Зоряна Білокрай
Міжнародна операція правоохоронців завершилася затриманням трьох імовірних учасників хакерського угруповання KillSec, яке пов’язують із масштабними атаками на компанії в різних країнах. За версією слідства, центральну роль у діяльності мережі відігравав 16-річний підліток. Попри юний вік, він нібито виконував функції головного адміністратора та координував окремі елементи злочинної інфраструктури.
Операція стала результатом спільної роботи правоохоронних органів дев’яти держав. Слідчі провели вісім обшуків на території Великої Британії, Іспанії, Греції та Румунії. Під час рейдів вилучили серверне обладнання, цифрові пристрої, домени, які могли використовуватися для діяльності угруповання, а також понад 110 терабайтів даних. Ця інформація має допомогти встановити повний масштаб атак і визначити всіх постраждалих.
Як діяла хакерська мережа
KillSec почала активно заявляти про себе у 2024 році. Учасники угруповання, за попередніми даними, атакували організації різного масштабу та з різних галузей. Серед потенційних цілей могли бути приватні компанії, установи, постачальники цифрових послуг і організації, які зберігали значні обсяги інформації у хмарних середовищах.
Основною мішенню злочинців ставали незахищені або неправильно налаштовані хмарні сервіси. У таких системах могли залишатися слабкі паролі, застаріле програмне забезпечення, надмірні права доступу або відкриті технічні інтерфейси. Виявивши вразливість, нападники отримували доступ до корпоративних файлів і копіювали документи, бази даних та інші конфіденційні матеріали.
За оцінками слідства, угруповання могло бути причетним майже до тисячі кібератак у різних частинах світу. Водночас остаточна кількість інцидентів ще встановлюється. Правоохоронці аналізують вилучені сервери та пристрої, тому нові деталі можуть з’явитися після завершення технічної експертизи.
На відміну від традиційних атак із використанням програм-вимагачів, злочинці не завжди блокували роботу комп’ютерних систем. Їхня тактика базувалася передусім на крадіжці інформації та подальшому шантажі. Після проникнення до мережі хакери копіювали файли, а потім повідомляли представникам компанії про злам і вимагали гроші за нерозголошення даних.
Шантаж викраденими файлами
Щоб переконати жертв у серйозності погроз, нападники могли надсилати фрагменти документів або списки файлів, отриманих із внутрішніх систем. Такий підхід створював додатковий тиск на керівництво компаній, адже оприлюднення викраденої інформації могло призвести до фінансових втрат, судових позовів і репутаційної шкоди.
Якщо організація відмовлялася виконувати вимоги, хакери погрожували опублікувати дані у відкритому доступі. У деяких випадках кіберзлочинці справді могли розміщувати викрадені матеріали на спеціально створених ресурсах або передавати їх іншим зацікавленим особам. Подібна схема називається подвійним вимаганням: злочинці не лише вимагають кошти, а й використовують сам факт витоку як інструмент тиску.
Слідчі вважають, що в KillSec існував розподіл обов’язків. Один учасник міг відповідати за технічне адміністрування та підтримку серверів, інший — за пошук уразливих цілей і проведення атак, а ще хтось — за переговори з представниками компаній. Така структура дозволяла угрупованню працювати як організована команда, у якій кожен учасник виконував окрему функцію.
Для приховування особистостей злочинці використовували псевдоніми, зашифровані канали зв’язку та анонімні облікові записи. Однак цифрова анонімність не гарантує повного захисту. Навіть якщо нападники приховують IP-адреси й застосовують спеціальні сервіси, слідчі можуть зіставити технічні сліди, часові мітки, дані про платежі та особливості роботи з файлами.
Міжнародне розслідування та захист компаній
Координацією операції займалися європейські структури, які спеціалізуються на співпраці у сфері кримінальної юстиції та боротьбі з кіберзлочинністю. До розслідування долучилися правоохоронці США, Великої Британії, Німеччини, Бельгії, Фінляндії, Греції, Румунії, Іспанії та Швейцарії. Участь кількох держав була необхідною, оскільки інфраструктура угруповання, підозрювані та потерпілі могли перебувати в різних юрисдикціях.
Окрему увагу слідство приділяє віку затриманих. Один із передбачуваних організаторів є неповнолітнім, а іншому підозрюваному нещодавно виповнилося 18 років. Це означає, що значну частину можливих злочинів він міг скоїти ще до повноліття. Подальша відповідальність затриманих залежатиме від законодавства країн, де відбувалися атаки, а також від доказів, зібраних під час розслідування.
Історія KillSec демонструє, що для організації масштабних кіберзлочинів не завжди потрібна велика команда з багаторічним досвідом. Доступ до готових інструментів, викрадених облікових даних і хмарних платформ може дати зловмисникам можливість атакувати значно більші організації. Саме тому компаніям важливо регулярно перевіряти налаштування цифрової інфраструктури та контролювати доступ до критично важливих даних.
Фахівці з інформаційної безпеки радять використовувати двофакторну автентифікацію, унікальні паролі та розмежування прав для працівників. Не менш важливо своєчасно оновлювати програмне забезпечення, шифрувати резервні копії, відстежувати підозрілу активність у хмарних системах і проводити навчання персоналу. Навіть базові заходи безпеки можуть значно ускладнити зловмисникам доступ до корпоративних ресурсів.
Наразі експерти досліджують вилучені сервери, комп’ютери та накопичувачі. Отримані матеріали можуть містити відомості про нові атаки, внутрішню структуру KillSec, способи комунікації її учасників і можливих спільників. Також слідчим належить повідомити постраждалі організації про те, які саме дані могли бути викрадені.
Затримання підозрюваних не означає миттєвого завершення справи. Кіберзлочинні мережі часто мають резервні сервери, дублікати даних і учасників, які залишаються поза увагою правоохоронців. Проте міжнародна операція проти KillSec може суттєво ускладнити роботу угруповання та стати попередженням для інших злочинців, які вважають цифровий простір безпечним місцем для масштабного здирництва.