«Может ли взлом быть госизменой?»

Это не тема нашей лекции. Это запрос, который военный связист армии США вбил в Google. Теперь у него будет почти шесть лет, чтобы подумать над ответ.

Что известно?
— Кэмерон Вагениус, 21 год, связист армии США, служил на базе в Южной Корее. В сети — kiberphant0m.
— С апреля 2023 по декабрь 2024 вместе с двумя подельниками взламывал американские технологические и телеком-компании. Жертв минимум десять, среди них AT&T и Verizon. Это часть той самой волны взломов через облако Snowflake, где пострадало больше 165 организаций.
— Данные качали и шантажировали владельцев: заплатите, или выложим на BreachForums и XSS. Всего пытались выбить минимум миллион долларов.
— Задержали его в декабре 2024 в Техасе, рядом с армейской базой. Вину признал. Приговор: 70 месяцев тюрьмы и $294 978 компенсации.

А теперь лучшее из материалов обвинения.
Почти весь ноябрь 2024 он переписывался с адресом, который считал почтой иностранной разведки, и предлагал ей купить украденное. В октябре гуглил «куда дезертировать из армии, чтобы меня не выдали», «американские военные, перебежавшие в Россию» и адрес посольства России в Вашингтоне. Сразу после переписки с «разведкой» появился тот самый запрос про госизмену.

А ещё в ноябре 2024-го, сразу после ареста подельника, он выложил на хакерском форуме «журналы звонков» Трампа и Харрис из AT&T. Не записи разговоров, а кто кому и когда звонил. Были ли они настоящими, так и не подтвердилось.

Армейский связист гуглил план побега от американского правительства в американском Google. Это не opsec, это явка с повинной в рассрочку.

Как ломали?
Никаких zero-day и голливудских сцен. Пароли подбирали перебором по SSH: инструмент для этого Вагениус сам помогал писать. Вся волна Snowflake держалась на украденных учётках к облачным хранилищам, где не было второго фактора. Ни одна из этих компаний не проиграла гениям. Они проиграли перебору паролей и отсутствию MFA.

Что делать?
Включить второй фактор везде, куда можно войти из интернета. Одна эта мера сорвала бы всю схему.