Бывшие киберпреступники уверяют, что справляются с защитой информации лучше специалистов, не преступавших закон

Нарваться на неприятности в Федеральной тюрьме на Манхэттене довольно легко. Для этого достаточно переключить канал на одном из телевизоров, за просмотр которых борются этнические группировки. Владислава Хорохорина, отбывающего срок семь лет и четыре месяца, осудили за киберпреступление - его обвинили в торговле данными миллионов ворованных кредитных карт.

Находясь в заключении, Хорохорин тем не менее занимается бизнесом. Вместе с такими же бывшими хакерами он основал компанию CyberSec, специализирующуюся на кибербезопасности. «Я не испытываю особого восторга, работая с американцами. Но, к сожалению, рынок IT находится здесь. Американские системы настолько не защищены, а американцы настолько наивны, что так или иначе почти любая компания подвержена кибератакам», - рассказывает Хорохорин. Связь с внешним миром он держит через тюремные компьютеры. За $0,05 за минуту можно проверить почту, написать просьбу начальству, посмотреть тюремные новости. Все сообщения просматриваются, но, по словам Хорохорина, «здесь хозяйничает лень и разгильдяйство, поэтому писать можно почти все». Хотя можно получить наказание и задним числом.

На сайте CyberSec экспертам-хакерам посвящен целый раздел, где в подробностях описываются предъявленные им обвинения. Почему компании доверяют защиту своих информационных систем бывшим преступникам?

Под крылом защитника

Гражданин России и Израиля Владислав Хорохорин в мире киберпреступности более известен под ником BadB. Его считают одним из основателей крупной сети кардеров (мошенничество с данными кредитных кард) CarderPlanet, которая на пике насчитывала до 6000 клиентов. Сеть объединяла форумы, на которых можно было купить или продать ворованные данные кредитных карт. В 2010 году Хорохорина задержали в Ницце, когда тот собирался лететь в Москву, и экстрадировали в США.

Защищать хакера взялся выходец из Баку Аркадий Бух. Одним из его профилей как раз являются обвинения в киберпреступлениях. Среди его клиентов в разное время были программист из Твери Владимир Панин, которого обвиняли в хищении $30 млн, и Михаил Рытиков, который, согласно обвинению, вместе с сообщниками похитил данные 160 млн кредитных карт. Как сообщало BBC, для оплаты услуг адвоката Хорохорину пришлось продать дом в Израиле и виллу во Франции на общую сумму €4 млн. В итоге хакер пошел на сделку со следствием, что сократило срок заключение.

Среди других клиентов Буха были основатель сайта для кардеров Дмитрий Насковец, отсидевший в США четыре с половиной года, и Игорь Клопов, обвинявшийся в хищении $1,5 млн у членов списка Forbes. Вместе с Хорохориным сейчас они составляют костяк CyberSec, а Аркадий Бух выступает в роли основателя компании.

CyberSec появилась чуть более полугода назад, а одним из первых ее клиентов стала американская транспортная компания, у которой команда хакеров с постсоветского пространства вынесла всю базу данных. Во многих компаниях, специализирующихся на кибербезопасности, существует прямой запрет на прием бывших хакеров. Такой подход исповедают, например, в разработчике антивирусов «Лаборатории Касперского» и специализирующейся на киберпреступления GroupIB. Объяснение простое: человек, познавший вкус легких денег, может поддаться соблазну вновь. У Буха несколько иная точка зрения.

«Белые шляпы – этичные хакеры. Microsoft, например, дает разрешение поломать что-то, и хакер пытается проникнуть в закрытую систему, - рассказывает Бух. - Но проникнуть – это одно, оперировать в системе – другое, украсть что-то – третье. Черные хакеры знают от начала до конца всю систему, это не поверхностные аналитики». По словам юриста, в большинстве компаний на рынке, за исключением редких одиночных программистов, работают бывшие агенты спецслужб или сотрудники госорганов. «Но это не люди, которые ломали сайты. Они не взламывали электростанции и не захватывали плотины», - улыбается Аркадий.

Смена костюма

Финансовые вложения в новый бизнес были минимальны. Единственная инвестиция – несколько тысяч долларов, на которые Игорь Клопов сделал сайт для компании. Сейчас Клопов находится в Москве, но избегает общения с журналистами и предпочитает не говорить о своем прошлом. Основной офис CyberSec находится в юридической компании Аркадия Буха, там проходят и переговоры с клиентами. По словам Буха, вопрос легальности осуществления каждого заказа – один из самых сложных моментов работы.

«Наша главная инвестиция – человеческие ресурсы», - уверяет Дмитрий Насковец. Он объясняет, что стоимость базы украденных кредиток может доходить до $200 000, но хакер при этом «не спит спокойно ночью». Работая на CyberSec, они смогут получать деньги легально. При этом Насковец приводит в пример себя, говорит, что исправился и трудится на благо общества.

В штате CyberSec — дюжина постоянных сотрудников из числа бывших хакеров. Но при необходимости они могут воспользоваться своими связями и найти узких специалистов под конкретную задачу. «По желанию заказчика и под его конкретные нужды мы можем создать «киберотряд» из специалистов, которые уже решали подобные задачи. В первую очередь мы ориентируемся на опыт, а не на то, чем он раньше занимался», - объясняет Хорохорин. По его словам, он не разглашает имен тех, кто на него работает.

Карманная армия

Большая часть заказов приходит благодаря известности хакеров: их истории популярны в американских СМИ. Большинство клиентов – средние фирмы, которые хотят обезопасить себя от киберпреступников. «Мы смотрим на систему глазами человека с русским менталитетом. В этом огромный плюс», — считает Дмитрий Насковец.

Сейчас CyberSec занимается в основном проверкой систем на уязвимости. В среднем такой небольшой аудит – до 1000 часов работы — стоит около $100 000. Цены варьируются от сложности работы. «За $3000-6000 можно купить доступ к уже взломанной системе небольшой электростанции, чтобы ее поломать. Электростанция же готова заплатить до $150 000 долларов за анализ и работу над системой станции», - объясняет Бух. При этом Хорохорин, как он сам уверяет, за работу денег не получает: «Мне нравится сама идея: независимая компания, которая может создать маленькую киберармию под нужды клиента и для обеспечения его безопасности. Ведь кто не хочет кормить свою армию, будет кормить чужую».

Бывают и особые случаи. CyberSec по собственным каналам получает информацию о возможности кражи данных у той или иной компании. Специалисты пытаются «закрыть вопрос», урегулировать его между хакером и жертвой. Был случай, когда пришли хакеры и сказали, что взломали систему больницы. Но в таких случаях CyberSec отказывается от заказа: работа начинает напоминать шантаж, и можно получить обвинение в вымогательстве. Как объясняет Хорохорин, в подобных ситуациях Бух, задействуя свои связи, ищет посредников, которые проинформируют жертву об утечке. И если потерпевшая компания сама захочет работать с CyberSec, то с ней заключат контракт.

В планах компаньонов открыть офис в Израиле: там вопросы законодательного регулирования их деятельности будут решаться намного быстрее. «Нам не придется бегать в Госдеп, там все проще», — говорит Аркадий. Он мечтает о том, что фирма достигнет миллиардного оборота. А Насковец хочет вернуться на Манхэттен, но уже в собственную квартиру: «Здесь минимальный взнос по ипотеке — $1 млн».

Тюрьма лечит: как русские хакеры делают бизнес в США