统进行枚举"，"VPN出口节点可为针对SSH、RDP或网络应用程序等暴露服务的密码喷射或暴力破解攻击提供便利"。

欧洲刑警组织表示，此次针对First VPN的行动共产生83份"情报包"，已将506名用户的信息在国际间共享，并已推进了21项由欧洲刑警组织支持的调查。"随着基础设施被摧毁、管理员遭到逮捕，多个司法管辖区的调查人员正在利用所收集的情报，支持全球范围内正在进行的网络犯罪调查。"

经过数年调查，当局于5月19日和20日采取一系列行动，关闭了该VPN服务。欧洲刑警组织表示，当局"在乌克兰对管理员进行了问询并实施了入户搜查"，并"拆除了与该犯罪服务相关的33台服务器"。

被没收的域名包括1vpns.com、1vpns.net、1vpns.org及相关洋葱域名，均获得了司法授权。欧洲刑警组织补充称："该犯罪服务的用户已收到关于服务关闭的通知，并被告知其身份已被识别。"

调查于2021年12月启动，2023年11月进入新阶段。在欧盟司法合作署的支持下，法国和荷兰当局"紧密合作，交换证据和信息，并制定了检控策略。欧盟司法合作署共主持了16次协调会议，为本周联合行动日的部署做准备，凸显了复杂司法协作的必要性"。

5月19日和20日的直接行动由法国、荷兰、卢森堡、罗马尼亚、瑞士、乌克兰和英国当局共同执行，加拿大、德国、美国、西班牙、瑞典、丹麦、爱沙尼亚、拉脱维亚、立陶宛、波兰和葡萄牙也提供了不同程度的支持。欧洲刑警组织表示，已组建专项工作组，汇聚多国调查人员，"对没收的数据进行分析，并与国际合作伙伴协调共享情报"。

Q&A

Q1：First VPN是什么样的服务，它主要被用于哪些犯罪活动？

A：First VPN是一个自2014年起运营的VPN服务，在俄语网络犯罪论坛上宣传推广，专门面向网络犯罪分子。它提供匿名支付、隐藏基础设施等功能，被至少25个勒索软件组织用于网络侦察和入侵，其IP地址还被用于僵尸网络、拒绝服务攻击、诈骗及黑客行动等犯罪活动。

Q2：欧洲执法机构是如何成功渗透First VPN的？

A：调查从2021年12月开始，执法人员在某个时间节点成功访问了First VPN服务，获取了其用户数据库，并识别出网络犯罪分子用于隐藏活动的VPN连接。安全厂商Bitdefender为行动提供了技术支持。在域名被没收之前，警方已能够访问该服务用户的犯罪流量，而用户还误以为自己处于安全状态。

Q3：此次打击First VPN行动最终取得了哪些成果？

A：行动于2025年5月19日至20日展开，当局拆除了33台服务器，没收了多个相关域名，在乌克兰逮捕并问询了管理员。行动共产生83份情报包，506名用户的信息已在国际间共享，并推进了21项欧洲刑警组织支持的调查，所有用户均已收到身份被识别的通知。

Ars SecurityBitDefenderFirst VPN欧洲刑警组织