31 ТБ академических данных, 8 000 взломанных почтовых аккаунтов и ущерб на $3,4 млрд: в США довезли одного из предполагаемых участников кампании, известной как дело Mabna Institute. Для русскоязычной IT-аудитории эта история важна не только как очередной сюжет про госхакеров: она показывает, как университетские ящики, исследовательские базы и корпоративные R&D-связи превращаются в инфраструктуру атаки.
Иранско-турецкий гражданин Амир Барати был экстрадирован в США из Черногории 1 октября, сообщает Tom's Hardware. Полиция Черногории задержала его в июне по запросу ФБР. В августе Барати и еще 16 граждан Ирана получили обвинения в мошенничестве с использованием электронных средств связи и компьютерном мошенничестве; дело должно рассматриваться в Южном округе Нью-Йорка.
По версии американских властей, все 17 обвиняемых связаны с Mabna Institute, иранской компанией, которую США давно относят к участникам атак с государственной поддержкой. Следствие утверждает, что кампания началась в 2013 году и продолжалась несколько лет. За это время злоумышленники якобы получили доступ к тысячам аккаунтов профессоров и исследователей в США и других странах, а затем вытаскивали оттуда научные материалы, учетные данные и интеллектуальную собственность.
Масштаб в обвинении выглядит не как «взломали пару кафедр ради PDF-файлов». В США пострадали 144 университета, 42 частные компании и пять госструктур, включая Министерство труда и Федеральную комиссию по регулированию энергетики. За пределами США, по данным обвинения, атаки затронули 178 университетов, 11 компаний и как минимум две НКО. В сумме следствие оценивает ущерб и потери более чем в $3,4 млрд.
Отдельная роль Барати, если верить судебным документам, была не в романтическом «одиночном хакерстве», а в операционной работе: он якобы помогал отслеживать ход атак на университеты и составлять списки целей для частного сектора. Это важная деталь. В больших киберкампаниях ценность часто создают не только эксплойты, но и рутинная разведка: кто у кого работает, где лежат нужные данные, какой профессор сотрудничает с какой лабораторией, через чей почтовый ящик проще добраться до закрытого доступа.
Украденные данные и доступы, по версии обвинения, передавались иранскому правительству и затем использовались в интересах Корпуса стражей исламской революции, иранских организаций и университетов. Формально это еще предстоит доказывать в суде, поэтому корректное слово здесь — «предположительно». Но сама логика обвинения понятна: академическая среда стала не побочным ущербом, а целевым источником технологий, исследований и связей.
Экстрадиция Барати выглядит редкой удачей для американских правоохранителей. Обвиняемые в атаках, связанных с государствами, обычно остаются вне досягаемости судов США: они не летают через удобные для ареста юрисдикции, а страны происхождения не спешат их выдавать. Здесь сработала география и международный запрос ФБР. Для силовиков это маленькая, но показательная победа: даже старые кибердела не всегда превращаются в архивную пыль.
Контекст у этой истории неприятно широкий. Ирану приписывают заметные возможности в кибероперациях, и источники Tom's Hardware связывают с иранскими группами несколько крупных эпизодов последнего времени: подозрения в атаках на поставщиков воды в 45 муниципалитетах США в августе и заявление иранско-связанной группы о мартовской атаке, где были стерты более 200 000 устройств и извлечено свыше 50 ТБ данных. Это не доказательство по делу Барати, но фон понятен: инфраструктура, исследовательские центры и частные компании давно находятся в одной зоне риска.
Для бизнеса и IT-команд практический вывод довольно приземленный. Университетский аккаунт партнера, почта приглашенного исследователя, доступ к репозиторию совместного проекта или облачная папка с материалами для гранта — все это часть цепочки поставки данных. Если компания работает с вузами, лабораториями, подрядчиками по R&D или международными исследовательскими консорциумами, ей мало защищать только свой периметр. Нужны MFA без исключений, нормальная сегментация доступа, аудит гостевых учеток, контроль пересылки документов и быстрая реакция на компрометацию внешнего партнера.
Дело Mabna Institute еще раз показывает, что академические данные давно перестали быть «не такими уж секретными». Для атакующего это карта компетенций, заготовка для промышленного шпионажа и список людей, через которых можно идти дальше. Главный вопрос теперь не в том, сколько подобных кампаний уже попало в обвинительные заключения, а сколько таких связок между вузами, компаниями и государственными заказчиками до сих пор выглядят для защитников как обычная переписка.