MonsterCloud和勒索后的再次欺诈

原创

破天KK
破天KK

KK安全说

2026年10月9日 19:30
中国香港

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

MonsterCloud 的争议并不是简单的“普通公司收高价”，而是涉及一个更关键的问题：公司是否把“代客户向勒索软件攻击者支付赎金”包装成了“自己拥有专有技术、无需支付赎金即可解密”的技术服务。

而且需要特别强调：截至 2026 年 10 月 8 日，Zohar Pinhasi 目前是被美国联邦检方起诉（charged/indicted），尚未被法院定罪。

一、MonsterCloud 是什么公司？

MonsterCloud 是一家总部位于美国佛罗里达州 Hollywood 的网络安全/勒索软件数据恢复公司。

佛罗里达州公司登记资料显示，Monster Cloud LLC 于 2013 年 1 月 23 日成立，登记的 Manager 包括 Zohar Pinhasi 和 Gali Pinhasi。BisProfiles

它的核心业务并不是传统意义上的杀毒软件、EDR 或网络安全 SaaS，而是一个非常特殊的赛道：

企业被 ransomware（勒索软件）攻击 → 文件被加密 → 攻击者索要赎金 → MonsterCloud 介入 → 尝试帮助企业恢复数据。

目前 MonsterCloud 自己的网站仍然把服务描述为 ransomware file recovery，并称可以通过不同方式恢复数据，包括解密工具、从感染机器寻找密钥、恢复旧系统状态、备份恢复等。MonsterCloud

所以从商业模式上，它属于：

Incident Response / Ransomware Remediation / Data Recovery

而不是单纯的“网络安全软件公司”。

二、MonsterCloud 的商业模式到底是什么？

理解这个案件最关键的是把正常的商业模式和检方指控的商业模式放在一起比较。

1. 正常情况下可以有四种收入模式

一家合法的 ransomware recovery 公司完全可以这样赚钱：

A. 技术解密

例如：

• 找到 ransomware 的漏洞
• 获得私钥
• 使用已知 decryptor
• 从内存/系统中恢复密钥
• 对文件进行 forensic recovery

客户支付的是：

技术服务费

例如客户支付 $50,000，公司真正靠自己的技术完成恢复。

这没有问题。

B. Backup / Disaster Recovery

如果无法破解 ransomware：

从客户自己的备份恢复。

这也是标准的 IT disaster recovery 业务。

MonsterCloud 自己的网站实际上也描述了这种方式：如果直接恢复不可行，可以从 backup 恢复，并检查 backup 是否被感染。MonsterCloud

C. Ransom Negotiation

还有一种完全合法、但性质不同的模式：

客户授权 → 公司与黑客谈判 → 最终支付赎金 → 获得 decryptor。

这种公司本质上是：

Ransomware Negotiation / Ransom Payment Intermediary

也就是说，它不是靠“破解”赚钱，而是靠：

• 谈判
• 降价
• Bitcoin/crypto 支付
• 帮客户取得 decryptor
• 帮客户恢复系统

赚钱。

这在 ransomware 行业本身并不罕见。

D. 混合模式

实际上最合理的专业公司往往是：

先尝试技术恢复 → 不行再谈判 → 必要时支付 ransom → 恢复系统 → 清除恶意软件 → 加固环境。

问题就在这里。

支付 ransom 本身不一定等于诈骗。

真正具有法律风险的是：

如果客户明确被告知“我们拥有专有技术，不需要支付 ransom”，但公司实际上偷偷把客户的钱拿去支付 ransom，然后把差价留下。

这正是 2026 年美国检方针对 Pinhasi 的核心指控。

三、检方现在指控 MonsterCloud 做了什么？

这是整个案件最重要的部分。

2026 年 9 月 23 日，美国纽约东区联邦大陪审团对 Pinhasi 提起 indictment；2026 年 10 月 7 日，他在纽约联邦法院出庭接受提审。

美国司法部称，他被控：

• 2 项 wire fraud
• 1 项 wire fraud conspiracy

最高刑罚可能达到每项 20 年，但这些目前都只是指控，并不代表已经定罪。司法部

四、涉嫌欺诈的核心结构

检方描述的模式可以非常简单地画出来：

          勒索软件攻击            ↓      美国/加拿大企业被锁            ↓      客户寻找 MonsterCloud            ↓      MonsterCloud 声称：      “我们有 proprietary technology”      “无需向黑客支付 ransom”            ↓      客户支付 MonsterCloud 高额服务费            ↓      MonsterCloud 实际联系攻击者            ↓      MonsterCloud 向黑客支付 ransom            ↓      取得 decryptor / key            ↓      帮助客户恢复数据            ↓      MonsterCloud 保留巨大差价

也就是说，按照检方指控：

真正提供“解密能力”的不是 MonsterCloud 的所谓专有技术，而是 ransomware 攻击者自己提供的 decryptor。

而 MonsterCloud 的利润来自：

客户收费 − 实际支付给黑客的 ransom

五、最惊人的一个案例：$8,200 → $150,000

这是司法部目前公开披露的最直观案例。

检方称：

2023 年 8 月左右，Pinhasi 向一个网络犯罪分子支付约 $8,200 的 ransom。

但 MonsterCloud 向自己的客户收取了大约：

$150,000

也就是说：

客户支付：$150,000

黑客收到：$8,200

两者差额：

$141,800

约为 ransom 的18.3 倍。

司法部认为关键不是 MonsterCloud 收取高价，而是：

客户被告知的是一种“无需向攻击者支付 ransom 的技术恢复服务”，而实际上 ransom 被秘密支付。

这是 wire fraud 指控的核心。司法部

六、另外一个案例：$236,000 → $380,000

根据 BleepingComputer 对 indictment 的报道，还有另一笔交易：

• MonsterCloud 据称向攻击者支付约 $236,000
• 却向客户收取约 $380,000

因此差额约：

$144,000

这个案例的利润率就没有 $8,200/$150,000 那么夸张，但它说明检方关注的并不是某一个孤立事件，而是一个可能重复实施的商业模式。BleepingComputer

七、规模有多大？

这是案件从“一个客户争议”升级成刑事案件的关键。

美国司法部目前指控：

MonsterCloud / Pinhasi 在相关期间向客户收取超过 $19 million。

与此同时：

向 ransomware 攻击者支付超过 $8 million。

也就是说，如果按照检方的数字简单计算：

$19M − $8M ≈ $11M

这是超过千万美元的总收入与 ransom 支出之间的巨大差额。

当然，这个 $11M不能简单等同于“纯利润”，因为还存在：

• 员工
• 技术人员
• 销售
• 法律
• 基础设施
• crypto transaction
• incident response
• 办公室
• 其他运营成本

但是这个数字确实说明检方认为这不是偶然的单笔行为，而是一个规模化的商业模式。司法部

BleepingComputer进一步报道，检方认为涉及数百家公司，主要位于美国和加拿大。BleepingComputer

八、为什么这个案件特别严重？

因为这里实际上有两个不同的产品。

客户以为买的是：

Cybersecurity / Decryption Technology

实际上检方认为客户买到的是：

Ransom Negotiation + Ransom Payment + Decryption

这两个产品在经济价值和道德/法律含义上完全不同。

例如：

假设黑客要求：

$10,000

一家专业公司可以告诉客户：

“我们无法破解。我们可以代表你谈判，预计 ransom 是 $7,000，服务费 $5,000。”

那么客户知道自己在买什么。

但如果公司告诉客户：

“我们有 proprietary technology，可以不付 ransom。”

然后偷偷给黑客：

$7,000

最后向客户：

收 $100,000

那么客户对于自己究竟购买了什么服务产生了根本性的误解。

这就是为什么 DOJ 将重点放在false representations / wire fraud上，而不是简单指控“收费太贵”。

九、2019 年其实就已经出现过非常严重的警告信号

这也是这个故事非常值得注意的地方。

早在2019 年，ProPublica 就对 MonsterCloud 和类似 ransomware recovery 公司做过深入调查。

当时网络安全研究人员 Fabian Wosar 等人设计了一个实验。

他们自己制造 ransomware，然后假装是一个真实 ransomware 受害者。

关键是：

研究人员故意使用一个实际上无法被普通技术解密的 ransomware。

然后他们把“受害者”交给这些 recovery 公司。

结果，据研究人员向 ProPublica 描述，他们控制的“黑客邮箱”后来收到来自匿名账户的联系，对方表示愿意支付 ransom。

研究人员认为这些联系来自 recovery firms，包括 MonsterCloud。ProPublica

换句话说，他们发现了一个非常可疑的模式：

          Recovery company             ↓      声称可以“技术解密”             ↓      实际上联系攻击者             ↓      提出支付 ransom

十、当时 Pinhasi 的回应是什么？

这一点必须公平讲。

2019 年媒体调查时，Pinhasi否认 MonsterCloud 欺骗客户。

他表示 MonsterCloud 的恢复方法因案件而异，并把具体方法称为 trade secret。

对于研究人员的实验，他表示不能确认具体案件，并否认公司事先向客户承诺可以通过某种特定方式解密。ProPublica

所以：

2019 年媒体报道 ≠ 法院认定 MonsterCloud 当时犯罪。

但从今天回头看，2019 年的报道与 2026 年 DOJ indictment 描述的核心模式存在明显的相似性。

十一、一个很有意思的政府机构案例：Trumann Police Department

2019 年 ProPublica 还调查了 Arkansas 的Trumann Police Department。

该警察局遭遇 ransomware 后找到了 MonsterCloud。

MonsterCloud 最终恢复了数据。

警察局方面当时认为：

MonsterCloud 没有支付 ransom。

而且 MonsterCloud 免除了大约$75,000的费用，作为换取 testimonial 的一部分。卫报

但这里出现了一个非常关键的技术问题：

当时感染的是 Dharma ransomware。

ProPublica 找到的安全研究人员认为：

当时该版本的 Dharma 没有已知的直接解密方法。

而 MonsterCloud 的合同本身又规定，如果直接解密失败，公司可以：

“communicating with the cyber attacker”

即：

直接联系攻击者。

Pinhasi 当时没有公开说明 MonsterCloud 到底采用了什么方式恢复数据，只表示公司没有使用纳税人的钱支付 ransom。卫报

所以这个案例本身不能说“已经证明 MonsterCloud 欺诈”，但它解释了为什么早在 2019 年就有网络安全人士对其所谓“专有解密技术”产生怀疑。

十二、MonsterCloud 的 testimonial / marketing 也曾经引发争议

2019 年 ProPublica 的调查还发现一些非常奇怪的营销材料。

例如 MonsterCloud 网站上的所谓客户评价中出现：

• “Brad Stevens”
• “Sam Smith”

等名字。

其中一些名字恰好对应著名公众人物。

ProPublica 调查认为其中部分 Google reviews 存在异常，并发现某些评论与另一家当地企业的评价存在关联。

Pinhasi 当时否认 testimonial 是假的，并解释说公司曾向客户群发邮件征集评价，因此评价集中出现。Ars Technica

因此这里应该严谨地说：

ProPublica 发现了可疑的 testimonial / review 现象，但不能仅凭这些报道认定所有评价都是伪造。

十三、还有一个非常关键的“假身份”问题

2019 年 ProPublica 报道中提到，MonsterCloud 的一名对外人员使用：

“Zack Green”

这个名字。

他的职位头衔非常夸张，包括类似：

• Ransomware Recovery Expert
• Cyber Counterterrorism Expert
• Cyber Crime Prevention Expert
• Cyber Intelligence Threat Specialist

ProPublica 询问 Pinhasi 后，Pinhasi 表示：

“Zack Green” 是一个 alias。

也就是说，这个行业本身就存在大量：

化名 + darknet + ransomware attacker + anonymous communication

的操作。Ars Technica

而到了 2026 年 DOJ 又明确表示：

Zohar Pinhasi 使用过 “Zack Silver” 和 “Zack Green” 两个名字。司法部

这使得 2019 年报道与今天的联邦案件产生了非常直接的联系。

十四、Zohar Pinhasi 是谁？

Zohar Pinhasi 是 MonsterCloud 的创始人/负责人。

截至 DOJ 2026 年 10 月的资料：

• 年龄：50 岁
• 居住地：Hollywood, Florida
• 美国和以色列双重国籍/身份背景
• MonsterCloud owner
• 使用过 Zack Silver / Zack Green 等名字
• 当前面对美国联邦 wire fraud 指控。司法部

十五、他的职业背景

关于 Pinhasi 的职业经历，有一部分来自他本人或 MonsterCloud 的宣传，因此需要与独立报道分开。

MonsterCloud 对他的介绍是：

前以色列国防军（IDF）IT Security Intelligence Officer

并把他描述成 ransomware / counter-cyberterrorism 专家。MonsterCloud 的相关页面甚至称他拥有超过 25 年经验。Monster Cloud Decryptor

ProPublica 在 2019 年也报道：

Pinhasi 自称曾担任以色列军方的 IT security intelligence officer。

不过，我目前没有找到足够可靠的独立公开资料，可以完整验证他的具体军旅单位、军衔、服役时间等细节。

所以如果用于尽调报告，我建议写：

“Pinhasi has publicly described himself as a former Israeli military IT-security intelligence officer.”

而不要直接写：

“Pinhasi 是以色列情报部门高级军官。”

后者证据不足。

十六、他早期并不是从 MonsterCloud 开始

这里也很有意思。

Pinhasi 告诉 ProPublica，他从2003 年开始领导 MonsterCloud。

但 Florida 公司记录显示：

Monster Cloud LLC 实际是在 2013 年成立。

ProPublica 调查还发现，Pinhasi 在 2003 年参与成立的是：

PC USA Computer Solutions Providers

也就是说，他的职业路径大致是：

          IT / Computer Services              ↓      PC USA              ↓      Cloud / IT Services              ↓      Ransomware 越来越严重              ↓      Data Recovery              ↓      MonsterCloud              ↓      Ransomware Remediation

ProPublica 还报道，一位 PC USA 客户称自己过去购买过 cloud backup 服务，但在 2016 年发生系统故障时遇到问题；之后 Pinhasi 的业务逐渐转向 ransomware/data recovery。features.propublica.org

这里同样应该注意：

这是媒体采访中客户的说法，不应当直接当成法院认定的事实。

十七、Pinhasi 的商业策略其实非常聪明

如果从商业分析角度，而不是法律角度看，这个模式为什么能赚钱，非常值得研究。

Ransomware 的客户具有几个特殊特征：

① 极度紧急

公司可能一天损失几十万甚至几百万美元。

② 客户缺乏技术判断能力

CEO/CFO/医院/地方政府通常不知道：

到底能不能解密？

③ 客户害怕直接和黑客联系

所以需要中间人。

④ 客户不知道 ransom 的真实金额

这是最重要的一点。

黑客可能只要求：

$10,000

但受害企业不知道应该付多少。

于是第三方 recovery firm 拥有巨大的信息优势。

十八、因此这个行业天然存在“信息不对称”

可以把 MonsterCloud 所处的市场画成：

          信息优势                          ↑                          │                 Recovery Company                          │                ┌─────────┴─────────┐                │                   │            技术能力             黑客渠道                │                   │                └─────────┬─────────┘                          │                        客户                          │                信息严重不足                          │              “到底能不能破解？”              “黑客到底要多少钱？”              “有没有真的支付？”

这也是为什么 ransomware recovery 行业非常容易出现：

高价 + 不透明 + 客户无法验证

的问题。

2019 年安全公司 Coveware 的负责人就把包括 MonsterCloud 在内的一些公司称作 ransomware “payment mills”，并批评这种商业模式利用受害者恐慌。features.propublica.org

十九、但是要区分“高利润”与“欺诈”

这是理解案件的关键。

假设：

黑客要 $10,000
Recovery company 收客户 $100,000

单凭这一点：

不能证明诈骗。

因为公司可能提供：

• 24/7 incident response
• ransomware analysis
• negotiation
• crypto transaction
• legal coordination
• forensic investigation
• system recovery
• malware removal
• security hardening

这些都可以构成 $90,000 的服务价值。

真正的问题是：

客户是否被告知了真实的 recovery mechanism？

这也是 DOJ 目前案件的法律核心。

二十、目前案件中最关键的证据之一

这是我认为整个案件最值得关注的一点。

DOJ 表示，2019 年有一位 MonsterCloud 的付费 spokesperson向 Pinhasi 询问：

MonsterCloud 是否真的拥有可以解密 ransomware 的 proprietary software？

根据 indictment，Pinhasi 当时的回复是：

MonsterCloud 并没有 proprietary technology 用于解密 ransomware data。

如果这一段在审判中被证实，它的意义非常大。

因为它会形成：

          对外营销：      “proprietary technology”      “advanced decryption techniques”                       VS             内部/私下：      “没有 proprietary technology”

这正好对应检方的 wire-fraud 理论。司法部

二十一、为什么 DOJ 现在才起诉？

这是一个值得注意的问题。

2019 年就已经有媒体调查。

但是：

媒体报道 ≠ 刑事案件证据达到起诉标准。

联邦调查需要：

• 财务记录
• 客户合同
• email
• crypto wallet
• ransom transaction
• 公司内部通讯
• 客户付款
• 与攻击者沟通记录
• 员工/contractor 证言

而 DOJ 现在的 indictment 表明，检方认为自己已经掌握足够证据，可以把问题提升到：

Federal wire fraud

层面。

目前 FBI 仍在调查。DOJ 也表示案件可能涉及其他已知或未知的 MonsterCloud 员工和 contractors。theregister

二十二、目前 Pinhasi 的法律状态

截至2026 年 10 月 8 日：

DOJ 明确提醒：

indictment 只是指控，Pinhasi 在被证明有罪之前仍被推定无罪。司法部

二十三、把整个故事浓缩成一句话

如果让我用投资/尽调的语言总结：

MonsterCloud 表面上是一家 ransomware remediation / data recovery 公司，其商业价值主张是利用专有技术帮助客户在不支付 ransom 的情况下恢复数据；但美国联邦检方目前指控其负责人 Zohar Pinhasi 实际上经常通过向 ransomware 攻击者支付赎金来获得 decryptor，然后向客户收取远高于实际 ransom 的费用，并隐瞒真实的恢复方式。

其中最重要的数字是：

客户收费 > $19 million

实际 ransom payment > $8 million

以及一个极具代表性的交易：

$8,200 ransom → $150,000 customer bill司法部

二十四、我的判断：这个案件真正值得关注的不是“有没有给黑客钱”

从商业和法律角度看，“给 ransomware 黑客付钱”本身并不是这个故事最核心的问题。

真正值得关注的是：

① 是否虚假宣传技术能力

如果没有 proprietary decryption technology，却对客户如此宣传，这是核心问题。

② 是否隐瞒 ransom payment

如果客户明确认为“不支付 ransom”，但实际上支付了，这是第二个核心问题。

③ 是否利用信息差进行巨大 markup

$8,200 → $150,000 是非常极端的例子。

④ 是否存在系统性行为

$19M revenue / $8M ransom payments，以及涉及数百客户的指控，使它看起来不是一次偶发交易，而是检方认为存在系统性模式。司法部

⑤ Pinhasi 过去的公开说法与现在 indictment 是否发生冲突

这是未来审判中非常重要的一条线索。

一个重要的时间线

2003— Pinhasi 参与成立 PC USA Computer Solutions Providers。features.propublica.org

2013— Florida 官方登记 Monster Cloud LLC。BisProfiles

2016–2019— ransomware 成为其重要业务方向；MonsterCloud 开始大量宣传 ransomware recovery。

2019— ProPublica 深度调查 MonsterCloud，研究人员质疑其所谓“无需支付 ransom 的解密”模式；Pinhasi 否认误导客户。features.propublica.org

2019— 关于 MonsterCloud testimonial、化名 Zack Green、law-enforcement testimonials 等问题出现媒体调查。Ars Technica

2023— DOJ 当前 indictment 所描述的案件中出现 $8,200 → $150,000 的交易。司法部

2026-09-23— 联邦大陪审团起诉 Pinhasi。

2026-10-07— Pinhasi 在纽约东区联邦法院出庭接受提审。司法部

2026-10-08（目前）— 案件仍在进行，Pinhasi 尚未被定罪。