一份麦当劳订单如何揭开俄黑客组织的国家背景

原创

Owllntel
Owllntel

猫头鹰OSINT

2026年7月20日 17:00
四川

在小说阅读器读本章

去阅读

一杯冰茶、9块鸡块、一个麦香鸡汉堡。这看似是一份普通到不能再普通的外卖订单，却成为安全研究人员追踪俄罗斯国家背景黑客的重要线索。

在网络空间里，攻击者往往隐藏于复杂的基础设施、匿名账户和伪造身份之后。但有时候，真正暴露他们身份的，并不是高深的技术漏洞，而是生活中留下的微小痕迹——一次外卖、一组手机号、一份泄露数据库中的个人资料。

近日，网络安全研究机构 Ctrl-Alt-Intel 发布调查报告称，通过公开信息、泄露数据以及多源交叉分析，他们发现俄罗斯黑客组织 Void Blizzard（又称 Laundry Bear）成员 Denis Obrezko 可能与俄罗斯紧急情况部（EMERCOM）旗下信息分析中心存在关联。

而整个调查过程中，一个令人意外的突破口，正是一份来自俄罗斯外卖平台的数据。

2025年10月30日，俄罗斯公民德尼斯·奥布雷兹科（Denis Obrezko）降落在泰国普吉岛，准备开启他的度假之旅。然而不到一周，泰国警方就应美国联邦调查局（FBI）的要求将其逮捕。随后，奥布雷兹科被引渡至美国并遭到起诉，罪名是参与了俄罗斯国家级威胁发起者“Void Blizzard”（又称 Laundry Bear）的网络攻击行动。

早在2025年5月，微软就将“Void Blizzard”列为重点关注的威胁实体，称其为与俄官方关联的威胁发起者，长期对北约成员国及乌克兰开展大规模的网络间谍与情报搜集活动。微软与荷兰情报和安全总局（AIVD）及军事情报和安全局（MIVD）联合跟踪显示，该组织自2024年4月起异常活跃，并在2025年4月密集通过精心设计的定向鱼叉式网络钓鱼（Spear Phishing）攻击窃取目标凭证。虽然其使用的技术手段并非独一无二，但攻击成功率极高，且攻击目标与俄军情报总局（GRU）下属黑客团队存在高度的重合，暴露出明确的国家级情报收集优先级。

FBI指控背后的另一条线索

美国司法文件显示，Obrezko 曾经与俄罗斯安全机构存在联系。

美方于2026年6月公布的起诉书显示，奥布雷兹科在2012年至2017年期间，曾以未知身份为俄罗斯联邦安全局（FSB）工作。随后，他又成为俄罗斯技术公司 Yutek-NN 的副负责人，而美国方面认为该公司与 Void Blizzard 的网络行动有关。

公开资料显示，Yutek-NN 成立于2011年，对外业务主要包括软件开发、项目管理和IT咨询。从公司官网来看，它似乎只是一家普通技术企业。但调查人员发现，Yutek-NN 曾获得俄罗斯联邦安全局颁发的特殊许可证，该许可证涉及“秘密获取信息”相关技术领域：

这意味着，这家公司虽然公开业务低调，但其技术能力和业务范围可能涉及俄罗斯安全体系关注的领域。

当然，仅凭许可证并不能证明该公司参与网络间谍活动。调查人员也强调，目前没有独立证据证明 Yutek-NN 直接实施了网络攻击。

然而，多个线索开始逐渐汇聚。

开源情报与数据泄露背后的技术溯源

FBI 在起诉书和誓词中公布了奥布雷兹科的数字身份信息，包括三个电子邮箱和一个手机号码：wisperrrrr[@]gmail.com、w1sper[@]mail.ru、denis.obrezko[@]gmail.com 以及 +79263799902。

研究人员利用这些信息，对俄罗斯多个泄露数据库进行了关联分析。

研究人员首先在 2012 年 VKontakte（俄最大社交平台）的数据泄露库中，利用 w1sper[@]mail.ru 和手机号找到了名为“Denis Wisperrrrr Obrezko”的账号。该账号早在2012年就标注其毕业于俄顶尖理工院校——莫斯科鲍曼国有技术大学（МГТУ им. Баумана），所学专业正是“信息安全”。

随后在 Kaggle 等公开平台找回的个人照片，进一步锁定了其人脸与数字身份的对应：

随后的突破来自于 2023 年阿尔法银行（Alfa-Bank）的泄露数据，研究人员从中发现了一个与奥布雷兹科个人账号关联的全新座机号码 +74994457578。

通过以该座机号为支点进行数据枢轴分析，研究人员交叉比对了俄网贷平台 OneClickMoney 和知名快递公司 CDEK 的泄露数据库。

在网贷平台的背景审核数据中，有三名不同的申请人同时将 +74994457578 填为自己的工作单位电话，且三人填写的雇主名称完全一致——俄罗斯紧急情况部信息与分析中心（ФГБУ \"ИАЦ МЧС РОССИИ\"），办公地址指向莫斯科达维德科夫斯卡亚街7号。该中心正是负责俄紧急情况部全套内部 IT 架构与网络信息安全的核心技术部门。

麦香鸡汉堡曝光的现实轨迹

但真正令人意外的证据，还来自外卖平台。

2021年3月1日下午3点30分左右，一个与 Obrezko 相关的邮箱账户[email protected]，在 Delivery Club 下单了一份麦当劳外卖，包含一杯立顿冰红茶、九块麦乐鸡和一份麦香鸡汉堡。订单的指定送达地址为：莫斯科达维德科夫斯卡亚街7A号（Москва, Давыдковская улица, 7А）。

通过谷歌地图比对，确认该送货入口正是俄罗斯紧急情况部全俄民防和紧急情况研究所（VNIIGOChS）的楼宇所在地：

进一步统计显示，仅在2021年3月至12月期间，奥布雷兹科使用其个人数字标识符向该政府办公园区及周边极窄区域订购外卖的记录高达至少13次。这些订单无一例外集中在工作日的下午14:15至17:00之间，极具说服力地证明了他在2021年期间不仅拥有该官方机构的内部联系方式，且长期在此处日常办公或执行敏感任务。

复杂的利益关联与人员流动网络

进一步的背景调查表明，Yutek-NN 与紧急情况部（EMERCOM）之间的关联绝非奥布雷兹科一人。在俄语区知名技术职场平台 Habr Career 上，研究人员通过公开的履历数据发现了多起跨机构的人员流动现象：至少有一名技术人员从 IAC EMERCOM 跳槽至 Yutek-NN，同时有两名工程师从 Yutek-NN 离职后直接进入 IAC EMERCOM 任职。

鉴于此类职场平台的数据仅依赖用户主动公开，实际的人员交叉流转规模可能远超目前看到的最小可见集。

不仅如此，Yutek-NN 这一实体在此前就曾卷入俄政治风暴。早在2021年5月，俄独立媒体 Meduza 在调查反对派人士纳瓦利内（Alexey Navalny）支持者 52.9 万个电子邮箱地址泄露及后续恐吓邮件事件时，就曾关注过该公司。调查显示，Yutek-NN 的创始人及长期所有者米哈伊尔·杜丁（Mikhail Dudin）以及前总经理瓦迪姆·盖辛（Vadim Gaisin）均与该起网络攻击的基础设施存在间接纽带，而盖辛恰好在针对反对派支持者的恐吓邮件爆发前一天（2021年4月14日），被任命为俄总统管理局研发中心（GlavNIVTs）的负责人。