Вынесен приговор россиянину, взломавшему Dropbox, LinkedIn и Formspring

Рекомендуем почитать:

Xakep #257. Pivoting

• Содержание выпуска
• Подписка на «Хакер»-35%

В 2016 году произошел сразу ряд масштабных утечек данных, причем многие дампы, включая MySpace, LinkedIn, Tumblr и «ВКонтакте» (а также Badoo, QIP, Rambler и Mobango) в итоге были выставлены на продажу. Тогда дампы в основном распространяли два человека, известные под никами Tessa88 и Peace_of_Mind.

Как ни странно, ни один из этих двоих не взламывал вышеперечисленные компании и сервисы. Хакеры действовали лишь как посредники, а за самими взломами стояли крупные хакерские группы, о чем Tessa88 и Peace_of_Mind неоднократно говорили в интервью.

В 2016 году в Чехии был арестован один из непосредственных взломщиков, россиянин Евгений Александрович Никулин. Тогда ему предъявили обвинения во взломе Dropbox, LinkedIn и Formspring и вскоре его экстрадировали в США.

В сумме Никулина обвинили по ряду статей, и все они были связаны с проникновением в чужие сети и хищением данных. Согласно судебным документам, Никулин взломал Dropbox, Formspring и LinkedIn весной-летом 2012 года.

Сообщалось, что хакер работал как минимум с тремя сообщниками, а для проникновения в сети LinkedIn и Formspring предварительно скомпрометировал учетные данные сотрудников компаний, что облегчило последующий взлом. Так, в случае LinkedIn, он заразил ноутбук сотрудника компании малварью, что позволило ему злоупотребить VPN этого сотрудника и получить доступ к внутренней сети. Оттуда хакер похитил около 117 000 000 пользовательских записей, включая имена пользователей, пароли и email-адреса.

Затем Никулин использовал похищенные у LinkedIn данные для рассылки фишинговых писем сотрудникам других компаний, включая Dropbox. Там он сумел скомпрометировать учетную запись еще одного работника, а затем предоставил себе доступ к папке Dropbox, где содержались данные компании. Власти заявляют, что таким образом Никулину удалось собрать массу информации о 68 000 000 пользователей Dropbox, включая имена пользователей, email-адреса и хэшированные пароли.

Аналогичным образом Никулину удалось проникнуть и в учетную запись инженера Formspring. Таким образом, в июне 2012 года он получил доступ к внутренней базе данных пользователей компании, на тот момент насчитывавшей более 30 000 000 человек.

Вся эта информация в итоге была продана на черном рынке. Как было сказано выше, эти данные появились в интернете в 2015-2016 годах, когда различные продавцы размещали дампы на общедоступных форумах и хакерских торговых площадках.

Летом текущего года суд признал Никулина виновным по всем пунктам обвинения, хотя процесс проходил нелегко, а судья долго сомневался в версии правоохранителей. За прошедшие годы хакер не раз менял адвокатов, отказывался сотрудничать со следствием или заключать сделку о признании вины, поменял несколько тюрем и проверялся у психологов по распоряжению суда (у судьи возникли опасения относительно психического здоровья хакера, когда тот отказался говорить со своими адвокатами и представать перед судом).

Прокуратура настаивала на 145 месяцах (12 лет) тюремного заключения, трех годах под надзором и возмещении ущерба. В свою очередь, адвокаты Никулина пытались оспорить размер причиненного ущерба, а также утверждали, что хакер находится под стражей уже около 48 месяцев, просили суд приговорить его такому сроку и учесть уже проведенное за решеткой время.

В итоге 29 сентября 2020 года Никулин был приговорен к 88 месяцам (7,3 года) тюремного заключения. Из них 64 месяца за торговлю устройствами несанкционированного доступа и нанесение вреда защищенным компьютерам; 60 месяцев за компьютерный взлом и сговор; еще 24 месяца за кражу личных данных при отягчающих обстоятельствах. В итоге хакер должен отбыть в тюрьме 85% срока (74,8 месяца), но за вычетом того времени, которое он уже провел под стражей, ему осталось лишь 26,8 месяцев, то есть чуть более двух лет.

Также после освобождения Никулин проведет три года под надзором властей (при условии, что он не будет депортирован в Россию сразу после освобождения) и будет обязан возместить причиненный ущерб пострадавшим компаниями: 1 000 000 долларов в пользу LinkedIn, 514 000 долларов Dropbox, 20 000 долларов Formspring и 250 000 долларов родительской компании WordPress — Automattic (хотя в этом взломе его так и не обвинили).

«Я думаю, ты гениальный парень. Очень умный. Я призываю тебя применить свой талант в законной профессии и сделать что-нибудь хорошее в жизни, кроме взлома компьютеров», — резюмировал окружной судья Уильям Алсап (William Alsup) после вынесения приговора.

Также судья отметил, что него особенно повлиял тот факт, что в России у Никулина есть 10-летняя дочь в России, а ее мать может не дожить до новой встречи с Никулиным: по данным адвокатов, за последние годы она перенесла четыре операции на позвоночнике и три инсульта.

«Вероятно, она находится на грани смерти, и мистер Никулин, возможно, никогда не увидит ее снова. Тяжесть вины и боль от разлуки с людьми, которые любят его и нуждаются в нем, это гораздо более серьезное наказание, чем любой тюремный срок, который этот или любой другой суд может назначить мистеру Никулину», — заявили адвокаты хакера.

Защитники говорят, что психологического стресса, который перенес Никулин во время содержания в двух иностранных тюрьмах, достаточно, чтобы удержать его от совершения нового киберпреступления. По их словам, он хочет гулять на свежем воздухе, воспитывать дочь жить и «мирной жизнью вдали от компьютеров».

Источник