Бывший сотрудник ЦРУ Дэвид Дж. Раш признал вину в хищении почти $200 млн: по версии американских властей, он создал фиктивную секретную программу и использовал её для вывода государственных средств, включая закупки сотен золотых слитков. Для IT-аудитории это не просто история о госслужащем с чрезмерными полномочиями, а наглядный сбой контроля доступа, согласований и финансового мониторинга в среде с максимальным уровнем секретности.
Раш заключил соглашение с прокуратурой США и признал вину по одному эпизоду мошенничества с использованием средств связи, сообщает TechCrunch. Следствие утверждает, что он солгал о своём образовании и военном опыте при трудоустройстве в ЦРУ, а затем воспользовался служебным положением, чтобы оформить крайне закрытый проект и направлять деньги в собственное распоряжение.
По материалам дела, схема работала в течение 2025 года. Раш занимал высокую должность и имел существенные полномочия в программах разведки и распределении бюджетов. Он якобы представил операцию как план обеспечения непрерывности работы правительства на случай войны, стихийного бедствия или иной масштабной катастрофы. Под такой вывеской была создана фиктивная секретная программа с уровнем доступа, который обычно применяется к особенно чувствительным разведывательным операциям.
Ключевым элементом стала подложная госконтрактная конструкция. Неназванного оборонного подрядчика, как утверждают прокуроры, убедили закупить крупные объёмы золота, которое затем оказалось у Раша. Во время задержания правоохранители нашли у него дома золотые слитки примерно на $46 млн, более $2 млн наличными, а также автомобили и часы. Общий объём хищений следствие оценивает почти в $200 млн.
Особенно неприятная деталь для любой организации с дорогими и закрытыми проектами — формулировка из судебных документов. По данным следствия, должностное положение Раша фактически позволяло ему быть собственным согласующим: он мог тратить значительные суммы без содержательной независимой проверки. В корпоративном языке это означает, что контроль существовал в интерфейсе процесса, но не работал как контроль.
Ранее сообщалось, что Раш с 2010 года работал в подразделении ЦРУ, связанном с разработкой инструментов и техник для разведывательных операций в цифровой среде. Детали программ, к которым он имел доступ, публично не раскрываются: их публикация, по данным американских СМИ, могла бы затронуть действующие операции. Соглашение о признании вины избавляет Раша от полноценного публичного процесса, а государство — от необходимости подробно объяснять, как сотрудник прошёл проверку и как схема оставалась незамеченной больше года.
Для разработчиков внутренних систем, CISO и руководителей финансовых функций здесь нет экзотической «шпионской» морали. Даже самый защищённый периметр не компенсирует отсутствие разделения ролей. Если один человек способен инициировать закрытый проект, выбирать подрядчика, подтверждать необходимость расходов и обходить обычную сверку, то это не доверенная архитектура, а единая точка отказа с бюджетом в сотни миллионов долларов.
Практический вывод касается не только государственных структур. Высокочувствительные инициативы — от R&D и M&A до incident response и корпоративной разведки — часто получают сокращённый маршрут согласований ради скорости и конфиденциальности. Именно поэтому для них нужны отдельные журналы решений, независимая финансовая сверка, контроль аномалий у подрядчиков и правило, при котором автор запроса не может единолично его утвердить. Секретность не отменяет аудит; она повышает цену его отсутствия.
Приговор Рашу назначен на конец января 2027 года, максимальное наказание по этому эпизоду — до 20 лет лишения свободы. Главный вопрос останется шире одного уголовного дела: смогут ли организации строить закрытые программы так, чтобы защита информации не превращалась в защиту от внутреннего контроля.