Крупнейшая кибератака на американские банки может обойтись русскому хакеру в $19 млн штрафа и в 20 лет заключения. Андрей Тюрин, который в США украл персональные данные 100 млн человек, признал свою вину. От его действий в 2014 году пострадали клиенты крупнейших компаний, включая JPMorgan Chase. А сообщники хакера смогли манипулировать рынком и отмывать миллионы долларов. Как им это удалось? В деталях дела разбирался Иван Корякин.
Фото: Gary Hershorn / Reuters
Фото: Gary Hershorn / Reuters
7 сентября прошлого года в аэропорту Stewart в 100 км от Нью-Йорка приземлился самолет из Грузии. На борту находился экстрадированный Андрей Тюрин — 35-летний россиянин, которого обвиняли в крупнейшей кибератаке на американские банки. На ближайшем заседании суда хакер заявил о своей невиновности, спустя полгода дал первые показания, а сейчас, наконец, сознался — это он похитил личные данные 100 млн человек. Все произошло еще пять лет назад, когда Тюрин атаковал компьютерные системы банка JPMorgan Chase, инвестиционных фирм Fidelity Investments, E-Trade Financial и Scottrade. Зачем ему нужны были данные их клиентов? Вариантов для преступлений много, говорит директор департамента информационной безопасности Национальной инжиниринговой корпорации Лука Сафонов: «Если это информация о дебетовых и кредитных картах, ее банально можно разбить на мелкие части и перепродать на черный рынок для разного рода мошеннических операций. Часть этих данных, соответственно, могли использовать для спама, для изъятия денег непосредственно у клиентов банка. Также эта информация может использоваться еще и как шантаж самого банка».
Но Тюрина, видимо, больше всего интересовали персональные данные инвесторов. Как пишет BBC, хакер и его сообщники расхваливали им ценные бумаги, которые злоумышленники дешево скупали. А если Тюрин взламывал еще и брокерские конторы, и даже СМИ, он мог манипулировать рынком как угодно. Злоумышленники, по сути, это и делали — взвинчивали котировки, на чем зарабатывали иногда миллионы долларов, утверждает обвинение. Но как Тюрину удалось проникнуть в системы финансовых компаний? Гендиректор «1С-Битрикс» Сергей Рыжиков не исключает, что взлома и не было: «Через трейдерские системы он добыл данные небольших частных инвесторов, и, видимо, информация была не очень хорошо защищена. На мой взгляд, организации не придавали значения и не воспринимали всерьез, что утечка персональных данных такого количества небольших инвесторов может быть как-то использована.
Я подозреваю, что никакого взлома и не было. 12 организаций — предположить, что у всех одна и та же уязвимость, достаточно сложно».
Тюрин работал на группу злоумышленников из Израиля, США и России. У них было, пожалуй, все, чтобы стать киногероями: подпольные казино, криптобиржи, 75 отмывочных компаний, серверы в Египте и Южной Африке и около 200 поддельных удостоверений личности. Если называть это преступной корпорацией, то русский хакер Тюрин в ней был главным айтишником или просто ценным сотрудником. За все эпизоды ему грозит до 97 лет заключения — это самый жесткий вариант. Но, по информации Bloomberg, обвинение будет требовать для Тюрина каких-то 15-20 лет тюрьмы. Это благодаря сделке со следствием, полагает юрист-международник Дмитрий Романенко: «Две стороны получают некое приемлемое решение. Если человек видит, что, с одной стороны, ему грозит 100 с лишним лет, а с другой стороны, он получит те же 15, на фоне такой угрозы, над ним нависшей, конечно, он охотнее идет на сделку со следствием и признает себя виновным в том-то и том-то».
Как хакерские атаки распространяются по банковской системе
Дополнением к тюремному заключению может стать и штраф — $19 млн. Так что лучшие времена в карьере Тюрина, видимо, закончились. Но историю хакинга он все-таки вошел, как автор крупнейшей из всех известных кибератак на американские банки.
Как ожидается, приговор по делу хакера Андрея Тюрина огласят в США 13 февраля.