Гадкий бизнес

В 2015 году хакеры взломали сайт популярного приложения для супружеских измен. Оказалось, сервис годами всех обманывал

Дейтинговый сервис Ashley Madison специализируется на знакомствах для людей в отношениях, которые ищут пару для измен. С момента запуска компания гарантировала пользователям полную конфиденциальность, но после хакерской атаки в 2015 году данные почти 40 миллионов человек оказались в открытом доступе — как выяснилось, что компания годами пренебрегала правилами безопасности. Netflix выпустил документальный фильм о том, как это стало возможным и как повлияло на жизни пользователей. «Холод» пересказывает главное из этой истории.

Чтобы не пропускать главные материалы «Холода», подпишитесь на наш инстаграм и телеграм.

Ashley Madison — канадский сервис онлайн-знакомств для людей, состоящих в браке. В 2001 году его создал инвестор и венчурный капиталист Даррен Моргенштерн. Идея создать сайт исключительно для женатых людей возникла у него, когда он изучил статистику обычных сайтов для знакомств и понял, что 30% пользователей состоят в браке.

К июлю 2015 года дейтинговый сервис Ashley Madison, который помогал женатым людям найти партнера для измены, сохранив при этом анонимность, обслуживал уже 37 миллионов пользователей в 50 странах мира. Компания собиралась выходить на IPO, ожидая высокую цену за акции, и планировала привлечь 200 миллионов долларов инвестиций, оценивая свою стоимость в миллиард долларов.

Все изменилось 13 июля 2015 года.

30 дней

«Помню, как пришел в офис. Обычно люди обдумывают что-то, пьют кофе, болтают. Но в тот день царила гнетущая, неестественная тишина, — рассказывал Эван Бэк, вице-президент по продажам Ashley Madison. — Я подумал, что кто-то, наверное, получил нагоняй от начальства. Включил компьютер, на экране появилось изображение и заиграла музыка. Такой убойный рок-н-ролл. Я подумал: что это за хрень?».

Это была песня группы AC/DC Thunderstruck, которая на тот момент уже стала гимном хакерских атак и которую в 2012 году, по одной из версий, использовали хакеры, атаковавшие иранские ядерные объекты. Внутреннюю систему Ashley Madison взломали и руководству компании поставили ультиматум.

«Мы — Impact Team. Мы взяли под контроль все системы во всех ваших офисах и помещениях, — говорилось в сообщении. — Все базы данных с информацией о клиентах, хранилища исходных кодов, финансовые отчеты, электронные письма. Отключение AM и EM (сайты компании, Ashley Madison и Established Men. — Прим. “Холода”) обойдется вам дорого, но несоблюдение требований — еще дороже. Мы опубликуем все записи о клиентах, профили со всеми тайными сексуальным фантазиями, обнаженные фотографии, разговоры и транзакции по кредитным картам, настоящие имена и адреса, а также документы сотрудников и электронные письма. Avid Life Media (компания, которой принадлежат Ashley Madison и Established Men. — Прим. “Холода”) будет нести ответственность за мошенничество и причинение серьезного вреда миллионами пользователей».

Impact Team объявили, что дают компании 30 дней на то, чтобы полностью прекратить работу всех сайтов. В противном случае, все данные клиентов и сотрудников окажутся в открытом доступе.
«Я пошел поговорить с Ноэлем (Ноэль Бидерман — гендиректор компании. — Прим. “Холода”) и высшим руководством, — вспоминал Бэк. — Все были на взводе, но Ноэль просто рвал и метал. Если это попадет в прессу, случится катастрофа».

Поиск взломщиков

Руководство Avid Life Media всячески пыталось скрыть информацию о взломе и не стало обращаться в полицию. Компания решила самостоятельно выяснить, кто именно совершил взлом. Для этого Avid Life Media пригласила в Торонто европейских консультантов по кибербезопасности и киберкриминалистике.

Эксперты изучили сообщение хакеров и обратили внимание, что Impact Team не требовали признания, денег или каких-то других благ, а значит, атака была мотивирована идеологически. По одной из версий, взлом могли совершить религиозные фанатики, обиженные клиенты или их супруги.

19 июля, спустя неделю после взлома, информация о случившемся просочилась в СМИ: хакеры Impact Team сами опубликовали в сети пост о взломе Ashley Madison. Новость обсуждали в соцсетях, по телевидению и даже в вечерних шоу.

Из СМИ о произошедшем узнал и начальник полиции Торонто. Согласно канадским законам, такой взлом считается уголовным преступлением, поэтому полицейские сами пошли к руководству Ashley Madison, чтобы выяснить все обстоятельства атаки.

К тому времени эксперты по кибербезопасности обнаружили первые зацепки.

Изучая лог-файлы — записи того, что раньше происходило на серверах Ashley Madison, — они установили, что хакеры подключились к системе под видом сотрудника, используя программное обеспечение, которое использовалось предыдущим подрядчиком компании (имя не раскрывается). Однако подрядчик уже не работал с Ashley Madison, когда произошло подключение.

Криминалисты встретились с бывшим подрядчиком Ashley Madison в кафе. Он рассказал, что действительно проникал в систему, но не признал участие во взломе. Ashley Madison не поверили ему и предложили крупную сумму денег, достаточную, чтобы тот мог выплатить ипотеку, при условии, что никакая информация не будет обнародована. Однако предполагаемый хакер так и не признал свое участие, не стал давать никаких обещаний и сделка не состоялась.

От полиции тоже не было толку. У них оказалось недостаточно информации, чтобы выдвинуть обвинения предполагаемому хакеру.

До «дедлайна», который поставили хакеры, оставалось всего несколько дней, но сайты знакомств продолжали работу как ни в чем не бывало.

Слив данных пользователей

19 августа Impact Team выполнили свое обещание и слили данные о пользователях Ashley Madison и Established Men в сеть: имена, адреса электронной почты, банковские операции и многое другое.

Опубликованные данные быстро начали изучать как журналисты, так и обычные пользователи. В сети то и дело всплывали имена известных блогеров, политиков, звезд и их супругов. По подсчетам журналистов, на сайте были зарегистрированы около 15 тысяч мейлов американских военных и госслужащих. В списке пользователей AM также оказался сын нынешнего президента США Джо Байдена — Хантер Байден, однако он свою регистрацию сайте знакомств отрицал.

Многие пользователи стали получать письма с угрозами. Злоумышленники предлагали людям, оказавшимся в списке Ashley Madison, заплатить им, чтобы убрать их имена из базы данных. Однако не ясно, были ли эти шантажисты вообще как-то связаны с Impact Team. Единственное, что пострадавшим советовали в техподдержке Ashley Madison — сменить пароль.

На телеканалах критиковали Ashley Madison, называли сервис «гадким бизнесом» и надеялись, что скоро он обанкротится. Однако некоторые сотрудники Ashley Madison считали, что не бывает плохой рекламы.«Наблюдался небывалый рост посещаемости сайта», — говорили в компании.

Приглашенные криминалисты начали подозревать, что слив данных мог быть пиар-акцией, спровоцированной гендиректором компании Ноэлем Бидерманом. Однако от этой версии отказались, когда через несколько дней после первого слива хакеры выложили в сеть второй массив данных. На этот раз кроме данных пользователей в сеть попали внутренние документы, файлы и таблицы компании. Кроме того, там были представлены и файлы самого Бидермана, в том числе его переписка.

Как гендиректор компании, Бидерман не раз давал интервью, на которых появлялся вместе с женой Амандой. Бидерман утверждал, что у них честные и доверительные отношения, в которых нет необходимости заводить романы на стороне. При этом Аманда неоднократно повторяла, что измена мужа станет для нее ударом, но она уверена, что такого никогда не произойдет.

Однако, исходя из писем, опубликованных Impact Team, становилось ясно, что Ноэль неоднократно изменял своей жене.

«Я ищу молодую, веселую, добрую женщину для встреч раз в месяц», — писал Бидерман в одном из писем.

Кроме того, из утечки выяснилось, что гендиректор компании часто искал себе женщин через эскорт-агентства. При этом интересовали его услуги девушек в возрасте 18–19 лет. Также он требовал прислать ему на выбор сразу двух девушек.

После того как хакеры выложили все эти данные в сеть, руководство компании приостановило собственное расследование и решило сотрудничать с полицией.

24 августа полиция Торонто собрала пресс-конференцию, на которой объявила награду за информацию о хакерах — 500 тысяч долларов. Это было в 10 раз больше, чем могли бы предложить полицейские без участия компании. Однако никто на эту просьбу полиции так и не откликнулся.

Почему Impact Team взломали Ashley Madison?

О группе Impact Team до взлома Ashley Madison не было известно. Журналист Джозеф Кокс, специализирующийся на этой теме, не смог ничего узнать о них, в том числе и от других хакеров и журналистов. В надежде найти хоть какую-то информацию, Кокс начал исследовать форумы в даркнете и нашел человека, который явно был связан со взломщиками, так как он знал множество деталей об атаке и хакерской группе. Кокс уговорил его передать Impact Team сообщение с просьбой ответить на несколько вопросов и вскоре с ним связались сами хакеры.

В переписке они рассказали, что начали работать над взломом довольно давно, потому что не хотели допустить еще большей популярности сервиса.

«Avid Life Media как наркодилер, издевающийся на зависимыми», — писали взломщики.

По словам представителя Impact Team, хакеры не удивились, что компания продолжила работу: по их подсчетам Ashley Madison зарабатывала 100 миллионов долларов в год. При этом главной мотивацией хакеров было то, что сайт обманывает клиентов, поэтому они считали, что его необходимо разоблачить.

Чтобы найти подтверждения словам Impact Team, Джозеф Кокс стал изучать данные, опубликованные 21 августа. Как оказалось, о безопасности руководство Ashley Madison думало в последнюю очередь. Внутренняя переписка была посвящена в основном пиару и продажам, но никак не защите данных. На сайте висели различные награды за якобы самую качественную систему безопасности, но они оказались подделкой, нарисованной в обычном фоторедакторе. На странице Ashley Madison даже был значок золотой медали «Награда за безопасность», которую авторы сайта, судя по всему, вручили себе сами.

Пользователей обманывали не только фальшивыми достижениями. На сайте Ashley Madison можно было приобрести специальную услугу: удаление всех данных пользователя с серверов компании за 19 долларов. Выяснилось, что на самом деле компания не удаляла их.

Кроме того, одной из основных проблем Ashley Madison была нехватка женской аудитории. Чтобы привлечь женщин в сообщество, компания сделала им полностью бесплатный доступ: не нужно было платить ни за регистрацию, ни за отправку сообщений. Платным сервис был только для мужчин. Им приходилось покупать так называемые кредиты, которые можно было потратить на сообщения. За 49 долларов пользователь получал 100 «кредитов». Этого количества хватало на отправку сообщений 20 аккаунтам.

По официальным данным, соотношение мужчин и женщин среди пользователей было 60% на 40% в большинстве регионов.

Но как выяснилось позже, большинство женщин, с которыми общались пользователи сайта, никогда не существовали. На Ashley Madison было представлено огромное количество фейковых женских аккаунтов, зарегистрированных с одного и того же IP-адреса — из офиса компании.

Как выяснили журналисты IT-издания Gizmodo, большое количество сообщений генерировали боты. Они первыми отправляли сообщения, а чтобы ответить, мужчины должны были заплатить.

Внутри компании использование ботов объясняли тем, что многие мужчины слишком стеснительны, чтобы отправить сообщение первыми. И никто из пользователей, конечно же, не знал, что общается не с реальной женщиной, а с искусственными интеллектом, который отправляет по 10 тысяч сообщений в день. Текст этих сообщений специально был подобран так, чтобы привлекать мужчин.

Жертвы Ashley Madison

От взлома Ashley Madison пострадал не столько топ-менеджмент, сколько обычные пользователи.

Джон, 56-летний преподаватель семинарии из Нового Орлеана, познакомился со своей женой Кристи еще в юности. Прежде чем начать встречаться, они писали друг другу бумажные любовные письма.

«Джон умел красиво писать письма. Он был идеалистом, и мне казалось, что у нас общие цели. Мне исполнилось 24, и мы поженились. Я была полна надежд, что меня ждет прекрасная жизнь», — вспоминает Кристи.

По ее словам, хотя окружающие были уверены, что у них очень счастливые отношения, за десятки лет их брак переживал разные сложности.

Однажды Кристи нашла любовные письма, которые кто-то отправлял Джону. Для нее это было особенно обидно, ведь с писем начинались их отношения.

Когда Кристи впервые услышала о взломе Ashley Madison, она сразу подумала, что может найти в списках своего мужа, но не стала проверять, чтобы не причинять себе боль.

24 августа 2015 года, через несколько дней после публикации, Кристи и Джон проснулись, как обычно, выпили кофе, обсудив планы на вечер, а затем разъехались по своим делам.

Когда Кристи вернулась домой, Джона не было на кухне. Она начала искать его по дому, заглянула в гараж и увидела тело мужа: Джон убил себя, задохнувшись угарным газом.

Позже выяснилось, что в тот день Джона вызвали на разговор руководством семинарии. Там ему сообщили, что его имя было обнаружено в списке пользователей сайта Ashley Madison.

«Мне рассказали, что он расплакался и даже не пытался это отрицать. Просто сказал: “Да. Я знаю, вы хотите, чтобы я уволился”», — вспоминает Кристи.

Джон был из семьи, где было три поколения пасторов. Он учил молодых людей, которые планировали посвятить свою жизнь служению богу. Его репутация была уничтожена.

Больше и больше

Европейские эксперты, расследовавшие взлом, пришли к выводу, что Impact Team была создана специально для атаки на Ashley Madison. Ни до, ни после об этой команде хакеров никто ничего не слышал.

Криминалисты подозревают, что к взлому был причастен инсайдер, один из сотрудников компании. На эту мысль их навело то, что в своих сообщениях хакеры упомянули имена нескольких высокопоставленных менеджеров, которых они не могли знать, не общаясь с ними лично.

Полиция Торонто прекратила свое расследование. Следственно-оперативную группу расформировали. Никого из хакеров Impact Team так и не нашли.

После скандала должность покинул гендиректор компании Avid Life Media Ноэль Бидерман. Материнская компания Ashley Madison сменила название на Ruby Corp. и выплатила 11 миллионов долларов группе пользователей, которые подали коллективный иск.

Согласно отчету компании за 2020 год, Ashley Madison на тот момент пользовались уже 70 миллионов человек.