Как раскрывали первые в истории Казахстана хакерские атаки и нападения на СМИ

О том, как киберполицейские вышли на след предполагаемого заказчика и координатора DDOS- атак на популярные казахстанские порталы, выясняла Оrda.kz.

Мы уже рассказывали о том, как неизвестные злоумышленники пытались воспрепятствовать нашей профессиональной деятельности. Начиная с середины июля 2022-го и до марта 2023 года портал Оrda.kz регулярно подвергался массированным хакерским атакам, телефонным флудам и акциям устрашения. В офис редакции как-то прислали коробку с отрезанной головой свиньи, а в квартиру главного редактора – надгробный памятник.

Наш сайт периодически глючил из-за DDOS- атак, но мы продолжали свою работу. Как и наши коллеги с порталов Еlmedia и Ulysmedia, которые тоже подверглись нападениям.

В начале марта МВД сообщило о задержании подозреваемых. Вероятным заказчиком хакерских атак оказался Аркадий Клебанов (Маневич), а их координатором – Олексий Токарев. Мы рассказывали о том, как между ними и нашим руководителем Гульнарой Бажкеновой проводилась очная ставка и как нам отказали в проверке показаний подозреваемых на детекторе лжи.

Поскольку предполагаемым руководителем хакерской группы является бывший киберполицейский из Украины, наши журналисты решили выяснить, как работают и противодействуют хакерам всех мастей отечественные борцы с киберпреступлениями.

Виртуальная безопасность

Для начала поясним, что в Казахстане работают два ведомства, непосредственно занимающиеся обеспечением кибербезопасности – это Комитет информационной безопасности (КИБ) и Государственная техническая служба (ГТС).

КИБ входит в состав министерства цифрового развития и аэрокосмической промышленности и отвечает за поддержку высокого уровня защищённости государственных электронных баз данных. ГТС входит в структуру КНБ и отвечает за обеспечение информационной безопасности и предотвращение угроз компьютерной безопасности.

Предотвращением и расследованием преступлений, совершаемых в Интернете, занимаются специализированные подразделения МВД и КНБ. В полицейском ведомстве за это отвечает Центр по борьбе с киберпреступностью и его территориальные подразделения. Всего в стране насчитывается 100 киберполицейских, из которых 20, помимо высшего юридического, имеют и специальное техническое образование.

Мы поговорили с начальником отдела по борьбе с киберпреступностью Департамента полиции Алматы Игорем Пудовкиным, чтобы узнать специфику работы его подразделения. 

По словам нашего собеседника, он работает в отделе с 2008 года. За эти годы раскрыл много киберпреступлений, но с фактом мощных хакерских атак на известные интернет-издания он впервые столкнулся в 2022 году.

"Загвоздка в раскрытии этих уголовных правонарушений заключалась в том, что у нас до 2022 года не было опыта в делах такого рода. Как раскрывать, например, интернет-мошенничество, мы знаем, потому что этому учат в ведомственных вузах. Да мы и сами набили руку, выявляя, к примеру, незаконную деятельность финансовых пирамид или аферистов, специализирующихся на проведении посреднических услуг в различных сферах деятельности. А вот как надо раскрывать киберпреступления в отношении СМИ, мы узнали только в прошлом году, когда непосредственно столкнулись с этим явлением", – говорит полковник Пудовкин.

Он сразу предупредил, что не будет раскрывать детали раскрытия резонансного киберпреступления, поскольку оно засекречено:

"За работу межведомственной следственно-оперативной группы отвечают должностные лица КНБ, поэтому за комментариями о ходе расследования вам лучше обращаться к ним. Я лишь могу сказать, что в состав этой группы входят сотрудники нашего отдела, наши коллеги из отдела по противодействию экстремизму и терроризму Департамента полиции Алматы и прикомандированные сотрудники Департамента криминальной полиции МВД. Общими усилиями мы вышли на след подозреваемых, задержали их и теперь доказываем их вину в предъявленных обвинениях".

В настоящее время подозреваемым вменяются, насколько мы знаем, несколько пунктов обвинения. Это статья 205 УК РК ("Неправомерный доступ в информационную систему или сеть телекоммуникаций"), статья 210 УК РК ("Создание, использование или распространение вредоносных компьютерных программ и программных продуктов"), статья 115 УК РК ("Угроза"), статья 147 УК РК ("Нарушение неприкосновенности частной жизни"), статья 202 УК РК ("Умышленное уничтожение или повреждение чужого имущества"), статья 158 УК РК ("Воспрепятствование журналистской деятельности"), статья 293 УК РК ("Хулиганство").

Однако МВД и КНБ почему-то скрывают от СМИ информацию о других уголовных статьях, которые также вменяются подозреваемым. Не случайно же уголовное дело засекречено КНБ и в его раскрытии принимали активное участие сотрудники управления по борьбе с экстремизмом. Может, всё дело в том, что следствие придерживается первоначальной версии о том, что организаторы хакерских атак имитировали преследование масс-медиа для дискредитации президента РК и проводимых им демократических реформ?

Будни киберполицейских

Как же тогда алматинские борцы с интернет-преступлениями и их коллеги из других подразделений полиции обезвредили группу украинских хакеров во главе с их заказчиком, который два года назад ещё был гражданином нашей страны? Наш собеседник согласился лишь в общих чертах пояснить это, ссылаясь на тайну следствия:

“Мы сначала вышли на след одного подозреваемого, вычислив его IP-адрес и проследив историю его онлайн-покупок и переводов через электронные кошельки и платёжные терминалы. Так мы смогли установить его местонахождение в Алматы. После его задержания мы уже по цепочке вышли на других его подельников и заказчика. А вот наши коллеги из управления по противодействию экстремизму и терроризму обезвредили тех, кто поджигал автомобили блогера Динары Егеубаевой и видеооператора Романа Егорова и кто нанёс монтажную пену на входную дверь квартиры журналиста Вадима Борейко".

Подозреваемый координатор хакерских атак на информационно-аналитические порталы сам когда-то работал киберполицейским в Украине. Он знал методику раскрытия киберпреступлений, поэтому мог просчитать действия казахстанских коллег. Однако ни теоретические знания, ни практический опыт не помогли ему скрыться от правоохранительных органов Казахстана.

"Мы в любом случае вычислили бы его местонахождение, как бы он ни старался замести свои следы в виртуальном пространстве. Всё-таки мы – профессионалы своего дела. К тому же работаем командой. Не думайте, что раз хакер работал в киберполиции Украины, считающейся одной из лучших в странах-участницах СНГ, значит, у него было больше шансов скрыться от нас. Это ошибочное суждение. За 18-летнюю историю существования казахстанской киберполиции мы тоже достигли успехов в раскрытии интернет-преступлений!" – заявил собеседник.

Но почему в таком случае алматинские киберполицейские так долго искали координатора хакерских атак на популярные сайты? К примеру, наш портал впервые обрушился в середине июля 2022 года. Мы тогда две недели не могли работать в привычном режиме. Подозреваемых задержали только в конце февраля 2023 года. Что же мешало обезвредить их раньше?

"Сложность в раскрытии таких киберпреступлений заключалась в том, что все хакеры пользуются мессенджерами, серверы которых находятся за пределами Казахстана. Это, например, американский WhatsApp, российский Telegram. Вот если бы это был мессенджер казахстанского провайдера, то мы бы быстро получали всю интересующую нас информацию. А так нам приходится всё время ждать получения необходимых данных, притом длительное время. К тому же хакеры ещё и пользуются зарубежными платёжными системами и анонимными VPN-серверами, владельцев которых установить не представляется возможным" – объяснил Пудовкин.

По словам полковника, проблема заключается в том, что киберполицейским надо согласовывать практически все свои важные действия с прокуратурой и следственным судьёй. А это отнимает у них немало времени.

"Для проведения многих оперативных и литерных (секретных – Прим. авт.) мероприятий нам нужно брать санкции в судебном органе. Вот нам и приходится разъяснять судьям, а заодно и курирующим нашу деятельность прокурорам, что мы планируем делать и для чего нам необходимо их одобрение. Я бы не сказал, что это хлопотное дело, поскольку они практически всегда идут нам навстречу, но всё же процесс согласования занимает какое-то время", – продолжил собеседник.

Обычно задержанным хакерам вменяют или статью 205 УК РК ("Неправомерный доступ в информационную систему или сеть телекоммуникаций") или 210 УК РК ("Создание, использование или распространение вредоносных программ и программных продуктов"). Всего в Уголовном кодексе РК предусмотрено девять статей за уголовные правонарушения в сфере информатизации и связи.

"Все эти статьи действующие, нет "мёртвых", редко используемых статей. Что касается подследственности дела, то оно зависит от того, какие цели преследовал хакер и какую систему он взломал. Если он подозревается в мошенничестве, то его дело будет вести следователь из отдела по раскрытию имущественных преступлений. Если его подозревают в пропаганде экстремизма, значит, дело будет вести следователь из соответствующего управления. Если хакер подозревается в покушении на разглашении личных данных потерпевшего, его жизнь и здоровье, значит, за дело возьмётся следователь из отдела по раскрытию преступлений против личности", – объяснил Пудовкин.

Сотрудники отдела по борьбе с киберпреступностью не расследуют уголовные дела, так как они считаются оперативниками. Структурно они входят в Управление криминальной полиции ДП, а подотчётны Центру по борьбе с киберпреступностью МВД РК.

"Когда возбуждают дело, одного из моих сотрудников включают в состав следственно-оперативной группы. Он вместе со следователем и районным оперативником непосредственно занимается расследованием этого дела. Если он сможет выйти на след хакера, то он закрывает материалы своей работы как реализованные, по аналогии со следователем, который закрывает дело как раскрытое. Если же киберполицейский не сможет вычислить хакера, то он закрывает материалы как не реализованные", – отметил полковник.

Мы спросили у нашего собеседника, что сложнее раскрыть – DDOS-атаки на крупный банк или информационно-аналитический сайт? По его мнению, в обоих случаях злоумышленники используют серьёзные финансовые и технические ресурсы, и цепочку посредников, чтобы навредить финансовому учреждению или СМИ:

"Я думаю, что сложнее раскрыть хакерские атаки на сайт, потому что это налагает на нас большую ответственность. Ход такого расследования контролируют несколько ведомств, да и СМИ бдят за ним. К тому же речь идёт о вмешательстве в частную жизнь и профессиональную деятельность журналистов, в то время как в случае с хакерскими атаками на банк последний несёт в основном финансовые потери. Владельцы банков, как правило, не афишируют такие инциденты, опасаясь за репутационные риски. Разве что служба технической поддержки финучреждения разошлёт клиентам сообщения о технических неполадках и сбоях, а так всё проходит без шумихи".

Кадровая политика

А как подбирают себе кадры начальники подразделений по борьбе с киберпреступностью? Хватает ли им сотрудников, чтобы противостоять отечественным и зарубежным хакерам?

"К нам в отдел приходят выпускники технических факультетов, как ведомственных, так и гражданских вузов. Например, алматинской Академии МВД, Казахского национального исследовательского технического института, IT-университета, МБА-университета. Всего в нашем отделе по борьбе с киберпреступностью насчитывается семь сотрудников, включая меня. Хотелось бы, чтобы кадров было больше, а пока мы своими силами раскрываем интернет-преступления", – ответил Пудовкин.

По словам полковника, если в отдел приходит новичок – выпускник гражданского вуза, то он сначала в течение шести месяцев проходит первоначальную воинскую подготовку в учебном центре, расположенном в Алматы или Шымкенте. Затем обязательную проверку в КНБ, и только после этого он получает тестовое задание. В зависимости от того, насколько быстро и правильно он с ним справится, зависят объём предстоящей нагрузки на него и сложность других заданий.

"Выпускникам алматинской Академии МВД последних двух лет в этом плане немного легче, потому что они закрепляли теоретические знания практическими навыками в киберлаборатории своего вуза. Я не скажу, что она супернавороченная в плане материально-технической базы, но это всё же подспорье в обучении IT-технологиям. К тому же среди преподавателей Академии МВД много высококлассных специалистов, которые учат будущих киберполицейских Казахстана", – продолжил собеседник.

По словам Пудовкина, один из организаторов киберлаборатории в Академии МВД – его бывший сотрудник. Поэтому можно сказать, что отдел по борьбе с киберпреступностью ДП Алматы является кузницей кадров для IT-специалистов МВД.

"Я работаю в нашем отделе с 2008 года. Начинал с простого оперативника, дошёл в 2018 году до начальника. При этом у меня только высшее юридическое образование и сертификат о прохождении IT-курсов, поэтому я называю себя самоучкой. Ничего зазорного в этом не вижу, наоборот, я рад тому, что у нас многому можно научиться. Да, нагрузки на наших сотрудников возлагаются колоссальные, но зато какую бесценную практику они здесь получают!" – говорит Пудовкин.

По его словам, лучшие сотрудники отдела имеют возможность проходить курсы повышения квалификации за рубежом. Например, в США, Китае, России и Турции. А это дорого стоит. Потому что такой специалист будет цениться у себя на родине как профи высокого класса!

Мы не могли удержаться от вопроса на засыпку. Если хакер, к примеру, может завалить спамом все рабочие инструменты редакции информационно-аналитического портала – почту и чат-боты, а потом перейти на телефонный флуд, то может ли киберполицейский частично использовать против него его же приёмы? То есть заразить его программу вирусами, троянами и спамами, чтобы он не смог никому не напакостить?

"У нас нет технических возможностей полностью обезвредить деструктивный сайт, заразив его вирусами. Да и по закону этого делать нельзя, иначе чем мы тогда будем отличаться от хакеров? Мы должны стоять на страже кибербезопасности и действовать только законными методами работы, а не сомнительными!" – заявил полковник.

Несколько лет назад только сотрудники КНБ могли заблокировать сайт, пропагандирующий экстремизм и сепаратизм. Киберполицейские имели право блокировать лишь порносайты, а также сайты, пропагандирующих суициды и насилие, и то по решению суда. Изменилось ли что-нибудь за последнее время в правилах блокировки опасных сайтов?

"Наш отдел может только подать заявку на блокировку деструктивного сайта. Если он, к примеру, пропагандирует экстремистскую идеологию, то его блокируют сотрудники Управления по борьбе с экстремизмом ДП Алматы. Для этого им сейчас достаточно получить разрешение в КНБ, тогда как раньше требовалось решение суда. Вы видите, что процедура блокировки деструктивных сайтов несколько упростилась, и это хорошо", – отметил Пудовкин.

От редакции

Сегодня мы рассказали о том, как работают алматинские киберполицейские. Но для того чтобы понять, как предотвращают и раскрывают хакерские атаки на СМИ и другие стратегические объекты, нам не хватает комментариев IT-специалистов КНБ и министерства цифрового развития и аэрокосмической промышленности. Надеемся, что кто-то из действующих или бывших сотрудников этих ведомств отзовётся и расскажет хотя бы в общих чертах о специфике такой важной и нужной работы.