駭客也能外包：美國議員點名三家印度公司，管得住的是名單，管不住的是需求

2026 年 9 月 11 日，路透社報導，三名美國國會議員聯名致函，要求商務部將三家印度公司列入「實體清單」：BellTroX、CyberRoot，以及一家名字看起來最無害的 Sunkissed Organic Farms Pvt. Ltd.。這家公司是 Appin Technology 改名而來，連同其子公司都在議員建議的制裁範圍內。

提出要求的三位議員，是民主黨參議員羅恩・懷登（Ron Wyden）、謝爾登・懷特豪斯（Sheldon Whitehouse），以及共和黨眾議員帕特・哈裏根（Pat Harrigan）。他們在信中說，這些公司針對美國公民、企業與代理律師的定向間諜活動，已經持續超過十五年。

一封聯名信，把一門存在已久、卻很少被正式搬上檯面的生意照了出來：駭客，是可以按件計酬外包的。

委託方不是壞人，是律師和調查員

這門生意最容易被誤解的地方，在於想像中的客戶形象。多數人以為僱駭客的是詐騙集團或敵國情報機構，但路透社 2022 年的調查描繪的是另一幅圖景：CyberRoot 和 BellTroX 的常見委託人，是西方的律師事務所與私人調查公司，案件場景則是再普通不過的商業糾紛與訴訟。

打個比方，這就像法律戰裡的「地下證據組」。表面上雙方在法庭交換狀紙，檯面下有人付錢請人入侵對方當事人、證人或律師的信箱，先一步看到對手的牌。2023 年的另一項調查則指出，Appin 是這個行業的早期參與者，攻擊目標涵蓋企業高管、政界人士、軍方人員與富裕人士。《紐約客》、調查新聞局，以及 Meta、Google 的安全報告，都曾把相關活動連到這幾家公司。

三家公司的管理人否認有不當行為。Sunkissed Organic Farms 與 CyberRoot 未回應路透社置評，BellTroX 則聯繫不上。路透社目前在印度還與一個名為「Appin 培訓中心協會」的組織訴訟中，對方指控報導損害其聲譽，路透社否認，案件仍在進行。

換句話說，十五年來這門生意從來不缺需求方。委託鏈上有律師、有調查公司、有付錢的當事人，每一環都體面，最髒的那一段被切出來外包。這也是為什麼點名三家印度公司，比較像修剪枝葉，而非處理根系。這與我們先前分析的116 家公司連署 AI 時代網路安全所反映的產業焦慮，其實是同一條線：攻擊已經產業化，防守還在各自為政。

實體清單到底掐住哪裡

很多人聽到「實體清單」會直覺聯想到凍結資產或刑事追訴，但這份清單的機制其實更樸素：它是美國出口管制體系的一部分，被列入的公司，取得美國原產的軟體、雲端基礎設施與網路安全工具的管道會被切斷。

用生活比喻，這比較像「行會除名」。被除名的人還是可以開業，但買不到行會認可的材料與工具，做生意的手續成本會明顯上升。對一家靠入侵技術喫飯的公司來說，失去取得美國資安工具與雲端服務的合法管道，確實是實質打擊，前提是它們原本依賴這些管道。如果攻擊工具與基礎設施早就轉向其他供應商，清單的效力就會打折。

截至報導發布，美國商務部尚未宣布是否採納建議。從過往節奏看，議員聯名信是啟動程序的第一步，後續還有跨部門審查。對被點名的公司而言，真正的成本可能在認定結果出爐前就開始累積：客戶會計算與之名義上往來的風險，管道商會提前保持距離。

改名這件事，本身就是訊號

值得多看兩眼的是 Sunkissed Organic Farms 這個名字。一家被調查報導指為駭客服務早期參與者的公司，後來的名字叫「陽光親吻有機農場」，業務範圍寫的是農產品。這種命名與業務的落差，在有償駭客產業裡是常見的存活策略：調查報導點名、訴訟壓力上來之後，換個名字、換個註冊業務，客戶關係與人脈網路原班人馬搬過去。

這也是為什麼議員的信裡特別把「前身」與「子公司」都寫進制裁範圍。監管方學到的教訓很清楚：如果清單只列當下的名字，效果就是追著一串不斷換殼的招牌跑。

對讀者來說，這件事的實際意義有兩層。其一，如果你或你服務的公司涉及跨國商業糾紛或訴訟，攻擊面早就不限於法庭文件，律師信箱、證人帳號都是標的，資安部門對訴訟期間的針對性攻擊要有劇本。其二，判斷一則資安新聞的分量，可以看它處理的是「人」還是「結構」。抓一個駭客是處理人，把委託鏈與換殼模式納入制裁範圍，才是處理結構。

三位議員的信，是後者的嘗試。清單還沒落地，需求也還在。這門生意真正降溫的那天，得等到委託方開始為「付錢買入侵」付出夠重的代價為止。