Поехал на курорт и встретил ФБР. Почему хакерам из Ирана лучше сидеть дома

Кибероперации редко заканчиваются в момент взлома: иногда следствие догоняет подозреваемых спустя долгие годы. Так, в Черногории задержали гражданина Ирана, которого в США разыскивают по делу о масштабных атаках на американские университеты.

Полиция Черногории и ФБР задержали 39-летнего мужчину в курортном городе Котор. По данным местных СМИ, речь идёт об Амире Барати, у которого есть гражданство Ирана и Турции. Окружной суд США по Южному округу Нью-Йорка разыскивает задержанного по обвинениям в сговоре с целью компьютерного мошенничества, взломах и краже личных данных. Теперь дело передадут в Высокий суд Подгорицы, который рассмотрит вопрос об экстрадиции.

Черногорская полиция утверждает, что подозреваемый с 2013 года участвовал в крупных кибератаках против более чем 150 университетов США. Ущерб оценили более чем в $3,4 млрд. По версии следствия, украденные данные и доступы к университетским аккаунтам использовались в интересах Корпуса стражей исламской революции, а также связанных с Ираном организаций, включая вузы.

Имя Барати не фигурировало в публичном списке девяти иранских хакеров, которым США в 2018 году предъявили обвинения по делу Mabna Institute. При этом описание из Черногории почти совпадает с той кампанией: начало в 2013 году, атаки на университеты, связь с КСИР и та же оценка ущерба. Официально власти США и Черногории пока не связали задержанного с обвинительным заключением 2018 года.

По данным ФБР, Mabna Institute использовал взломы для получения доступа к иностранным академическим и научным ресурсам. Атакующие рассылали адресные фишинговые письма от имени преподавателей и вели жертв на поддельные страницы входа университетов. После ввода логина и пароля злоумышленники заходили в библиотечные базы и исследовательские платформы.

Американские власти ранее заявляли, что кампания затронула около 144 университетов в США и 176 университетов в 21 другой стране. Хакеры нацелились на более чем 100 000 аккаунтов преподавателей и взломали около 8 000 из них. Из систем похитили свыше 30 ТБ академических данных, включая научные статьи, электронные книги и другие закрытые материалы.

Следствие также связывало участников кампании с атаками на компании, госструктуры, медиабизнес, технологические и инвестиционные фирмы. Помимо фишинга, применялись попытки входа с распространёнными паролями.

Задержание в Черногории показывает, что подозреваемые по старым делам могут столкнуться с арестом при выезде за пределы Ирана, даже если обвинения были предъявлены много лет назад.