Kradzież danych ponad 100 mln osób. Cyberprzestępca przyznał się do winy

26-letni Connor Moucka brał udział w zorganizowanej kampanii, w której przejęto dane co najmniej 165 organizacji. Skradziono terabajty informacji dotyczących przynajmniej 100 mln osób.

Cyberprzestępcy wykorzystywali dane logowania, aby uzyskać dostęp do informacji przechowywanych przez klientów amerykańskiego dostawcy usług chmurowych.

Według Departamentu Sprawiedliwości USA, do włamań dochodziło od lutego do października 2024 roku.

Moucka i jego wspólnicy nie musieli przełamywać zabezpieczeń technicznych platformy. Wykorzystywali wcześniej skradzione dane uwierzytelniające, za pomocą których logowali się do środowisk należących do klientów firmy oferującej oprogramowanie w modelu SaaS.

Przestępcy po uzyskaniu dostępu kopiowali znajdujące się w chmurze bazy danych. Były tam dane bankowe i finansowe, dokumentacja płacowa, numery praw jazdy, paszportów i ubezpieczenia społecznego, a także inne dane umożliwiające identyfikację konkretnych osób.

Uzyskali również dostęp do metadanych połączeń telefonicznych i wiadomości tekstowych. Chodziło o informacje dotyczące historii komunikacji, ale nie o samą treść rozmów i wiadomości.

W przejętych zbiorach znajdowały się także numery rejestracyjne wydawane przez amerykańską Agencję ds. Walki z Narkotykami.

W śledztwie pomagały służby z Australii, Hiszpanii, Ukrainy i Turcji.

Miliony dolarów z okupów

Po kradzieży danych kontaktowano się z organizacjami i żądano zapłaty, grożąc publikacją skradzionych informacji w internecie. Według amerykańskich śledczych, grupa otrzymała ponad 2,5 mln dolarów w postaci okupów. Sam Moucka miał otrzymać co najmniej pół miliona dolarów.

W jednym z analizowanych przypadków Kanadyjczyk miał szantażować firmę, która wcześniej już mu zapłaciła. Groził ujawnieniem kolejnych informacji, wykorzystując m.in. dane urzędnika państwowego oraz członków najbliższej rodziny byłego przedstawiciela administracji publicznej.

Skradzione dane wystawiano także forach wykorzystywanych przez cyberprzestępców. Bezpośrednie straty poniesione przez zaatakowane przedsiębiorstwa przekroczyły 9,5 mln dolarów. Kwota nie uwzględnia jednak kosztów i konsekwencji, z którymi mogli się mierzyć ich klienci.

Mężczyźnie, który przyznał się do czterech zarzutów, obejmujących oszustwa komputerowe, oszustwa z wykorzystaniem środków komunikacji elektronicznej, kwalifikowaną kradzież tożsamości oraz udział w zmowie, za co może usłyszeć wyrok nawet 30 lat więzienia.