В Пенсильвании задержан 54-летний канадский руководитель в сфере кибербезопасности Эдвард Дубровский: в судебном реестре фигурируют обвинения в сговоре и вымогательстве. Несколько источников связывают дело с расследованием против группы ShinyHunters, на счету которой, по данным ФБР, более 140 взломанных организаций и свыше $70 млн выкупов за последний год. Для компаний, которые привыкли видеть в консультантах по реагированию на инциденты последнюю линию защиты, эта история особенно неприятна.
Дубровского взяли под стражу во время кибербезопасностной конференции в Пенсильвании, сообщает BleepingComputer. Сначала он предстал перед судом Восточного округа Пенсильвании, затем его перевели в Восточный округ Техаса, где было заведено дело. Материалы жалобы пока засекречены, поэтому конкретные действия, вменяемые задержанному, публично не раскрыты. Это важная оговорка: официально ФБР не подтвердило, что именно Дубровский является упомянутым ведомством предполагаемым сообщником ShinyHunters.
В карточке дела указаны сговор с целью угрожать раскрытием конфиденциальной информации ради получения денег, а также вымогательство и сговор с целью вымогательства по закону Хоббса. Первый состав связан с положениями американского законодательства о несанкционированном доступе к компьютерным системам. Второй обычно применяется, когда угрозы используются для получения имущества или денег и затрагивают торговлю между штатами. Но между формулировкой в реестре и доказанным обвинением лежит судебное разбирательство: пока речь идёт о подозрениях и процессуальных документах, а не о приговоре.
Имя Дубровского выделяется на фоне типичных новостей о задержании хакеров. Ранее он был сооснователем канадской компании CYPFER и был связан с CyberSteward — структурами, работающими с жертвами утечек, программ-вымогателей и кибершантажа. По сведениям Politico, CyberSteward используется как торговое наименование CYPFER; обе компании помогают организациям вести переговоры с вымогателями и переводить требуемые суммы. Дубровский также выпустил книгу о стратегическом реагировании на кибервымогательство. Иными словами, следствие, если связь с делом подтвердится, рассматривает не очередного оператора фишинговой рассылки, а человека с опытом работы на стороне пострадавших компаний.
Почему следствие связывают с ShinyHunters
Накануне задержания директор ФБР Каш Патель сообщил об аресте ещё одного предполагаемого соучастника группы ShinyHunters. The New York Times писал, что речь идёт о гражданине Канады, задержанном в Пенсильвании, которого считают одним из ключевых участников недавнего взлома портала вакансий ФБР. Позднее Politico и KrebsOnSecurity назвали задержанным Дубровского. KrebsOnSecurity со ссылкой на несколько источников напрямую связал арест с расследованием деятельности группы. Публичная хронология при этом пока не отвечает на главный вопрос: что именно, по версии следствия, делал Дубровский и имел ли эпизод отношение к атаке на ФБР.
Группа ShinyHunters известна кражами данных из веб-приложений и облачных SaaS-сервисов с последующими требованиями денег. Если жертва не платит, злоумышленники угрожают публикацией массива данных или его продажей. Название ShinyHunters за годы стало зонтичным: под ним действовали разные участники кампаний по хищению и вымогательству. Группа также работала по модели «вымогательство как сервис», помогая давить на компании, уже скомпрометированные другими атакующими.
В последних кампаниях злоумышленники всё чаще нацеливались на корпоративные облака и SaaS-платформы. В ход, по информации ФБР, шли похищенные учётные данные, токены аутентификации, фишинг и социальная инженерия. Это не столько история о редкой уязвимости в одном продукте, сколько о цепочке слабых мест вокруг идентификации: сотрудник, служба поддержки, доступ подрядчика, сессия в браузере, недостаточно строгие правила MFA. Для разработчиков и администраторов вывод приземлённый: защищать нужно не только код и периметр, но и жизненный цикл учётных записей, токенов и привилегий в облачных сервисах.
Для бизнеса дело добавляет риска в и без того спорную область переговоров с вымогателями. Компании, столкнувшиеся с шантажом, часто привлекают посредников, потому что им нужны техническая оценка инцидента, переговорная тактика и понимание санкционных рисков. Однако сама по себе роль посредника требует жёсткой проверяемости: кто получает доступ к материалам расследования, кто общается с преступниками, кто санкционирует платежи и как фиксируются решения. Чем больше у внешнего консультанта доступ к данным об утечке и внутренней коммуникации клиента, тем выше цена ошибок в контроле и конфликтов интересов.
Расследование против группы ShinyHunters уже вышло за рамки охоты за отдельными взломщиками: ФБР связывает с ней серию арестов и задержаний в разных странах после атаки на собственный кадровый портал. Дело Дубровского может показать, готово ли следствие проверять всю экосистему вокруг кибервымогательства — от исполнителей атак до людей, которые оказываются рядом с переговорами и денежными потоками. Пока жалоба остаётся под грифом секретности, рынку остаётся отделять подтверждённые процессуальные факты от громких, но ещё не доказанных связей.