Сотрудник Ubiquiti признал свою вину в раскрытии конфиденциальных данных компании

Бывший сотрудник технологической компании Ubiquiti признал себя виновным в том, что он получил доступ к большому количеству конфиденциальных данных компании, а затем потребовал выкуп от Ubiquiti.

Ubiquiti Networks - американская технологическая компания, основанная в 2005 году в Сан-Хосе, штат Калифорния. Ubiquiti производит продукты для беспроводной передачи данных для предприятий и провайдеров беспроводного широкополосного доступа с основным упором на малообслуживаемость и развивающиеся рынки.

37-летний Николас Шарп был старшим инженером-программистом в нью-йоркской компании, специализирующейся на беспроводной связи. Он отвечал за безопасность облачной инфраструктуры, а также за разработку программного обеспечения.

Согласно федеральному обвинительному заключению, в конце 2020 года Шарп начал злоупотреблять своим административным доступом и скачивал гигабайты конфиденциальных данных с серверов Amazon Web Services (AWS) и GitHub компании.

В его руках был доступ к:

• любому сетевому оборудованию Ubiquiti, которое клиенты настроили для контроля через облачный сервис компании;
• криптографические секреты для cookie-файлов для единого входа и удаленного доступа;
• содержимому исходного кода;
• ключам подписи;

По словам прокурора США Дамиана Уильямса, когда Шарп не получил требуемый выкуп, он в ответ стал публиковать ложные новости о компании.

Шарп признал себя виновным по 3 пунктам обвинения:

1. Загрузка программы на защищенный компьютер, которая умышленно причинила ущерб системе;
2. Мошенничество с использованием электронных средств связи;
3. Дача ложных показаний ФБР.

В совокупности обвинения предусматривают максимальное наказание в виде 35 лет лишения свободы. Шарп был арестован в декабре 2021 года, а окончательный приговор будет вынесен в мае 2023 года.

После того, как компания обнаружила нарушение, Шарп был назначен в группу, занимающуюся расследованием и устранением инцидента. Именно в этот момент он представился анонимным хакером и отправил записку с требованием выкупа, требуя около $1,9 млн. в биткойнах в обмен на украденные файлы и информацию о предполагаемом «бэкдоре» в системе.

За 3 минуты до крайнего срока выплаты выкупа «хакер» отправил через Keybase сообщение сотруднику Ubiquiti: «Нет BTC. Без разговоров. Мы закончили. Активирована ссылка на общедоступную папку, содержащую утечку данных».

Следователи определили местоположение Шарпа по его IP-адресу. Он использовал VPN Surfshark, чтобы скрыть свои следы, но его IP-адрес был раскрыт, когда произошел сбой в Интернете. Его IP-адрес был зарегистрирован, когда он запускал команды для клонирования репозиториев GitHub.

Согласно обвинительному заключению , через несколько дней после обыска ФБР в его доме в марте 2021 года он выступил перед СМИ как анонимный осведомитель, утверждая, что полиция провела расследование не должным образом, и утечка данных в компании была намного крупнее, чем показало следствие, а компания скрыла от клиентов полные масштабы инцидента.

Ubiquiti также подала в суд на журналиста Брайана Кребса, который анонимно цитировал Шарпа на своем сайте Krebs on Security, раскрыв этот инцидент. После освещения этой утечки в СМИ акции Ubiquiti резко упали, потеряв рыночную капитализацию на $4 млрд. за 2 дня. Журналист отказался удалить репортаж со своего сайта, и тогда компания потребовала возмещения ущерба в размере $425 000. На данный момент все статьи про эту утечку с сайта Krebs on Security удалены.