Федеральное большое жюри в Восточном округе Нью-Йорка предъявило обвинения Zohar Pinhasi, владельцу компании MonsterCloud, специализирующейся на реагировании на инциденты с программами-вымогателями, в предполагаемом обмане клиентов, пытавшихся восстановить свои зашифрованные данные. Pinhasi предстал перед федеральным судом в Бруклине после добровольной явки, не признал себя виновным, а затем был освобождён под залог в размере 2 миллионов долларов.
Дело касается двух обвинений в мошенничестве с использованием электронных средств связи и одного обвинения в сговоре с целью совершения такого мошенничества. По утверждению прокуратуры, схема действовала с июня 2018 года по июнь 2023 года. В случае признания виновным ему может грозить до 20 лет лишения свободы.
Что утверждает прокуратура?
Согласно обвинительному заключению, MonsterCloud рекламировала специальные инструменты и технологии расшифровки для восстановления файлов без выплаты денег операторам программ-вымогателей. Однако обвинители утверждают, что Pinhasi и его партнёры не располагали заявленной технологией, а обычно связывались с операторами вредоносных программ и платили им за ключи расшифровки, после чего использовали эти ключи для восстановления файлов клиентов.
В обвинительном заключении говорится, что некоторые договоры компании раскрывали возможность связаться со злоумышленниками или заплатить им, однако указывали, что такой вариант будет использован, если расшифровать файлы другими способами невозможно. Прокуратура же утверждает, что переговоры со злоумышленниками в большинстве случаев были первым шагом для получения ключей.
Власти утверждают, что компания использовала расшифрованные образцы файлов в качестве «доказательств восстановления», чтобы убедить жертв в своей способности восстановить их данные, хотя, согласно обвинению, эти файлы были расшифрованы с помощью операторов программ-вымогателей.
Большая разница между выкупом и платой за услуги
В обвинительном заключении приведены примеры разницы между суммами, которые MonsterCloud выплачивала злоумышленникам, и суммами, которые она взимала с клиентов. В одном случае компания, предположительно, заплатила группировке вымогателей около 8 200 долларов, а затем выставила жертве счёт почти на 150 000 долларов. В другом случае прокуратура утверждает, что компания заплатила около 236 000 долларов, а с клиента взяла примерно 380 000 долларов.
По утверждению властей, в рамках предполагаемой схемы Pinhasi и его партнёры содействовали выплате более 8 миллионов долларов в качестве выкупа, а с сотен компаний в США и Канаде взимали более 19 миллионов долларов за услуги по восстановлению и обработке данных.
Почему эта новость важна?
Значение дела не ограничивается обвинением компании в сокрытии способа восстановления данных; оно затрагивает чувствительное решение, которое организации принимают после атаки с использованием программ-вымогателей: платить ли злоумышленникам напрямую или обращаться к посреднику, заявляющему о наличии технической альтернативы? Если обвинения подтвердятся, сокрытие выплаты может лишить клиента возможности оценить юридические, безопасностные и этические риски, связанные с финансированием злоумышленников, а также означает, что одной лишь «демонстрации способности к восстановлению» недостаточно для оценки характера решения.
Дело также вновь привлекает внимание к опасениям, о которых говорилось в расследовании ProPublica 2019 года. В нём сообщалось о случаях, когда MonsterCloud платила деньги операторам программ-вымогателей, представляя услугу как иное решение. Тогда ProPublica со ссылкой на исследователя безопасности Fabian Wosar сообщила, что исследователи протестировали компании по восстановлению данных с помощью фиктивной программы-вымогателя и получили анонимные сообщения с предложением заплатить выкуп. Эти сообщения удалось связать с компаниями по восстановлению данных, включая MonsterCloud и Proven Data.
В ходе того расследования Pinhasi отрицал, что MonsterCloud вводила клиентов в заблуждение или заранее обещала им расшифровку, заявив, что методы восстановления различаются от случая к случаю и что он не может раскрывать их, поскольку это «коммерческая тайна». BleepingComputer также запросил комментарий по поводу обвинений у адвокатов защиты Christopher Clark и Rodney Villazor, однако в материале не сообщается о получении ответа от них.