Сколько стоит взломанный компьютер? Экономика Genesis Market

На той же секции EUROCRIM Hannah Kuhn, PhD candidate, представила исследование Genesis Market — одного из крупных рынков, где продавался доступ к уже скомпрометированным компьютерам.

Рынок существовал в clear web и был закрыт FBI в 2023 году.
Продавался там, по сути, не компьютер и не отдельный украденный пароль, а готовый цифровой профиль жертвы — bot: набор данных, полученных с заражённого устройства. В него могли входить cookies, browser fingerprints, сведения об операционной системе и другие данные, позволяющие покупателю использовать уже скомпрометированную систему.

Исследователей заинтересовал довольно простой вопрос: как вообще формируется цена такого товара на нелегальном рынке?
Для обычного рынка мы можем предполагать, что цена в какой-то степени сигнализирует о качестве товара. Но на криминальном рынке возникает дополнительная проблема доверия. Покупатель не может обратиться в службу защиты потребителей, если продавец продал ему бесполезный доступ. Поэтому цена и характеристики товара могут одновременно работать как signals of quality, credibility and risk.

Авторы соединяют здесь rational choice perspective Cornish and Clarke с signalling theory Gambetta: покупатель сопоставляет ожидаемую выгоду, цену и риски, но вынужден одновременно искать признаки того, что продавцу и предлагаемому товару вообще можно доверять.

И данные здесь впечатляющие. Исследователи собрали информацию с Genesis Market за период с декабря 2017 по март 2022 года — в общей сложности о 262 018 bots. Для каждого были доступны характеристики вроде количества браузеров, cookies, наличия fingerprint, операционной системы, региона происхождения и скидки.

Причём Kuhn анализировала не просто среднюю связь каждой характеристики с ценой. Использовался conjunctive analysis of case configurations: исследователей интересовали комбинации характеристик, которые особенно часто встречаются среди необычно дешёвых или, наоборот, необычно дорогих предложений.
Например, overpriced bots чаще содержали большое количество cookies, происходили из Европы и Северной Америки и не продавались со скидкой. Для operating system и региона тоже обнаруживались устойчивые комбинации. А вот для самих скидок такой ясной структуры исследователи не увидели.

После доклада из зала прозвучал очень правильный вопрос: хорошо, мы научились предсказывать, какие комбинации характеристик связаны с overpricing и underpricing. А что именно это позволяет нам объяснить?

Ведь в самом исследовании Cybercrime market не только как места совершения преступлений, но и буквально как рынка (с ценообразованием, информационной асимметрией, сигналами качества и проблемой доверия между участниками etc), нет ничего революционного..

Здесь обнаружилось слабое место исследования. Авторы предполагают, что цена и характеристики bot могут работать как сигналы качества и доверия на рынке, где покупатель особенно рискует быть обманутым. Возможно, через них можно изучать и preferences покупателей — какие скомпрометированные системы для них более привлекательны. Но представленный анализ этого пока непосредственно не показывает: он хорошо описывает структуру pricing, но не позволяет увидеть, как покупатели интерпретируют эти сигналы и как они влияют на их выбор.

Получился почти учебный пример того, что очень большой и необычный dataset, сложный метод и обнаруженные patterns ещё не автоматически складываются в объяснение. Между вопросом «какие закономерности есть в данных?» и вопросом «что мы благодаря им узнали о поведении участников криминального рынка?» остаётся ещё один исследовательский шаг.

#EUROCRIM2026 #Cybercrime #CyberCriminology #IllegalMarkets #GenesisMarket #DigitalMethods #EmpiricalCriminology #LEADLab