Стратегические сливы

Девятнадцатого июля 2015 года на сайте журналиста Брайана Кребса, который базируется в США и специализируется на вопросах технологической безопасности – и который уже знаком нам по разоблачению группы Mirai, – появилась мировая сенсация. В заголовке сообщалось: «Взломана служба знакомств для изменников Ashley Madison»[354].

Кребс написал, что хакеры из группы Impact Team заявили, что скопировали базу данных пользователей сайта, а также их банковские реквизиты «и другую конфиденциальную информацию». Это тотчас попало в ленты мировых новостей, что отчасти объяснялось непреодолимо скабрезным характером пострадавшего сайта. На сайте Ashley Madison состоящие в браке люди искали себе партнеров для романов на стороне. Этой службой знакомств владела компания Avid Life Media, которой принадлежали и другие сайты, включая Cougar Life (для немолодых женщин в поисках «молодых энергичных мужчин») и Established Men (для «молодых красивых женщин», желающих найти «успешного мужчину»)[355]. Генеральный директор компании Ноэль Бидерман, очевидно, играл на праведном гневе, который вызывали его сайты, и регулярно участвовал в телепередачах, где защищал свой бизнес и привлекал к нему внимание.

Хакеры Impact Team опубликовали образцы украденных данных (я говорю об этих злоумышленниках как о группе, хотя и есть вероятность, что в ней был лишь один участник). Мотивом ко взлому, как предполагается, послужило шокирующее заявление об особенностях работы компании. Сайты Avid Life Media предлагали пользователям услугу по полному удалению профилей, за которую просили девятнадцать долларов – и неверные супруги пользовались ею, считая эти деньги оправданной платой за возможность тщательно замести следы. Участники Impact Team заявили, что на самом деле компания сохраняла все данные пользователей, включая их настоящие имена и адреса.

Хакеры выступили с простой угрозой, опубликованной в онлайн-материале Брайана Кребса:

Положите конец работе Ashley Madison и Established Men во всех формах, иначе мы обнародуем все пользовательские данные, включая профили со всеми тайными сексуальными фантазиями посетителей сайта и соответствующие транзакции по кредитным картам, настоящие имена и адреса, а также документы и электронную переписку сотрудников. Другие сайты могут продолжать работу…

Поскольку на сайтах более тридцати семи миллионов пользователей, в основном из США и Канады, значительной доле населения, включая многих богатых и влиятельных людей, предстоит весьма тяжелый день[356].

В заявлении также содержалось прямолинейное сообщение для пользователей сайта, которые могли посчитать себя невинными жертвами, оказавшимися меж двух огней: «Им же хуже – они грязные изменники, которые не заслуживают секретности».

В этом взломе и в личностях тех, кто за ним стоял, было кое-что любопытное: Кребс не указал, где было размещено заявление Impact Team. Никто прежде не слышал об этой группе, и больше никаких атак она не производила. Эти хакеры были компетентны: они удалили из слитых данных множество характерных следов, по которым злоумышленников опознавали в ходе прошлых инцидентов. Между тем Ashley Madison и Established Men упрямо продолжали работу. Возможно, в Avid Life Media сочли, что хакеры просто угрожают впустую. Но это оказалось не так. Прождав почти месяц, 16 августа участники Impact Team потеряли терпение и выложили в сеть более тридцати миллионов профилей.

И снова они обратились к людям, данные которых раскрыли в ходе этой утечки: «Нашли себя? Вас подвела [Avid Life Media]. Подайте [на компанию] в суд и потребуйте возмещения убытков. И живите дальше. Учитесь на своих ошибках и исправляйте их. Сейчас вам стыдно, но в итоге вы с этим справитесь»[357].

Для прессы настал счастливый день. Слитая база данных была чрезвычайно велика и громоздка, однако, скачав и отформатировав ее, журналисты действительно обнаружили настоящие имена и электронные адреса пользователей, как и обещали хакеры. Данные также содержали в высшей степени конфиденциальную информацию о сексуальной ориентации пользователей и их предпочтениях в постели. Тотчас возник ажиотаж. Журналисты стали прочесывать базу данных в поисках адресов государственных чиновников и представителей военных и полицейских структур. Кроме того, в слитой информации нашлись и IP-адреса, по которым можно было понять, с каких компьютеров пользователи заходили на сайт, что потенциально раскрывало места их работы.

В конце концов в интернет выложили всю базу данных, и любой человек в любой точке мира получил возможность ввести в строку поиска адрес электронной почты и проверить, фигурирует ли он в файлах Ashley Madison. Примечательно, что на австралийской радиостанции NovaFM запустили передачу, куда слушатели могли позвонить и назвать электронный адрес своего партнера, чтобы в прямом эфире выяснить, есть ли он в списке[358]. Впрочем, вскоре эту передачу закрыли – судя по всему, после первого же звонка, в ходе которого ведущие неожиданно поняли, что случается, когда сообщаешь женщине о том, что имя ее мужа содержится в слитой базе данных. «Не знаю даже, стоило ли нам это делать, – сказал один из ведущих сразу после того, как женщина в гневе бросила трубку. – Мне теперь как-то не по себе».

В глазах общественности, однако, более тридцати миллионов человек оказались разоблачены как «изменники» и «кобели» и потому заслуживали всего, что на них обрушилось. Проблема в том, что многие заголовки в прессе были неверны. И есть вероятность, что несколько человек из-за этого лишились жизни.

Правда в том, что в системе Ashley Madison и родственных сайтов не составляло труда зарегистрироваться с помощью чужого адреса (например, ради розыгрыша). Эти сайты не рассылали письма, чтобы подтвердить адреса. По сути, это означало, что любой мог оказаться в числе пользователей Ashley Madison, не имея об этом ни малейшего представления: электронные адреса таких людей хранились бы в базе данных, даже если они никогда не слышали о сайте, не говоря уже о том, чтобы на него заходить.

Я знал об этой проблеме, поскольку за два месяца до утечки скачал профили четырех миллионов человек, слитые с другого сайта для секс-дейтинга. Создатели сервиса Adult Friend Finder утверждали, что владеют «крупнейшим в мире секс- и свингер-сообществом»[359]. В начале 2015 года, изучая дарквеб, я обнаружил на форуме Hell аккаунт анонимного пользователя, который опубликовал миллионы учетных записей, украденных с этого сайта. Сомневаясь в достоверности данных, я скачал их в форме нескольких таблиц, и неожиданно передо мной предстали сексуальные похождения миллионов людей, а также электронные адреса и имена пользователей сайта. Я сохранил эти таблицы на защищенной флешке, чтобы они были в