Читать книгу - "Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт"

[номер] социального страхования, или пароли. Всё обо мне выложено. Я подавала в Федеральную торговую комиссию заявления о краже личных данных и на семь лет заморозила все свои кредитные истории. Если кто-то хочет проверить мою кредитоспособность, мне сначала должны позвонить и убедиться, что это действительно я. Но уже поздно. Все мои данные гуляют по сети, и я ничего толком не могу с этим поделать. Я буду расплачиваться за это всю жизнь».

Шаванетт и Хеллер не одиноки. Личные данные тысяч бывших и нынешних сотрудников Sony оказались в открытом доступе, и эти люди до сих пор живут с последствиями. Они подали против Sony Pictures коллективный иск за то, что компания не уберегла конфиденциальные кадровые данные. В конце концов компания пошла на мировое соглашение: пообещала сотрудникам до 8 млн долларов на защиту от кражи личных данных и создала компенсационный фонд2. И всё это — сверх миллионов долларов, которые компания уже потратила на восстановление ИТ-систем и потеряла из-за простоя. Ущерб Sony всё рос — а вместе с ним росло и давление: хакеров нужно было призвать к ответу. И за дело уже взялись очень опытные люди.

В вялые, тягучие дни конца 2014 года на территории студийного комплекса MGM, когда компьютеры не работали и все искали, чем бы заняться, Селина Шаванетт начала замечать новые лица. «Ботаны в костюмах» — так она их назвала. На самом деле это были сотрудники ФБР. Взлом Sony теперь расследовали на самом высоком уровне правоохранительной системы США. Но найти виновного будет непросто.

С тех пор как о взломе стало известно, догадки о том, кто за ним стоит, только множились. Одни подозревали, что тут замешана Северная Корея, но хватало и соперничающих версий.

Некоторые считали, что сработал кто-то изнутри. В месяцы перед атакой в компании прошло несколько сокращений (Эми Хеллер попала под одно из них), и кое-кто предполагал, что удар нанёс обиженный бывший сотрудник или группа сотрудников. Эта версия окрепла, когда некто, назвавшийся членом хакерской группы «Стражи мира», дал интервью, из которого следовало, что им помогали люди внутри компании3. Одна компания, занимающаяся кибербезопасностью, тоже заявила, что «весьма уверена»: ключевую роль в атаке сыграли инсайдеры4. Даже Сет Роген, одна из звёзд «Интервью», сомневается в причастности Северной Кореи — главным образом потому, что ни его, ни его сорежиссёра Эвана Голдберга хакеры не атаковали напрямую5. В некоторых СМИ звучали утверждения, что на самом деле за всем стоит Россия6.

Всё это происходило у всех на виду, в лихорадочном мире интернета. Однако лучшие зацепки, а значит, и лучший шанс найти хакеров скрывались внутри Sony. В её компьютерных системах остались дорожки из хлебных крошек, которые могли привести к человеку или группе, поставившим компанию на колени — в цифровом смысле. Именно там, вдали от чужих глаз, шло кропотливое расследование.

Сначала Sony пригласила FireEye — компанию в области информационной безопасности с огромным опытом, которая разбиралась с одними из самых крупных взломов. Прочёсывая улики, её специалисты нашли среди технических следов тревожные признаки: это была работа не просто горстки доморощенных хакеров. К делу подключилось ФБР и вскоре пришло к тому же выводу.

«Довольно быстро стало ясно, что дело касается национальной безопасности. И под этим я имею в виду, что за атакой могло стоять иностранное правительство», — говорит Тони Льюис. Сейчас у него частная практика, а во время взлома Льюис был помощником федерального прокурора Центрального округа Калифорнии. Расследования ведёт ФБР, но в конечном счёте преследовать виновных — если их удастся найти — предстоит федеральной прокуратуре.

Льюис ещё не знал, что дело Sony и его последствия займут его на долгие годы. Он станет одним из ключевых членов команды, которой придётся изо всех сил гнаться за этой хакерской группировкой, пока та бесчинствует в сети по всему миру. Но пока у него и так было полно хлопот: нужно было понять, как преступникам удалось нанести Sony такой ущерб.

По словам Льюиса, складывая улики воедино, следователи ФБР увидели, сколько сил хакеры вложили в атаку. Вирусы были специально доработаны под одну-единственную цель — чтобы нанести как можно больший ущерб. В коде следователи нашли тысячи идентификаторов разных компьютеров Sony. «То есть, иными словами, им удалось проползти по сети, вычислить все эти компьютеры, а потом прописать их во вредоносную программу, которую они собирались применить, чтобы она работала эффективнее», — говорит Льюис.

Следователи стали внимательнее присматриваться и к вымышленным личностям в Facebook, которые рассылали актёрам и съёмочной группе «Интервью» завлекательно-пикантные сообщения, пытаясь обманом заставить их скачать вирусы. Постепенно вскрылась целая сеть фальшивых аккаунтов в соцсетях. Хакеры, стоявшие за этими аккаунтами, крали фотографии профилей у настоящих пользователей и выдавали их за свои. Потом связывали аккаунты между собой, добавляя их друг другу в друзья, чтобы те выглядели правдоподобнее. В результате, когда хакеры рассылали фишинговые ссылки, казалось, будто те пришли от настоящих людей, — такой приём называется «кетфишинг».

Всё это открыло перед ФБР несколько очень удобных направлений расследования. Соцсети, включая Facebook и Twitter, разумеется, базируются в США. А значит, ФБР могло через суд требовать у этих компаний информацию. Выяснилось, что аккаунты часто регистрировали на адреса Gmail — почты Google, а это давало ФБР основания для новых ордеров. В итоге американские следователи запросили около 100 ордеров на обыск, охвативших примерно 1000 почтовых ящиков и аккаунтов в соцсетях7. Перебирая этот массив данных, они начали восстанавливать сеть, стоявшую за кетфишинговыми аккаунтами. Среди прочего им достались IP-адреса компьютеров, которыми пользовались хакеры. Как мы узнали в главе 4, IP-адрес — это дверь, через которую компьютер выходит в интернет, и по нему часто можно установить физическое местонахождение машины. Обмануть систему и подделать IP-адрес можно, но в случае Северной Кореи это совсем не просто.

И, как заявило ФБР, именно с северокорейских IP-адресов были созданы аккаунты Facebook, с которых потом писали актёрам и съёмочной группе «Интервью». С тех же IP-адресов заходили на сервер, где лежал вирус, спрятанный за теми самыми «голыми фото знаменитостей»; с них же в месяцы перед атакой сканировали сайт Sony; и с их же помощью завели аккаунты, с которых рассылали фишинговые письма кинотеатрам, пообещавшим показать «Интервью». Более того, по утверждению ФБР, адрес электронной почты, с которого входили в кетфишинговые аккаунты Facebook, был связан ещё и с северокорейской подставной компанией в Китае.

По данным ФБР, всё новые и новые следы вели прямиком в Северную Корею. И это было ещё не всё. Коллеги Тони Льюиса из ФБР проанализировали вирусы, применённые против Sony, и нашли характерные связи