企业、个人等提供的网络服务数据库被黑客窃走的行为，在安全圈又被称为“拖库”。数据库是企业最核心的数据资料，其中包括会员信息、订单信息、财务信息等等大量高度敏感的商业机密。一旦被拖库，企业就有可能面临股价下跌、法律制裁、用户唾骂甚至直接倒闭。2014携程就曾因漏洞导致部分会员信用卡的 CVV 码泄露，股价直跌10%。

为什么要拖库？

就像德国电影《我是谁，没有绝对安全的系统》里面的男主角一样，有些黑客仅仅是为了炫技。当然，也有部分是为了积累自己的“军火库”。但更多黑客做这件事，是为了将技术能力变现。不过这个变现方式属于非法的黑色产业，一旦被抓获，所面临的起诉罪名有可能将牢底坐穿。

那么问题来了，黑客的技术变现是如何实现的呢？

一、 截单

所谓截单，是指用户在网站下单后，这些从事非法行当的黑产从业者会赶在正品送到前，将假冒产品快递给用户来截取费用，或者用户下单后立马在正规网站中删除该笔订单，然后黑产从业者用伪品跟用户进行交易，从而骗取费用。

这类黑产人员的目标多为减肥、壮阳等药品网。因为这类商品成本较低，操作简单且利润极高。

黑产老板主要通过两种方式获取这些交易数据。比如，直接雇佣黑客入侵，黑客负责捞取最新的订单，按订单数给黑客提成。又或者，直接雇佣黑客入侵网站。黑客将植入的后门交付给黑产老板。

二、盗取用户信息

雇佣黑客盗取用户信息一般多为商业竞争。

举个栗子，A 企业是一家互联网金融 P2P 公司。起步没有什么订单，于是联系黑产老板去盗取 B 企业的客户信息，包括姓名、电话、邮箱、地址、购买的东西等等，这时候黑产老板则会联系黑客入侵 B 企业，或者在黑产圈子的 QQ 群里到处吼“ www.xxxx.com 十万拿数据，有意小窗”。在 A 企业非法拿到这些信息之后，会给这些用户打电话、发邮件，进行销售。

三、拖库洗号

在游戏行业，每月投入资金数千元的玩家大有人在，更不要说在热门游戏投入巨资的土豪级人物了。因此，现金流充沛的游戏行业，也成为了黑客们的“重点关照对象“。

针对游戏市场，黑产通常的做法是拖库“洗号”和入侵“改装备”。所谓“洗号”是指登录玩家的游戏账号后将装备盗走，然后在游戏装备交易网站进行兜售。而入侵“改装备”，一般通过入侵服务器，然后给自己的小号加装备和在账户充值等，接着将改好的账号放在网上出售。

主动出击

与其亡羊补牢，不如主动出击。潜藏在暗处的黑客并非漫无目，他们通常更喜欢挑选防御薄弱的站点的实施攻击。因此为站点部署SSL证书，为来往邮件做好加密等基本安全措施不可少，只有加强企业安全防御，才能让黑客知难而退。