В мае 2015 года бывшая сотрудница Минобороны России Ксения Большакова получила с неизвестного адреса письмо от Международной биржи информации Joker.buzz. Ей сообщали, что вся ее деловая и личная переписка за последние четыре года, а также фотографии, видео, sms и сообщения в мессенджерах будут проданы с аукциона. Большакова ответила, что ничего покупать не собирается и даже готова отправить свои приватные снимки «для оживления архива». Хакеры шутку не оценили.
В июле вся ее информация была выставлена на аукцион за 350 биткоинов — это почти $100 000, а в августе похитители предложили сотрудникам Департамента военной контрразведки ФСБ выкупить лот с 50-процентной скидкой — в переписке якобы были обнаружены незашифрованные служебные документы, например, о размещении атомных подводных лодок и комплексов «Искандер». «Вымогательство чистой воды», — отрезает Большакова в интервью Forbes.
Ее переписка не была целью хакеров — они сами признают, что их интересовал начальник Ксении Роман Филимонов, экс-руководитель Департамента строительства Минобороны и бывший вице-губернатор Московской области.
За информацией высокопоставленных лиц развернулась настоящая охота.
Сейчас на бирже продается информация якобы с устройств премьер-министра Дмитрия Медведева, его пресс-секретаря Натальи Тимаковой, ее мужа — бывшего сотрудника ВТБ Александра Будберга, брата заместителя председателя правительства Аркадия Дворковича и еще нескольких бизнесменов и госчиновников и близких к ним людей.
Поисками похитителей информации в разное время занимались ФСО, Центр информационной безопасности ФСБ, Восьмое управление Минобороны, которое отвечает за шифрование связи, но хакеры по-прежнему недосягаемы. В сентябре они запускают англоязычную версию сайта и обещают выложить новые информационные массивы. Торговля конфиденциальной информацией всегда была прибыльным бизнесом, но теперь технические средства помогают похищать информацию даже у первых лиц государства, а прибыль, получаемая через аукцион, больше, чем у традиционных ресурсов с компроматом.
Forbes узнал, как работает этот нелегальный бизнес.
Совместный проект
За столом сидят трое: Анатолий Собчак в полосатой майке, Владимир Путин в бирюзовом спортивном костюме с красными полосками, его жена Людмила. Супруга Путина оживленно спорит с Собчаком. Перед ними накрытый стол: фужеры, пиво, закуски. Эта любительская видеозапись, сделанная в 1992 году на даче Собчака, была выставлена на продажу на онлайн-аукционе Libertas.bz. Торги стартовали с 30 биткоинов, а продан лот был за 330 биткоинов. Покупатель неизвестен.
Запущенный осенью 2014 года портал Libertas.bz, по словам его владельцев, задумывался как аналог российского Wikileaks, где информаторы могли бы не только анонимно разместить информацию, но и заработать на ней. Тогда же создатели онлайн-аукциона Libertas.bz вышли на членов «Анонимного интернационала» и предложили работать вместе. «До этого мы некоторые свои массивы продавали самостоятельно и даже сами задумывались о создании подобной площадки», — сообщает Forbes представитель «Анонимного интернационала», представившийся как Льюис (интервью для Forbes он дает через крипточат).
Впервые «Анонимный интернационал» (также известен как «Шалтай-Болтай») заявил о себе в декабре 2013 года, выложив в сеть текст новогоднего обращения Владимира Путина, а самой резонансной их акцией считается взлом Twitter-аккаунта премьер-министра Дмитрия Медведева. Через специальный блог «Шалтая-Болтая» также публиковалась переписка Аркадия Дворковича, депутата Госдумы Роберта Шлегеля, бывшего заместителя начальника управления внутренней политики Администрации президента Тимура Прокопенко и других чиновников. «Есть мнение, что эти ресурсы [биржа, «Анонимный интернационал»] используются для слива компрометирующей информации в рамках аппаратной борьбы», — говорит источник, близкий к правоохранительным органам.
После того как перепиской одного из «взломанных» бизнесменов заинтересовался Следственный комитет, тот поспешил побыстрее выкупить информацию с биржи.
«Это никакая не политика и не борьба за свободу интернета, это бизнес. Ребята давно и прочно работают с информацией за хорошие деньги», — уверяет собеседник Forbes, знакомый с деятельностью «Анонимного интернационала». «Информацию выгодно похищать только у известных персон, — замечает Алексей Тюрин, директор департамента защищенности компании Digital Security. — На такие данные всегда найдутся покупатели, будь то конкуренты, представители медиа, либо сам владелец конфиденциальных сведений. Вообще, это похоже на хороший коммерческий проект».
«Мы не торгуем компроматом в стиле пиар-агентств, мы даем сырую информацию», — уверяет Льюис. По словам источника Forbes, часть команды «Анонимного интернационала» действительно зарабатывала на добыче информации по заказу частных и официальных лиц. С появлением биржи у них открылись новые возможности. После того как создатели биржи договорились о совместной работе с «Анонимным интернационалом», сайт Libertas.bz был закрыт, и 7 апреля 2015 года биржа была перезапущена под именем Joker.buzz.
Льюис рассказывает, что в группу «Анонимного интернационала» входит 10-12 человек. В команде биржи два человека — «основатель», который решает организационные вопросы и ведет переговоры, и «техник», отвечающий за техническую сторону сайта. Цели для атаки определяются на общем собрании в крипточате. Льюис говорит, что новые лоты появляются каждый день, но проблема в том, что «Анонимному интернационалу» не хватает рабочих рук — два аналитика, которые разбирают гигабайты переписки, «тонут в информации». В качестве средства платежа были выбраны запрещенные в России биткоины, они обеспечивают анонимность. «По карте, даже если она и на вымышленное имя, можно отследить участников транзакции», — поясняет Льюис.
Уценка информации
Первые месяцы работы биржи были не особо удачными. В аукционе по продаже информационного массива, якобы принадлежащего Михаилу Дворковичу, брату Аркадия Дворковича, принял участие лишь один человек. Тогда продавцы решили провести краудфандинг — собрать с посетителей сайта деньги, чтобы выложить информацию в общий доступ, но акция не увенчалась успехом.
В итоге «Дворкович» ушел по бросовой цене 11 биткоинов единственному претенденту.
Из размещенного на бирже массива, скопированного якобы у супруга помощницы вице-премьера Натальи Тимаковой Александра Будберга, произошла утечка. Представители «Анонимного интернационала» объясняют это тем, что кто-то из постоянных подписчиков решил попробовать получить доступ к массиву Будберга самостоятельно — один из его аккаунтов был взломан повторно. Члены «Анонимного интернационала» не любят конкурентов и заявляют, что они заткнули дыру сами.
Итоги аукциона по личной переписке Медведева были аннулированы. Сейчас этот массив висит «на лотке» — так называют бессрочные аукционы. «Он у нас исполняет роль витрины, но, возможно, мы и снизим цену раза в три. На подходе новые лоты для витрины», — заявляет Льюис. О ком именно идет речь, говорить отказывается. В сентябре «Анонимный интернационал» обещает выпустить демоверсию массива Тимура Прокопенко с его почты и мобильных устройств.
Ситуация изменилась, когда к реализации лотов подключились посредники — клиенты, которые уже покупали раньше массивы информации и теперь самостоятельно выходят на тех, кому потенциально могут быть интересны выставленные на бирже лоты. Например, одно из столичных детективных агентств вело переговоры о выкупе лотов с членом совета директоров ЗАО «Газпромнефть-Аэро» Леваном Кадагидзе и Ильей Гудковым, генеральным директором ФКУ «Ространсмодернизация». В «Газпром нефти» уверяют, что в компании не зафиксировано утечек коммерческих или иных конфиденциальных данных, а единичные случаи, когда информация попадала в интернет, касались личной переписки сотрудников. В «Ространсмодернизации» на вопросы Forbes не ответили.
По словам Льюиса, за пару месяцев «Анонимный интернационал» наторговал на бирже на 1000 биткоинов (около $275 000). Очень быстро ушли массивы, якобы принадлежащие Левану Кадагидзе, Илье Гудкову, Ивану Саввиди (депутат Госдумы, владелец компании «Донской табак»). После того как переписка якобы пресс-секретаря Медведева Натальи Тимаковой была уценена, ее выкупили за 150 биткоинов. Не исключено, что этот массив покупал иностранец. «Писал на английском. По IP-адресу, стилю общения, оговоркам можно сделать такой вывод», — рассказывает Льюис. Тимакова от комментариев по этой теме отказалась. «Лоты стали продаваться даже быстрее, чем мы ожидали, — замечает Льюис. — Мы стали пользоваться биржей как основным каналом продажи».
Механизм покупки следующий. Между сторонами не происходит личных встреч или телефонных переговоров — все контакты ведутся через защищенный мессенджер Threema. Покупателя просят завести счет в биткоинах и положить туда сумму, равную стоимости лота. После тестового микроплатежа на указанный «Анонимным интернационалом» счет покупатель переводит остальную сумму — частями или полностью. Биржа за свои услуги получает 20%. Все, что зарабатывает «Анонимный интернационал», по словам Льюиса, тратится на новые сервисы, связанные с его деятельностью. «Мы не знаем точно, кто именно покупает массив — сам фигурант, его конкуренты или его близкие, которые делают ему подарок», — говорит Льюис. При этом он говорит, что есть клиенты, которые оставляют заявки, и информация не выставляется на биржу, а сразу передается им. «Интересует все, что человек скрывает, — переписка, фото, сообщения с устройств. Но у нас высокие расценки, и не за все беремся. Нам заказывали Навального, вернее, выкидывали такое предложение, но мы вежливо отказались», — рассказывали Льюис.
Сейчас главный лот на бирже — массив информации о гибели малайзийского Boeing (рейса MH-17) за рекордную сумму 35 000 биткоинов (около $10 млн). Его продавцом, по информации Forbes, является Федеральный информационный центр «Аналитика и безопасность». Один из создателей центра, экс-глава службы безопасности Бориса Березовского Сергей Соколов рассказал Forbes, что в результате расследования им удалось получить записи переговоров радиообмена офицера боевого управления с летчиком военного самолета, находившегося в момент катастрофы рядом с Boeing-777, видеозапись из кабины ЗРК-БУК, сделанная мобильным телефоном, данные радиоэлектронного перехвата телефонных переговоров сотрудников иностранных спецслужб, заключения взрывотехнической экспертизы.
vrezka
Соколов подчеркивает, что в лот входят не распечатки, а именно носители информации — мобильные телефон, флешка, магнитный носитель в виде катушки с проволокой, который ФИЦ выкупал у фигурантов дела. «Итогом нашего расследования стала версия о теракте на борту Boeing, который организовали иностранные спецслужбы», — утверждает Соколов. Льюис говорит, что отношение к расследованию у него настороженное, но лот представляет большую общественную значимость: обычно сайт посещают 100-200 уникальных посетителей в день (изредка доходило до 2000), но, когда выставили информацию по самолету, посещаемость подскочила до 10 000 человек.
Слабое звено
Взломать Twitter-акаунт Дмитрия Медведева хакерам не представляло особого труда — якобы логин и пароль был записан у него в заметках на iPad. «Зачастую даже VIP-персоны уверены, что защищать нужно только рабочие аккаунты, а их личные ресурсы никто не станет ломать. При этом давно известно, что через доступ к индивидуальному аккаунту преступники могут захватить контроль над корпоративными и даже государственными ресурсами», — объясняет Тюрин из Digital Security.
«Человек всегда самое слабое звено системы защиты, — замечает директор Учебного центра «Информзащита» Михаил Савельев. — В крупных корпорациях порой сложнее всего защитить именно руководителя. Его сложно заставить соблюдать правила, рекомендации он порой просто не слышит, ввиду того что голова его занята глобальными проблемами, а перечить или указывать ему на ошибки подчиненные боятся».
Тем более что арсенал у хакеров разнообразен, особенно когда есть денежный ресурс: перехват сигналов при помощи подставных Wi-Fi роутеров и фальшивых точек мобильной связи, кратковременный физический доступ к устройствам (от карманника до подкупленного официанта), доступ к резервным копиям, взлом через уязвимости в программном обеспечении, социальная инженерия. «Учитывая хаотичный характер взломов, очень похоже на то, что они ломают все, что ломается», — замечает Тюрин.
Например, жертве на почту отправляется письмо со ссылкой — так происходит заражение трояном для дальнейшего получения доступа к информации. Чтобы у человека не возникло сомнений, письма приходят от реальных партнеров (для этого сначала взламываются их компьютеры) или потенциальных клиентов. Существует несколько программ, с помощью которых можно было получить пароли от iCloud и почты, просканировать локальную сеть или установить удаленный контроль.
Расследованием взлома Медведева и Тимаковой занималось ФСО, взлома сотрудников Минобороны — Восьмое управление Генштаба и ФСБ. После того как летом 2014 года была взломана почта начальника Департамента имущественных отношений Минобороны Дмитрия Куракина, а весной 2015-го — помощницы экс-руководителя Департамента строительства Минобороны Романа Филимонова, и без того суровые меры безопасности в военном ведомстве были усилены. «У нас и раньше было строго: работает своя локальная сеть, доступ в соцсети закрыт, вся почта просматривается офицером, телефоны глушатся», — рассказывает сотрудник ведомства. По его словам, взлом данных высокопоставленных сотрудников нанес репутационный ущерб, но никакой утечки гостайны не произошло.
Сами хакеры уверяют, что не стали бы торговать гостайной.
Но и без этого их деятельность подпадает под целый ряд статей, замечает Михаил Савельев: если информация была украдена с помощью технических средств – это статья 272 УК РФ, если есть факт незаконного ознакомления с почтой (электронной, бумажной) – 138 УК РФ, если там присутствует информация о личной жизни – 137 УК РФ, а если это еще и похищенная и незаконно введенная в оборот коммерческая тайна, то это статья 183 УК РФ. Если в продаваемых сведениях нет заявленной информации, то есть это фейк или недостоверные данные, то продавец подпадает под статью 159 УК РФ (мошенничество).
«Единственным «окончательным» решением этого вопроса с точки зрения официальных властей может быть поимка создателей ресурса с последующим блокированием сайта», — замечает Тюрин. Но вычислить создателей, обладающих высокой квалификацией в сфере ИТ, невероятно сложно.