Hacker News Digest

Федеральные следователи США, расследуя деятельность хакерской группы ShinyHunters, недавно похитившей особо чувствительные данные у ФБР, выявили руководителей двух компаний по переговорам о выкупе, поддерживавших необычно тесные связи с вымогателями. По данным источников, один из них, американец, даже помогал ShinyHunters управлять сайтом, давившим на жертв ради выплаты выкупа. С 2019 года группа приписывает себе десятки крупных утечек; после арестов первых участников контроль перешёл к подростку «Рею» из Аммана, а по данным ФБР, только за этот год ShinyHunters вымогатели более 70 миллионов долларов.

В конце сентября группа взломала сайт найма ФБР fbijobs.gov, похитив медицинские и психологические записи, номера социального страхования и домашние адреса сотрудников. Это ускорило аресты: 15 сентября в Нидерландах задержали подозреваемого Пепейна ван дер Стапа, причём при входе в Signal, что позволило прочитать его переписку с переговорщиками из Канады и США. 3 октября в Иордании задержали Рея, сотрудничающего со следствием. 9 октября ФБР арестовало канадского руководителя Эдварда Дубровского, недавно выпустившего книгу о кибервымогательстве.

Скандал выявил конфликт интересов: вознаграждение переговорщиков растёт с суммой выкупа. В июле Анджело Мартино получил 70 месяцев тюрьмы за сговор с Blackcat/ALPHV, а 7 октября Минюст обвинил главу MonsterCloud Зохара Пинаси в мошенничестве — он тайно платил хакерам 8 миллионов, выставляя клиентам счёт на 19 миллионов.

Тред дополняет статью практическими взглядами на индустрию переговоров по выкупу. Опыт в IR подтверждает, что профессиональные переговорщики крайне ценны, так как ускоряют восстановление и экономят средства. Однако в сети идет спор: одни считают их полезными специалистами (ofjcihen), другие — преступниками, чья деятельность подпитывает киберкриминал и должна быть уголовно наказуема (nradov). Финансовые модели посредников основаны на фиксированном гонораре или проценте от выкупа. При процентной модели переговорщики заинтересованы в увеличении суммы выплаты, что выгодно и им, и вымогателям. По мнению Aurornis, данные статьи не подтверждены, так как опираются на исследование Кребса без официальных заявлений ФБР. Доверие к федеральным утечкам подорвано прошлыми ошибками (дела Вена Ли и Ричарда Джуэлла), которые разрушали жизни людей. Также отмечен редкий случай применения нидерландской полицией светошумовых гранат при задержании хакера.

Хакерская группа ShinyHunters заявила, что взломала несколько сервисов, связанных с ФБР, и получила доступ к данным всех сотрудников и соискателей агентства. По их словам, в украденной информации содержатся имена агентов, их домашние адреса, номера телефонов и данные о супругах. Представитель группы подтвердил 404 Media: «Мы взломали ФБР. У нас есть данные обо всех сотрудниках и соискателях».

Утечка таких сведений представляет серьёзную угрозу национальной безопасности и может быть использована для отслеживания, запугивания или преследования агентов ФБР и их семей. Ранее аналогичные данные, похищенные хакерами из той же экосистемы, применялись для слежки за родственниками политиков и давления на следователей. Кроме того, такая информация может быть ценна для иностранных разведок, стремящихся понять внутреннюю структуру и методы работы одного из ключевых американских ведомств. Если данные попадут в руки преступников, безопасность сотрудников ФБР и их близких окажется под угрозой.

Утечка данных ФБР — не уникальный инцидент, а симптом системной хрупкости кибербезопасности в государственных структурах, усиленной устаревшими системами и избыточным сбором данных. Утечка произошла через уязвимость в Oracle PeopleSoft, что указывает на широкую уязвимость других систем, использующих аналогичное ПО. Сбор 2–3 ТБ персональных данных для списка сотрудников — избыточный и небезопасный подход, увеличивающий риски при компрометации. ФБР хранит данные как «controlled unclassified», что означает отсутствие реальной защиты, несмотря на чувствительность информации. Подобные инциденты уже происходили: взлом ФБР в 2016 году и утечка 22,1 млн записей из OPM в 2015 году демонстрируют повторяющуюся модель уязвимости. Спор: одни считают, что данные можно получить через публичные источники, поэтому утечка — символический акт; другие возражают, что объем и структура данных позволяют масштабную атаку. Совет: лучшая защита — не собирать и не хранить избыточные данные: если их нет, их нельзя украсть (как советует Idle Words в статье «Haunted by Data»). Совет: необходимо внедрять «рабочие имена» для сотрудников, чтобы отделить личные данные от профессиональной деятельности и защитить семьи от целенаправленных атак. Эксплуатация уязвимостей в PeopleSoft — не новость, и ShinyHunters не первый, кто использует эту атаку, что подтверждает системную проблему в госсекторе. Совет: белые и серые хакеры должны иметь право проводить пентесты без разрешения, чтобы выявлять уязвимости до того, как их использует враг — но это не будет принято из-за бюрократии. Экспорт 2+ ТБ данных требует длительного времени и, вероятно, оставил следы в логах — что ставит под сомнение утверждение о полной незаметности атаки. Сравнение с фильмами вроде «Mission: Impossible» показывает, что реальность стала хуже: утечка происходит не через шпионаж, а через техническую неграмотность. Инциденты такого масштаба больше не вызывают удивления — они стали обыденностью, что свидетельствует о глубоком кризисе кибербезопасности в США.

После 11 сентября США перешли от избирательного наблюдения к массовому слежению — от прослушивания отдельных телефонов к перехвату трафика интернет-магистралей и сбору метаданных миллионов людей. Эта система, изначально оправдываемая борьбой с терроризмом, превратилась в повседневный инструмент полиции: ICE использует её для патрулирования иммигрантов, а местные силовики — для слежки за протестующими. Частные компании, от Google до Flock, собирают данные как часть своей бизнес-модели, а государство получает их через покупки у дата-брокеров и тесное сотрудничество — FBI уже открыто подтверждает, что закупает информацию о гражданах.

Эта сеть между частным и государственным слежением усиливается ИИ: алгоритмы анализируют поведение, предсказывают действия и принимают решения за людей, не имея на то права. Решения, основанные на принципах справедливой практики обработки данных 1970-х, и введение обязанностей доверительного управления для сборщиков данных — лишь начало. Но главный вопрос остался без ответа: может ли демократия существовать, когда все наблюдаемы, все известно, а власть использует эти данные для подавления оппозиции? Двадцать пять лет спустя пора пересмотреть всю систему — не как вопрос безопасности, а как вопрос свободы.

Обсуждение дополняет статью, утверждая, что массовое слежение стало инструментом политического подавления и маркировки оппозиции как «антиамериканской», а не средством борьбы с терроризмом. Это подтверждается практиками ICE и JTTF: инструменты слежения используются для преследования иммигрантов и протестующих, которых могут назвать «террористами» даже за съемку силовиков. Спор о термине «антиамериканский» разделяет участников: одни видят в нем способ преследования протестующих и трансгендерных людей, другие отмечают, что и демократы пытались криминализировать речь оппонентов через понятие «ненавистнической речи». Система слежения превратилась в постоянную структуру власти: «временные» полномочия после 11 сентября не отменялись, а расширялись. Она устойчива к смене президентов и политическим циклам, так как служит интересам узкой элиты. Сравнения с нацистской Германией 1930-х и «красным страхом» 1950-х считаются оправданными, так как маркировка групп как угрозы — исторический механизм легитимации репрессий. Технологии (включая LLM и сбор онлайн-историй) позволяют применять тактику «запомни и расшифруй позже»: собранные метаданные останутся навсегда, что делает систему необратимой. Альтернативные, менее инвазивные методы (например, ThinThread) были отвергнуты из-за отсутствия прибыли или контроля. В дискуссии о камерах Flock одни считают их «меньшим злом» по сравнению со смартфонами, другие видят в этом лишь общественную слепоту к инвазивности. Массовое слежение сравнивают с ядерным оружием: инфраструктура уже встроена в общество, поэтому она не исчезнет. Единственный реалистичный путь к стабильности — ограничение доступа к системам на местном уровне, чтобы избежать рисков федерального проникновения. Система не будет отменена, даже если станет угрозой национальной безопасности; контроль над ней лишь перераспределят между элитами.

Тёмный веб-сервис Nexus продаёт цифровые сканы более 153 миллионов водительских прав из США и Канады, а также десятки миллионов других документов: ID-карт, паспортов, медицинских и марихуановых карт. Данные поступают, предположительно, из взлома крупной компании по верификации идентичности из Луизианы, чьи клиенты включают множество компаний из списка Fortune 500. Сервис активно пополняется: за сутки количество записей выросло на почти 400 тысяч, что указывает на непрерывную эксфильтрацию данных. Записи содержат не только обычные сканы, но и инфракрасные и ультрафиолетовые версии изображений, а также временные метки, совпадающие с датами реальных взаимодействий — например, аренды автомобиля или полёта. Среди жертв оказались высокопоставленные чиновники, включая министра обороны Пита Хегсета, а также обычные граждане, чьи документы были использованы без их ведома при оформлении услуг, таких как аренда авто или полёты. FBI уже открыло официальное расследование через своё отделение в Новом Орлеане. Эксперты предупреждают, что утечка создаёт серьёзные риски для людей, вынужденных скрываться — жертв домашнего насилия или участников программы защиты свидетелей — поскольку современные системы распознавания лиц не могут надёжно отличить подлинное лицо от украденного изображения. Сервис внезапно исчез из даркнета вскоре после публикации статьи, оставив лишь сообщение о недоступности. Однако эксперты считают, что данные уже могли быть скопированы и перепроданы. Инцидент подчеркивает уязвимость систем, где водительские права используются как основной инструмент идентификации, особенно при растущей зависимости от сторонних верификаторов без достаточного надзора.

Обсуждение подтверждает: массовое хранение сканов документов — системная проблема, вызванная отсутствием регуляторного давления и альтернативных моделей верификации, а не технической неопытностью отдельных компаний. Стандартной практикой остаётся хранение сканов после верификации, хотя для подтверждения возраста достаточно бинарного ответа. Это подтверждается опытом ЕС и Калифорнии с mDL. European Digital Identity Wallet и Apple Wallet mDL уже передают атрибуты, а не полные документы, снижая риски утечек. Компании хранят данные не из-за технической некомпетентности, а из-за отсутствия юридической ответственности: без штрафов за утечку экономически выгоднее хранить, чем удалять. Часть участников считает хранение необходимым для соответствия законам о ретенции, другие называют это не аргументом, а отговоркой. Один из споров касается внедрения государственного ID в США: одни связывают это с сопротивлением «национальному ID», другие приводят примеры Эстонии и скандинавских стран, где такие системы работают. Каждый дополнительный сигнал для «безопасной» верификации (лицо, сканы, поведение) становится целью для кражи при взломе — это парадокс безопасности. Утечки происходят не из-за одного взлома, а из-за длительного сбора данных: компании, вероятно, не удаляют данные, а копируют их в теневой рынок по мере обновления. Из практических шагов для пользователей остаются заморозка кредитов и защита от SIM-свопинга, поскольку системные уязвимости не устраняются. Те же компании (Experian, Equifax) хранят данные европейцев, но регуляторное давление GDPR снижает масштабы утечек — проблема в правовом поле, а не в компаниях. Страхование, растущее пропорционально объёму хранимых данных, сделает хранение PII экономически невыгодным — это прямой путь к минимизации. Сканы водительских прав — частая цель утечек, так как содержат больше PII, чем паспорта, и используются повсеместно. Пользователи не доверяют компаниям, запрашивающим сканы, понимая, что данные скорее сохранят, чем удалят. Цифровые водительские права с поддержкой ISO/IEC 18013-5 (например, в Apple Wallet) позволяют контролировать объём передаваемых данных. Государство могло бы предоставить API для верификации без передачи документов, но это требует отказа от бумажной бюрократии, что не отвечает интересам многих заинтересованных сторон. Утечка 153 млн записей показывает, что почти половина американцев уже попала в теневой рынок — это не исключение, а следствие отсутствия законодательных барьеров.

AI может сделать системы слишком надёжными, что угрожает национальной безопасности. Раньше спецслужбы полагались на уязвимости в ПО, но теперь шифрование (iPhone, WhatsApp) закрывает эти «низко висящие плоды». В 2016 году FBI потребовал у Apple доступа к зашифрованному телефону, но отступил после обвинений в риске злоупотребления бэкдоров. Теперь, когда у злоумышленников остаются лишь редкие уязвимости, агентствам придётся требовать искусственных способов доступа — «исключительного доступа». Это может привести к тому, что США ослабят собственные системы, а иностранные государства получат новые возможности для атак. В итоге мы рискуем ускорить «самосоветскую» уязвимость, когда уже почти справились с защитой инфраструктуры. Нам остаётся лишь надеяться, что решения будут приняты правильно, даже если без чёткого плана.

Тред обсуждает влияние ИИ на безопасность ПО и последствия для правоохранительных органов и национальной безопасности. @mbroshi отмечает, что компании добавляют больше уязвимых функций, чем раньше; ИИ может выявлять существующие проблемы, но не обеспечивает полной безопасности. @tptacek и @thinkthatover спорят, насколько низкоуровневый код платформ менее уязвим, чем код приложений, и изменится ли это в будущем. @Carrok предлагает само-хостинг и контроль над ПО как меру против уязвимостей. @Grombobulous утверждает, что правоохранительным органам не нужен массовый доступ к коммуникациям — исторически это не было необходимо. @ayaros считает, что доступ государства к частным коммуникациям нарушает право на неприкосновенность частной жизни.

FBI потребовала от провайдера Tucows предоставить данные пользователей Archive.today — одного из самых загадочных и известных интернет-ресурсов. Сервис, работающий более десяти лет, позволяет сохранять и просматривать предыдущие версии веб-страниц, подобно Wayback Machine, но с минимальными ограничениями. Судебный ордер обязал компанию передать информацию о пользователях, что вызвало обеспокоенность в сообществе.

Archive.today привлекает внимание из-за своей политики минимального вмешательства в контент, что делает его популярным инструментом для сохранения информации. Сервис активно используется журналистами, исследователями и активистами для архивации материалов, которые могут быть удалены или изменены. Требование спецслужб ставит под вопрос конфиденциальность пользователей и принципы работы подобных платформ.

• FBI расследует archive.today как часть уголовного дела, хотя неясно, какое именно преступление подразумевается.
• Сайт используется для обхода платных стен, что делает его целью для издателей, которые не могут предложить удобный UX.
• Появляются сообщения, что оператор может быть в России, что вызывает вопросы о том, почему ФБР не может просто заблокировать сайт, если бы это было правдой.
• Пользователи HN обсуждают, что если бы archive.today исчезнет, это лишит их возможности делиться ссылками на статьи без paywall, что вызывает тревогу.
• Некоторые комментаторы подчеркивают, что archive.today использует ботнет и Tor для обхода блокировок, что может быть причиной, по которой ФБР считает его угрозой.