🍕 Промежуточный итог взлома «Додо Пицца»

Продолжаем следить за историей с нашумевшим взломом «Додо» и выгрузкой 68 млн. записей клиентов. Она получила любопытное и точно необычное развитие 👨‍💻.

В Барнауле задержан предполагаемый участник группировки — Д. А. Фридман. Тверской суд Москвы отправил его под домашний арест. Мера действует до 8 декабря. Статья: 272.1 УК РФ, ч. 3 (пп. «а» и «в»), то есть незаконный оборот компьютерной информации с персональными данными.

По версии следствия, он получил доступ к данным клиентов и за вознаграждение передал их другим лицам для публикации в Telegram-канале. Название канала и сумму не раскрывают.
Отдельно «Коммерсантъ» пишет, что полный архив продали в даркнете, а деньги пришли на общий криптокошелёк группы. После задержаний пароль от него сменили.

По данным СМИ, группа состояла из четырёх человек (граждане России, Казахстана и Беларуси). Троих задержали, один пока на свободе. Вышли на них благодаря IP-адресу, который Фридман не скрыл при обращении к похищенному массиву данных 🤪.

Также, по версии следствия, отправной точкой стали корпоративные учётные данные «Додо», оставленные в открытом доступе на GitHub. Это оказался не хитрый сложный взлом, а банальная утечка секретов в репозитории.

Что еще любопытно с технической и аналитической точки зрения: атаки этой группы отличались высокой степенью автоматизации. По оценкам ведомств, за счет интеграции инструментов искусственного интеллекта время подготовки и реализации взломов сократилось с привычных нескольких недель до считанных часов. Тренд на автоматический пентест и ИИ-ассистентов в руках злоумышленников перестал быть теорией и стал обыденной практикой.

Что в итоге?
Я бы выделил две глупости 😁 с обеих сторон:
1️⃣ Утечка секретов в публичные репозитории остаётся одним из самых частых и самых дешёвых для атакующего векторов. Поверка секретов в CI, ротация ключей и принцип минимальных привилегий на сервисных учётках должны быть гигиеной, а не «хорошей практикой на потом».
2️⃣ Можно отлично спланировать и месяцами готовить атаку, а попасться на одном подключении без анонимизации. Оперативная безопасность ломается не на самом сложном этапе, а на самом рутинном.

💬 Хорошо, что хакер забыл про VPN kill switch. Именно такие «мелочи» чаще всего и решают исход расследований. Но домашний арест — это мера пресечения, а не приговор. Все версии пока остаются версиями следствия.

📖 InfoSec Context
| TG | Max | Web