По традиции собрали ежемесячный дайджест ИБ-инцидентов. В этот раз – с поучительными историями ко Дню знаний. Главные уроки августа – не спонсировать хобби из бюджетов компаний, защищать корпоративные системы от ИИ, быть осторожнее с криптовалютой и мириться с ситуацией на рынке труда. Решения задачек со звездочкой – в тексте.
NFT-недоросль
Что случилось. Основатель NFT-стартапа присвоил деньги инвесторов, чтобы развивать карьеру диджея.
Как это произошло. В 2022 году NFT-компания Few and Far получила более 10 млн долларов от инвесторов на запуск токена FAR и NFT-маркетплейса. Вместо разработки основатель компании Тадж Тарша решил вкладывать деньги в свои хобби – карьеру диджея, онлайн-казино, спекуляции с криптовалютой и покупку элитной квартиры в Майами.
Впервые нецелевое использование средств заметили в ходе аудита в 2023 году, но Тарша убедил инвесторов, что расходы идут на развитие проекта. Чтобы скрыть преступление, он уволил большую часть сотрудников. В мае 2024-го компания все же выпустила токен, но тот быстро упал в цене и прекратил торговаться.
Тарша арестовали только в июне 2026 года. Следователи доказали, что деньги с инвестиций уходили напрямую на личные счета основателя. Прокуратура выдвинула обвинение в мошенничестве с ценными бумагами с использованием электронных средств связи. По каждому пункту NFT-диджею грозит до 20 лет тюрьмы.
Искупление и наказание
Что случилось. Бывший спецагент ФБР украл у бюро около миллиона долларов в криптовалюте.
Как это произошло. Патрик Стивен Ярох с февраля 2025 по июль 2026 года использовал служебный доступ к внутренним базам данных ФБР, запоминал секретные сид-фразы криптокошельков и переводил средства на личный счет. В июле 2026-го спецагент сам обратился в Министерство юстиции, потому что содеянное «съедало его изнутри». По словам Яроха, он украл деньги, разочаровавшись в работе.
Согласно материалам дела, перед тем, как признаться в преступлении, спецагент обсуждал с ChatGPT план эмиграции, искал способы вывести деньги через границу и купил билеты в Португалию. Теперь Яроху грозит до 20 лет лишения свободы.
ИИ нашего времени
Что случилось. ИИ-помощник нашел уязвимость в сайте спортзала и отменил запись другого человека, чтобы пользователь попал на тренировку.
Как это произошло. Австралийский программист Эндрю Берд решил поэкспериментировать с программным обеспечением для ИИ-агентов и дал задачу нейросети записать его на тренировку. Бронирование в системе открывается за определенное время до занятия, но ИИ смог обойти это правило и занял место на несколько недель вперед. Тогда Берд попросил посмотреть, можно ли попасть в зал в ближайшие дни. Ассистент справился – безвозвратно отменил бронь другого клиента. Система спортзала даже не заметила этого.
Берд рассказал о случайном взломе в блоге компании, где он работает. Историю подхватили СМИ. Разработчик ПО для бронирования не комментировал инцидент.
Отцы и деньги
Что случилось. Обиженный подрядчик украл конфиденциальные документы и два месяца шантажировал компанию, чтобы получить выкуп.
Как это произошло. В декабре 2023 года подрядчик Кэмерон Карри узнал, что руководство ИТ-компании Brightly Software не планирует продлевать его контракт. Перед увольнением он украл персональные данные сотрудников и корпоративную отчетность. На следующий день Карри отправил экс-работодателю несколько анонимных писем с угрозами. Он требовал от руководства Brightly перевести ему 2,5 миллиона долларов, иначе он выложит данные в сеть и сообщит об утечке властям. Карри даже поставил компанию на счетчик – каждый месяц сумма увеличивалась на 100 000 долларов.
Бывший подрядчик строчил письма с угрозами два месяца, до конца января 2024 года. Brightly заплатила 7540 долларов в биткоинах и обратилась в правоохранительные органы. ФБР быстро нашли злоумышленника. Карри допустил две серьезные ошибки: отправлял письма с конкретного Outlook-адреса и привязал к аккаунту на криптобирже, где получил выкуп, банковские реквизиты родственников. В августе 2026-го его приговорили к двум годам тюрьмы за вымогательство.
Кому в Австралии жить хорошо
Что случилось. Подрядчик Origin Energy украл персональные данные 900 000 клиентов, чтобы шантажировать компанию.
Как это произошло. Подрядчик австралийской энергетической компании Origin Energy перед увольнением получил доступ к персональным данным покупателей и сохранил их на личный ноутбук. В результате из компании утекли имена, адреса, записи телефонных разговоров и номера карт 900 000 текущих и бывших клиентов.
После инцидента мужчина пригрозил Origin Energy, что сольет базу в даркнет, если не получит крупный денежный выкуп. Позже он связался с газетой The Australian и рассказал, что украл данные, чтобы отомстить за кризис на рынке труда, но достиг соглашения с компанией.
На фоне скандала Origin Energy ограничила внутренний доступ к базам и предоставила пострадавшим клиентам год бесплатного кредитного мониторинга.
Пиковая драма
Что случилось. Сотрудница микрофинансовой организации оформила 196 фиктивных займов и заработала 3,6 миллиона рублей.
Как это произошло. Специалист по микрофинансовым операциям приписывала клиентам фальшивые займы, подделывая данные в договорах из внутренней базы. Чтобы компания не могла связаться с заемщиками, сотрудница заменяла номера телефонов.
Таким образом за год она оформила 196 фиктивных займов на 3,6 миллиона рублей. На себя девушка потратила всего миллион. Оставшиеся деньги пришлось вкладывать в платежи, чтобы скрыть факт хищения.
В итоге сотрудницу все же поймали и приговорили к шести годам тюрьмы за незаконное использование коммерческой тайны и неправомерное воздействие на критическую инфраструктуру.
