Бывший военнослужащий армии США получил 70 месяцев тюрьмы за взломы и вымогательство данных у минимум 10 технологических и телеком-компаний. Для русскоязычной IT-аудитории это не очередная история про «хакера из подвала», а напоминание: слабые пароли, украденные учетки и отсутствие MFA по-прежнему превращают корпоративные данные в товар на форумах.
21-летний Cameron John Wagenius, известный в сети как kiberphant0m и cyb3rph4nt0m, был арестован в Техасе в декабре 2024 года, сообщает BleepingComputer. По данным суда, с апреля 2023-го по декабрь 2024-го он вместе с сообщниками атаковал сети американских компаний, крал учетные данные, получал доступ к чувствительным клиентским записям и требовал деньги под угрозой публикации украденной информации.
Приговор оказался вполне материальным: 70 месяцев лишения свободы и 294 978 долларов компенсации. Wagenius признал вину в феврале 2025 года по делу о взломе AT&T и Verizon, где фигурировали незаконная передача конфиденциальных телефонных записей. В июле 2025 года он также признал вину по нескольким эпизодам, включая кражу личности при отягчающих обстоятельствах, сговор с целью мошенничества с использованием электронных коммуникаций и вымогательство, связанное с компьютерным мошенничеством.
Самая неприятная деталь для служб безопасности в этой истории — методика не выглядит фантастически сложной. По материалам дела, Wagenius во время службы в армии США участвовал в разработке инструмента SSH Brute, с помощью которого группа подбирала или добывала логины и пароли к сетям жертв. Украденные учетные данные пересылали через Telegram, там же координировали атаки. Никакой магии из кино: учетные записи, парольная гигиена, доступы, которые живут дольше, чем должны, и коммуникации в мессенджере.
После кражи данных группа переходила к давлению. Компании шантажировали напрямую и публично: угрожали выложить данные на киберкриминальных форумах BreachForums и XSS.is либо продавали похищенную информацию за тысячи долларов. По версии Минюста США, Wagenius и его сообщники пытались выжать из владельцев данных не менее 1 млн долларов. Часть украденной информации, как утверждают власти, действительно была продана, а часть использовалась для дальнейшего мошенничества, включая SIM-swapping.
Отдельная линия дела ведет к более крупной истории вокруг Snowflake. Двух предполагаемых сообщников Wagenius — Connor Riley Moucka, известного как Waifu и Judische, и John Erin Binns, известного как irdev и j_irdev1337, — в ноябре 2024 года обвинили во взломах более 165 организаций, использовавших облачное хранилище Snowflake. Речь шла о терабайтах данных и требованиях выкупа за удаление украденной информации и отказ от публикации. Moucka задержали в Канаде 30 октября 2024 года по запросу США; в августе 2026 года он признал свою роль в этой кампании.
Список пострадавших в Snowflake-связанных инцидентах показывает масштаб проблемы лучше любого лозунга про «периметр больше не существует». Среди затронутых организаций назывались AT&T, Ticketmaster, Santander, Los Angeles Unified, QuoteWizard/LendingTree, Pure Storage, Advance Auto Parts и Neiman Marcus. Последствия измерялись не только репутационным ущербом: утечки затронули сотни миллионов людей. После этих атак Snowflake объявила, что будет принудительно включать многофакторную аутентификацию и требовать от клиентов пароли длиной не менее 14 символов.
Для разработчиков и DevOps-команд здесь есть несколько практичных выводов, без морализаторства. Во-первых, сервисные и пользовательские учетные записи надо считать полноценным активом, а не скучной строкой в конфиге. Во-вторых, доступы к данным должны иметь понятный срок жизни, владельца и журнал использования. В-третьих, MFA для административных и облачных аккаунтов уже давно не «дополнительный слой», а санитарный минимум. Когда вымогательство данных строится вокруг украденных учеток, отсутствие многофакторной защиты выглядит не экономией времени, а кредитом под очень высокий процент.
Бизнесу эта история тоже полезна, особенно компаниям, которые хранят клиентские данные в сторонних облачных сервисах и считают, что безопасность целиком лежит на поставщике. Облако может закрыть часть инфраструктурных рисков, но не спасет от слабой модели доступа, reused-паролей, неотключенных аккаунтов подрядчиков и отсутствия мониторинга аномальных выгрузок. В деле Wagenius важны не только срок и фамилии, а сам паттерн: злоумышленникам больше не обязательно шифровать всю сеть, если можно украсть данные, пригрозить публикацией и продать то, за что компания годами собирала доверие пользователей.
Приговор на 70 месяцев вряд ли остановит рынок украденных учетных данных, но он показывает, куда смещается давление правоохранителей: от абстрактных «хакерских групп» к конкретным людям, никам, чатам, форумам и денежным потокам. Для отрасли главный вопрос теперь не в том, будет ли следующая атака через облачный аккаунт или телеком-базу. Вопрос жестче: сколько компаний уже знают, какие их учетные записи могут стать входной дверью, и сколько предпочитают узнать это из письма с требованием выкупа.
