53-летний IT-специалист из Мэриленда признал вину в передаче Эфиопии американских секретных материалов и согласился на тюремный срок от 120 до 262 месяцев. Эта утечка секретных данных важна не только как дело о шпионаже: она показывает, насколько опасным сочетанием становятся широкий доступ, ночная смена в поддержке и формально легитимные права на перенос файлов между системами.
Абрахам Теклу Лемма работал в нескольких структурах правительства США — включая Национальное управление военно-космической разведки, Госдепартамент и Минюст, — а доступ Top Secret имел с 2020 года. По данным The Register, с 2019 по 2023 год он совмещал разные роли: вечером был техником help desk в Госдепе, днём — контрактным аналитиком по управлению в Минюсте.
Следствие утверждает, что Лемма без служебной необходимости изучал закрытые порталы, не относившиеся к системам Госдепа, и скопировал сведения как минимум из 133 разведывательных отчётов. У него было право перемещать данные между классифицированными системами, а также переносить несекретные файлы из закрытого контура в открытый. Но доступ к материалам на сторонних системах требовал письменного разрешения и должен был быть связан с его обязанностями. Именно этот разрыв между техническими полномочиями и принципом need-to-know стал центральной деталью дела.
Материалы уровней Secret и Top Secret, по версии обвинения, Лемма записывал более чем на 100 CD и DVD. Маркировку секретности он удалял, а сами носители снабжал зелёными этикетками, предназначенными для несекретной информации. После смены в защищённом помещении SCIF он выносил диски в кармане куртки. В других эпизодах он просматривал секретные документы на компьютере, делал записи от руки, складывал листы и также уносил их с собой.
Помощь иностранным чиновникам и деньги на счетах
По данным прокуратуры, передача сведений эфиопским чиновникам через зашифрованный мессенджер началась примерно в августе—сентябре 2022 года. В переписке фигурировали документы, фотографии, карты, заметки и сведения об Эфиопии. Собеседники запрашивали данные о командных пунктах, логистических центрах, военных объектах и других темах, связанных с вооружённым конфликтом в регионе.
Минюст США заявил, что среди контактов Леммы были высокопоставленные представители политических, военных и разведывательных структур Эфиопии. Следователи также считают, что копии секретных файлов хранились на его личных накопителях, к которым эфиопские представители удалённо обращались с апреля по июнь 2023 года. Активность продолжалась примерно до августа 2023-го.
Дело не ограничилось цифровыми следами. Во время предполагаемого сотрудничества с иностранными чиновниками Лемма внёс на банковские счета более 66 тыс. долларов. В одном из эпизодов он пытался положить сумму свыше 10 тыс. долларов и, как утверждает обвинение, резко отговаривал сотрудника банка оформлять обязательный отчёт о крупной операции. Само по себе наличие депозитов не объясняет их происхождение, но в совокупности с передачей разведданных это стало заметным элементом доказательной картины.
Помощник директора подразделения контрразведки и противодействия шпионажу ФБР Роман Рожавски заявил, что переданная информация использовалась в военных операциях во время продолжающегося конфликта. Лемма признал вину, поэтому суду ещё предстоит определить срок в согласованном диапазоне от десяти лет до почти 22 лет. Для американской практики это не символическое наказание за нарушение внутренней политики ИБ, а признанное шпионское преступление.
Почему это должно волновать ИТ-команды
Для специалистов по безопасности история выглядит неприятно знакомо. В ней нет сложной zero-day-атаки, экзотического вредоносного ПО или внешнего взлома: утечка секретных данных строилась на обычных операциях с доступом, носителями и физическим периметром. Техник поддержки — не обязательно самый высокопоставленный сотрудник, но его роль часто предполагает широкий обзор инфраструктуры и возможность устранять чужие проблемы. А такие полномочия легко превращаются в лазейку, если контроль оценивает только факт успешного переноса данных, а не его деловую обоснованность.
Практический вывод для компаний и госорганизаций — права на экспорт, копирование и понижение уровня классификации нужно рассматривать как особенно рискованные привилегии. Нужны раздельные роли, ограничение времени действия доступа, журналирование операций и проверка аномалий: массового чтения не связанных с задачей документов, записи на носители, необычных сочетаний учётных записей и нестандартных рабочих смен. Полезны и регулярные проверки того, сохраняется ли у сотрудника реальная потребность в доступе, а не только формальное разрешение в системе.
Физическая безопасность тоже не исчезла из этой модели угроз. Защищённая комната, маркированные носители и запрет на вынос информации работают лишь тогда, когда процедуры нельзя обойти простым переклеиванием этикетки или листом бумаги в кармане. Чем больше организация полагается на доверие к владельцу привилегий, тем дороже обходится одна неотслеженная цепочка действий. В ближайшие годы утечка секретных данных всё чаще будет расследоваться на стыке IAM, DLP, физического контроля и финансовой аналитики — потому что по отдельности эти сигналы слишком легко принять за рутину.
