《Futures》：Cybercrime as a Service: Mapping Future Threats through a Policy Delphi Study
编辑推荐：
网络犯罪即服务（Cybercrime as a Service, CaaS）正在改变网络犯罪服务的组织和销售方式、"网络犯罪分子"的身份构成及其能力边界。研究人员采用政策德尔菲法（Policy Delphi），邀请来自产业界、执法机构、学术界和公共部门的50名
网络犯罪即服务（Cybercrime as a Service, CaaS）正在改变网络犯罪服务的组织和销售方式、"网络犯罪分子"的身份构成及其能力边界。研究人员采用政策德尔菲法（Policy Delphi），邀请来自产业界、执法机构、学术界和公共部门的50名主题专家参与研究。研究结果表明，勒索软件（Ransomware）和网络钓鱼（Phishing）预计仍将是通过CaaS模式提供的最普遍服务。专家预测，云互联（cloud interconnectedness）、防御成本上升（rising defensive costs）以及小语言模型（Small Language Models, SLMs）将推动CaaS生态的未来扩张。干预的优先领域包括技术推动因素（technical enablers），同时亦需着力解决网络攻击的低报（underreporting）问题。
**论文解读：网络犯罪即服务（CaaS）生态系统的未来威胁与干预策略**
**一、研究背景与问题提出**
随着"一切皆服务"（Everything as a Service, XaaS）模式在全球数字经济中的普及，网络犯罪亦演化出与之对应的商业化范式——网络犯罪即服务（Cybercrime as a Service, CaaS）。CaaS是指具有高水平技术专长的个体开发并分发综合性恶意数字操作工具包的商业模型，其设计以易用性为导向，使缺乏技术能力的犯罪者也能实施原本无法完成的网络攻击。这种网络犯罪的工业化与民主化产生了"力量倍增器"效应，推动了大规模自动化攻击的增长，令传统的事件响应和执法能力不堪重负。
尽管CaaS已被广泛认定为严重的数字威胁，现有文献仍存在三方面显著空白：其一，学术焦点长期局限于单一威胁向量（如勒索软件即服务Ransomware as a Service, RaaS或钓鱼即服务Phishing as a Service, PaaS），忽视了支撑更广泛生态系统的跨领域组织基础设施与服务依赖关系；其二，既有研究多将暗网市场、加密通信平台和加密货币混合器等CaaS推动因素（enablers）割裂考察，缺乏对其在CaaS供应链中系统性融合的分析；其三，缺乏对新兴技术超越纯AI威胁向量（如深度伪造、虚假信息）之外如何被整合进网络犯罪的研究。为此，本研究旨在调查CaaS生态系统内的新兴趋势、技术与社会经济推动因素及预期未来威胁，为政策制定者和执法机构提供前瞻性见解。
**二、研究设计与核心结论**
研究人员采用地平线扫描（horizon scanning）方法，开展了一轮包含三轮的政策德尔菲（Policy Delphi）研究，专家组由50名来自学术界、产业界、执法部门和公共部门的主题专家构成，地理范围覆盖五眼联盟（Five Eyes）国家及欧洲。研究围绕三个核心问题展开：当前CaaS生态系统的主要技术、结构和社会经济推动因素是什么；跨领域专家如何预计CaaS威胁格局在未来5至10年的演变；专家认为哪些干预机制能最有效瓦解CaaS。
研究得出以下核心结论：CaaS已不可逆转地改变了网络犯罪格局，主要体现为降低犯罪活动的准入门槛，导致低层级、高数量的犯罪（如RaaS和PaaS）显著增加。这一扩散态势由技术与社会经济推动因素的融合所支撑，包括主流社交媒体平台上的CaaS宣传可及性，以及跨部门可行动情报共享的缺失。勒索软件和网络钓鱼预计仍将是最普遍的服务类型。在未来的推动因素方面，专家共识指向云基础设施的日益互联、网络安全防御成本的持续上升以及小语言模型（SLMs）的发展。干预的优先领域则包括技术推动因素的治理，以及着力解决网络攻击的系统性低报问题。
**三、关键技术方法（不超过250字）**
本研究采用三轮政策德尔菲法（Policy Delphi）。第一轮（2024年4月至2025年1月）通过Microsoft Teams进行半结构化访谈，涵盖10个开放式问题，收集专家对CaaS的体验、观察趋势及未来挑战的看法，访谈记录经主题分析（thematic analysis）提炼核心主题。第二轮（2025年3月截止）以Qualtrics在线调查形式，将第一轮分析所得主题呈现给参与者，采用7点李克特量表（7-point Likert scale）评估同意程度，并邀请参与者就未来推动因素进行时间线评估（即刻推动、5年内、5-10年、10年以上、不会成为推动因素）。第三轮（2025年6月截止）向参与者展示群体评分及其分布，允许其修订评分并就未达成共识的陈述重新评级。共识程度以四分位距（Interquartile Range, IQR）衡量，IQR≤1为高度共识，1-2为中度共识。样本主要来自英国（n=37），其余来自美国（n=3）、澳大利亚（n=2）、欧洲（意大利和荷兰，n=4）及全球执法界（n=4）。
**四、研究结果**
**4.1 访谈阶段发现（Interview stage findings）**
第一轮访谈中，专家指出CaaS的影响涵盖三类：推动更复杂的高级持续性威胁（Advanced Persistent Threats, APTs）扩散、增加低层级高数量网络犯罪（如钓鱼攻击）、以及促成威胁行为者的多样化。在具体服务类型上，勒索软件（21次提及）和钓鱼（18次提及）讨论最多，其次为分布式拒绝服务（DDoS，7次）、初始访问代理（6次）等。勒索软件操作中，联盟（affiliate）模式日益突出，知名的RaaS提供商包括LockBit、Akira、ALPHV/BlackCat等。
**4.2 CaaS的影响（Impact of CaaS）**
参与者高度共识地认为，CaaS最显著的影响在于降低准入门槛并带来低层级数量型犯罪增加，以及网络犯罪威胁行为者数量的上升。同时，在CaaS调查中难以区分犯罪角色（"我们常常不知道谁是谁，因为该模式层级众多"）、缺乏关于CaaS构成的严格定义也获得高度共识。中度共识包括：自2020年以来RaaS攻击目标从"大猎物狩猎"转向"中猎物狩猎"（即中型企业），以及少数大型提供商占据市场主导地位。
**4.3 犯罪者（Offenders）**
高共识表明，专门从事CaaS的新型有组织犯罪集团（Organised Crime Groups, OCGs）正在涌现，现有OCGs是CaaS的常见客户。参与者强调年轻犯罪者参与度上升，CaaS运营呈现公司化结构，包含大量支持角色和高度的劳动分工。值得注意的是，存在"参与CaaS却不知自己卷入犯罪企业"的人员，通常从事技术支持聊天等支持角色。与此相关，参与者对CaaS公司是否具备完整企业架构（人力资源、招聘、数据泄露部门等）仅达成中度共识，认为这取决于提供者的规模和成熟度。对于"CaaS领域缺乏能开发新漏洞利用的熟练工人"的说法，专家们高度共识地表示反对。
**4.4 推动因素（Enablers）**
高共识表明，网络事件的大面积低报是CaaS的关键推动因素——低报导致难以构建情报图景，从而削弱干扰能力。社会经济挑战（生活成本、发展中国家犯罪者受雇于CaaS生态）亦被强调为推动因素。加密货币、去中心化金融、Telegram等加密平台的使用，以及开放社交媒体上的CaaS广告均被视为推动因素。值得注意的是，关于暗网论坛在CaaS中的重要性以及AI生成内容的当前使用情况，专家意见在第三轮调整后才达成共识。相当比例的参与者（24%）表示根据经验AI尚未被广泛用于CaaS，但更多人将AI视为现在及未来的主要推动因素之一。多数参与者不同意暗网是CaaS生态系统主要推动因素的观点。
**4.5 CaaS的未来（The future of CaaS?）**
高共识预测包括：RaaS和PaaS将持续构成重大威胁；互联系统的目标锁定将增加；供应链效应（非攻击本身）将上升；开发者将被"培养"进入CaaS生态系统。关于互联系统，专家特别指出智能城市与关键国家基础设施（Critical National Infrastructure, CNI）的整合是突出担忧。大服务（如LockBit RaaS，据估计2022-23年占五眼国家勒索软件的20-25%）将进一步碎片化为更小、更专业的服务（如通过Telegram等平台分发窃取凭据的Omega Cloud服务）。由于系统互联性和服务碎片化，供应链效应将上升——单点突破通过互联的商业关系传播，引发广泛的运营失败或财务损失。参与者还预测，由于日常生活中数据收集增加导致隐私侵蚀，社会对个人信息价值的文化认知将发生变化，数据泄露将变得更有利可图。
**4.5.1 未来推动因素（Future enablers）**
高共识表明，云基础设施的日益互联将成为CaaS未来推动因素。源于此的网络安全成本上升和网络安全软件垄断性控制亦被视为有影响力的推动因素——垄断造成网络安全格局中的单点故障（如2024年7月CrowdStrike相关IT中断事件）。与当前使用情况（未达共识）形成对比，小语言模型（SLMs）和人工智能被一致认定为未来推动因素。参与者还普遍同意，持续去中心化的互联网、金融和社交媒体将成为"大规模"未来推动因素，特别是游戏社区中年轻群体通过CaaS模式获取DDoS服务的广告现象。宏观经济驱动因素（社会经济差距扩大）将促使个人将CaaS生态作为可行收入来源。量子计算的共识仅在第3轮达成，且同意程度不如其他推动因素明确，参与者认为其可能在未来10年以上才成为更重要的推动因素。VR相关犯罪被认为不太可能成为CaaS推动因素的重要贡献者。
**4.5.2 未来推动因素时间线（Timeline of future enablers）**
仅12名参与者回答了该问题。多数推动因素均有参与者认为已在推动CaaS，但程度各异。云互联、网络安全垄断和防御成本上升中约半数认为已是推动因素，其余预计在未来5年内实现。宏观经济和社会经济因素及AI进展被视为5年内的重要驱动因素。中期推动因素（5-10年）包括小语言模型和通用人工智能。量子计算和虚拟现实则被认为可能在10年以上发挥作用或根本不被视为推动因素。
**4.6 应对措施（Responses）**
跨辖区和跨部门的情报共享以及可行动情报的共享被视为有效干扰的主要障碍。地方和区域执法参与者指出，多数跨部门情报共享依赖个人关系而非组织化的正式安排。参与者对CaaS市场情报收集和威胁建模的开放性看法不一。高度共识支持以下措施：提升公众网络素养（政府、雇主、学校和技术公司共同责任）、增加对执法机构特别是网络犯罪部门的投资、转向以犯罪者为中心的响应（disrupting the infrastructure enabling and hosting CaaS）。参与者普遍不同意"逮捕CaaS犯罪者毫无意义"的观点，执法参与者指出成功的大规模CaaS运营干扰行动中，逮捕核心头目是关键。
**4.6.1 政策响应（Policy responses）**
高度共识支持以下监管措施：制造商和软件提供商应承担更多"安全设计"责任（所有参与者均同意）；对新公司实施彻底审查以防止空壳公司用于洗钱；加强政府对违规个人、公司和/或所在国的制裁以切断资金流向。金融行为机构的更清晰指导、大型科技公司的内容审核、加密货币立法也获得强共识。关于将勒索软件支付定为非法能否长期减少勒索软件攻击，仅在第三轮达成共识，多数参与者仅"略微同意"。对GDPR在解决CaaS方面的有效性和网络犯罪部分合法化的提议，意见分歧且偏负面。
**4.7 分歧点（Points of disagreement）**
七项陈述未达成共识，包括："按服务"术语是否使犯罪合法化、CaaS犯罪者是否自视为"合法商人"、CaaS是否导致更强APT、加密通信是否永远构成执法障碍、传统OCG是否将增加物理元素融入CaaS、CaaS是否将用于国家行为者的网络战，以及生成式AI是否将成为CaaS的主要推动因素。最后一项尤为值得关注——生成式AI在访谈中是被最频繁提及的未来推动因素，但最终未能形成一致意见，凸显了专业界对此技术威胁真实规模的不确定性。
**五、讨论与结论**
讨论部分指出，CaaS通过降低低层级高数量犯罪的准入门槛，已深刻改变网络犯罪格局。专家共识认为，较少数量的较大型CaaS提供商"主导市场"，但犯罪群体的品牌忠诚度显著缺乏，犯罪者呈现"品牌流动性"特征，频繁以新名称在不同运营中重新出现，这极大增加了执法机构追踪恶意行为者血统的难度。参与者建议采用标准化响应框架（如Cyber Kill Chain）来支撑干扰管理，但同时警告许多组织目前对该框架存在误解或误用。
关于未来应对策略，参与者高度认同主动措施，包括提高公众网络素养、投资执法和网络犯罪部门、基础设施干扰及以犯罪者为中心的回应。政策响应方面，专家同意进一步强化制造商和软件提供商的注意义务、政府/执法/金融行为机构的更清晰指导和制裁、以及大型科技公司在内容审核方面承担更高法律权重。加密货币监管获高度同意，勒索软件支付非法化的意见经过讨论后达成中度共识。
研究结论部分要点如下：本研究通过三轮德尔菲法，汇集50名从业者和学者的专家意见，在92项陈述中85%达成高度至中度共识。研究确认CaaS已不可逆转地改变网络犯罪格局，主要通过降低犯罪活动准入门槛，导致低层级高影响犯罪（如RaaS和PaaS）数量的增加。这一扩散由技术和社会经济推动因素的融合所支撑，包括主流社交媒体平台上CaaS宣传的可及性，以及跨部门可行动情报共享的缺乏。专家指出，事件低报是共识度最高的关键推动因素，政策制定者应探索强制报告立法作为全面数据收集和改进威胁情报的必要前提。专家同时强调基础设施警务和逮捕CaaS提供商核心头目对实现持久干扰的重要性。尽管生成式AI的全部变革性影响在专家组中仍有争议，但其在生态系统中的新兴角色表明，持续的前瞻性治理（anticipatory governance）对于减轻未来"犯罪丰收"（crime harvest）风险十分必要。本研究的发现为当前正在进行的监管转向提供了及时、专家驱动的验证，同时指出了需要战略性扩展政策的关键领域——包括针对各种规模企业的定向支持和全面的加密货币立法。未来的研究应优先关注开放社交媒体平台上网络犯罪工具的可及性增长、开源AI模型内部保障措施的稳健性，并通过多利益相关方活动（如红队演练）严格审查CaaS及其缓解策略，辅以对CaaS跨境挑战的地缘政治研究，确保监管框架在快速技术变革中保持弹性。
