Хотя правоохранительные органы закрывают все большее число площадок киберпреступности, злоумышленники не просто сдаются и уходят. Вместо этого они воссоединяются на других платформах, прежде всего в мессенджере Telegram, как сообщил исследователь на конференции USENIX Security на прошлой неделе.
Как они объяснили, продажа украденных данных — таких как учетные данные для входа, личные сведения и информация о кредитных картах, которые могут быть использованы для взлома, выдачи себя за другое лицо и обмана жертв — теперь происходит в каналах Telegram. Ранее продавцы и покупатели использовали для этого устоявшиеся анонимные подпольные форумы.
«Как правило, когда киберпреступники торгуют друг с другом, им нужно доверие, поэтому они должны налаживать связи. Раньше они делали это на крупных подпольных форумах, которые существовали годами», — говорит аспирантка Тина Марьянов, первый автор Stayin' Alive: How Global Stolen Data Markets Thrive on Telegram.
«Теперь Telegram перевернул эту модель с ног на голову. Это платформа, где каналы внезапно появляются, а затем исчезают. Эти каналы также намного меньше, чем некоторые из устоявшихся подпольных форумов, что делает весь ландшафт киберпреступности более разнообразным».
Как Telegram стал платформой для сообществ киберпреступников
Тина входит в группу исследователей из Кембриджского центра киберпреступности, которые изучали, как и почему Telegram стал платформой, где могут процветать сообщества киберпреступников, и что можно сделать для борьбы с этим. В рамках одного из крупнейших исследований такого рода они в течение года отслеживали сообщества в Telegram, где торгуют украденными данными. При этом они собрали 14 миллионов сообщений и 3,6 миллиона общих файлов из 1500 каналов, где велась торговля украденными данными.
Цель состояла в том, чтобы выяснить, какие типы украденных данных предлагают киберпреступники, как они работают и что делают, чтобы избежать обнаружения. Это было сотрудничество с Cylab Университетом Карнеги — Меллона и его исследователями Таро Цучией и Николя Кристином.
Почему Telegram внезапно стал популярным форумом для киберпреступности, не совсем ясно. Отчасти это может быть связано с тем, что, хотя недавние успешные действия правоохранительных органов по закрытию подпольных форумов были эффективны и удержали некоторых преступников от их использования, многие просто переместились в другое место.
Исследователи предполагают, что Telegram является привлекательной альтернативой, потому что для менее технически подкованного пользователя он более доступен, чем некоторые подпольные форумы. Он также обладает рядом функций, которые делают его привлекательным для киберпреступников, включая «легкость установки на мобильный телефон или ноутбук, устойчивость к закрытию правоохранительными органами и быстрое восстановление по сравнению с другими форумами и торговыми площадками, а также предполагаемую повышенную конфиденциальность», как отмечают исследователи.
Какова бы ни была причина, приложение теперь является платформой, где, как обнаружила команда, регулярно покупаются и продаются как минимум шесть различных типов украденных данных. Они варьируются от учетных данных для входа и личных документов, таких как удостоверения личности и паспорта, до баз данных и личной информации.
Использование слабостей жертв
Эта информация, среди прочего, включала списки характеристик отдельных лиц, например, являются ли они игроками, инвесторами или зависимыми людьми. «Это тот тип информации, который киберпреступник может использовать, чтобы воспользоваться слабостью жертвы — например, предлагая продать зависимым людям то, от чего они зависят», — говорит Тина.
Исследователи также были удивлены, обнаружив, что, хотя английский язык является наиболее часто используемым в целом, на его долю может приходиться менее трети всей киберпреступной деятельности. Исследователи обнаружили кластеры специализированной деятельности на ряде других языков, включая испанский, китайский, португальский и русский.
«Поэтому любое исследование, которое фокусируется только на англоязычных каналах, вероятно, упустит важные сегменты», — предупреждают они.
Для борьбы с преступной деятельностью команда призывает Telegram модерировать так называемые «шлюзы» в приложении. «Telegram недавно изменил свою политику и начал активно удалять определенный контент», — говорит Тина. «И мы обнаружили, что после этого уменьшились как продолжительность жизни определенных групп, так и их размеры. Но мы также обнаружили, что пользователи оказались умными.
«Когда одну группу закрывали, ее создатели уже успевали настроить резервные группы или шлюзы на другие — по сути, совершенно независимые — группы, которые не ведут никакой преступной деятельности. Затем они говорили: 'Эй, я создал новую группу здесь. Все, кто раньше следил за моей предыдущей группой, которую закрыли, переходите в эту новую'. И именно так они остаются на плаву».
Как говорится в статье, «Шлюзовые каналы имеют решающее значение для стабильности и роста сообществ киберпреступников и позволяют этим сообществам быстро восстанавливаться после бана. Наличие шлюзов предполагает, что будущие попытки блокировки, вероятно, будут иметь лишь краткосрочный успех, за которым последует быстрое восстановление заблокированного сообщества. Модерация шлюзовых каналов со стороны Telegram остается необходимой».
Важность политики платформы
Исследователи также утверждают, что политика платформы Telegram может играть ключевую роль.
«Изменения в политике Telegram, такие как их решение сотрудничать с правоохранительными органами, могут радикально повлиять на экосистему, поскольку затрагиваются как срок жизни, так и темпы роста канала», — говорят они.
«Это подчеркивает важное влияние, которое политика платформы, проводимая сверху, может оказывать на сообщества, которые она размещает, и на деятельность, которую она облегчает».
- Исследование Тины финансируется The Cambridge Trust и Королевским колледжем, Кембридж.
