Как украинцы провернули одну из крупнейших махинаций в истории

Как-то раз весной 2012 года, сидя в одном из ночных клубов Киева, 24-летний Иван Турчинов спьяну хвалился перед коллегами по хакерскому делу. Турчинов бахвалился, будто годами крал неопубликованные пресс-релизы с новостных лент и загонял их биржевым маклерам через посредников в Москве в обмен на процент от выручки.

Другой участник хакерской вечеринки, Александр Еременко, знавший Турчинова и ранее, решил, что тоже хочет поучаствовать в этой афере. Вместе с другом Вадимом Ермоловичем они взломали сайт Business Wire (компания, публикующая полнотекстовые пресс-релизы тысячи корпораций, — прим. перев.), выкрали доступ Турчинова к содержимому сайта и вынудили московского посредника, известного под никнеймом eggPLC, принять их в долю. Так хакеров в деле стало трое.

Новостные службы наподобие Business Wire — агрегаторы корпоративных данных, пресс-релизов, официальных объявлений и другой информации, сказывающейся на положении рынка. На ее преждевременную публикацию существует строгое эмбарго. Всего за пять лет были взломаны три американских новостных ленты. В ход пошли различные методы от SQL —вторжений и фишинговых писем до вредоносных «троянов» и ворованных паролей. Трейдеры с американского фондового рынка начали заказывать у хакеров самые долгожданные пресс-релизы. Те закачивали украденные материалы на иностранные серверы в обмен на 40% прибыли — а деньги выводились на офшорные счета. Опросив ряд источников как в кругах мошенников, так и среди служб правопорядка, и ознакомившись с рядом судебных документов и логами чатов, «Вёрдж» проследил, как развивалась одна из крупнейших махинаций в американской истории.

Это дело наглядно демонстрирует революцию, которую произвел в инсайдерской торговле интернет. Чтобы заполучить внутреннюю информацию, трейдерам уже не нужны доверенные лица в компаниях. Теперь они обращаются к хакерам. А у тех широкий выбор лазеек: у крупной корпорации или банка с безопасностью, может быть, и все хорошо, однако у их контрагентов — финансовых и юридических фирм, брокерских и инвестиционных контор или тех же новостных лент — уже далеко не всегда.

Как отметил один из участников махинации, уровень безопасности внутри самой компании при этом не имеет никакого значения: «Нельзя исключать человеческий фактор. Всегда найдется сотрудник, который кликнет по фишинговому письму. Или с радостью продаст свой пароль за вознаграждение».

«Хакерским атакам подвергались практически все организации, занимающиеся сбором финансовых данных, хоть сколько-нибудь ценных для трейдеров», — объясняет Скотт Берг (Scott Berg), директор Американского центра кибертак, некоммерческого исследовательского института, который консультирует правительство США. «Равно как и все бюро экономического анализа во всех крупных странах — их, скорее всего, тоже взламывали», — добавляет он.

В основном, считает Берг, эти атаки остаются без внимания. Речь ведь идет о хорошо продуманных адресных операциях, и компании воздерживаются сообщать о них во всеуслышание в надежде избежать неприятностей, свести к минимуму репутационные потери или попросту потому, что даже не представляют, что именно у них украли.

За последние восемь лет Комиссия по ценным бумагам и биржам США усилила свой штат по борьбе с киберпреступностью тремя новыми отделами и призвала компании укрепить собственную безопасность ради скорейшего обнаружения брешей. В какой-то степени эти меры оказались успешны — как свидетельствует недавний случай с китайскими хакерами, которые внедрялись в юридические компании, — но это все равно игра в кошки-мышки. Никаких гарантий безопасности нет даже у самой комиссии: ее взломали в 2016 году. Атаку замалчивали целый год, что породило обвинения в лицемерии.

Борьбу осложняет международная природа хакерства. Незадолго до того, как Турчинов спьяну хвастался своими подвигами, его взяла на карандаш Секретная служба США, в чьи обязанности входит защита финансовой инфраструктуры страны.

Как свидетельствуют материалы суда, начиная с 2012 года новостные ленты Business Wire, PR Newswire и Marketwired только и делали, что латали дыры в системах безопасности и вычищали троянов в попытке хоть как-то усилить свою защиту. Аскари Фой (Askari Foy), эксперт по безопасности и бывший сотрудник Комиссии по ценным бумагам, поведал, что установленная практика была такая: фирмы связывались с ФБР, те начинали следствие, и власти тем самым получали доступ к их системам безопасности.

Когда PR Newswire получили сигнал тревоги о потенциальной бреши в марте 2012 года, они наняли частную компанию Stroz Friedberg для дальнейшего расследования. Трояны Турчинова обнаружили и деинсталлировали, свидетельствуют судебные материалы. 27 марта он в панике жалуется подельникам в Москве.

«Срочно свяжитесь со мной. Возникли проблемы. Во-первых и в-главных, PR накрылась. Они обо всем пронюхали и вычистили наше дерьмо. Новое еще не готово, я жду инструкций. Произошло это 13-го [марта]. Во-вторых, ваших чуваков раскрыли. Они делали слишком большие ставки, поднялась шумиха, и теперь все судачат, что, мол, не сезон».

Однако уже к 30 мая того же года, во многом благодаря своему новому коллеге Еременко, хакеры восстановили свой доступ к PR Newswire и продолжили свое черное дело.

Секретная служба США запросила помощи у спецслужб Украины, как явствует из американских материалов суда и как свидетельствует агент Алексей Ткаченко. На Украине начали ежедневную слежку за Турчиновым.

Его знакомый, допрошенный украинскими агентами, показал, что Турчинов общается примерно с десятью сверстниками, включая сообщников Еременко и Ермоловича. У них, по его словам, всегда куча денег — при отсутствии очевидных источников дохода. Обнаружилось, что у Турчинова имеется дом в Конче-Заспе, а это киевский ответ Беверли-Хиллз. Наконец, в соцсетях он хвастал роскошной коллекцией золотых часов, пистолетом и шикарным авто и регулярно публиковал фотографии из киевских ночных клубов в компании друзей.

В ноябре 2012 года украинцы в тандеме с Секретной службой США, к которой теперь подключилось ФБР, провели обыски в восьми квартирах в Киеве и его окрестностях. Конфисковав ноутбуки Еременко и Турчинова, они обнаружили сотни пресс-релизов, а также переписку, где обсуждались подробности мошенничества. Спустя несколько месяцев для допроса Турчинова, Еременко и других на Украину прибыл спецагент Секретной службы США Александр Париселла (Alexander Parisella).

С этого момента дело заглохло. Украина своих граждан не выдает, поэтому Париселле не оставалось ничего, кроме как попытаться выудить из хакеров побольше сведений об украденных пресс-релизах и данных о владельцах кредитных карт.

Но и на Украине хакеры остались без приговора. Сотрудники правопорядка сообщили, что так и не получили требуемого запроса от США, что подтвердил американский агент. Похоже, что украинские спецслужбы задумали провернуть с Турчиновым, главным подозреваемым американцев, что-то свое.

«От ментов он попросту откупился. Правда, не деньгами. Он отдал им свою коллекцию часов, а она тянула на полмиллиона. Дом тоже отдал. Даже до „бентли" дошло, а они ему и заявляют: „Так, теперь ты работаешь на нас, а иначе отправишься в США"», — рассказал человек, тесно общавшийся с Турчиновым.

Спецагент Париселла укатил обратно в Штаты, и Турчинов продолжил взламывать пресс-релизы — на сей раз по наущению украинских спецслужб, сообщил глава киберполиции Украины Сергей Демедюк. Спецслужбы развернули собственную аферу независимо от московских посредников: Турчинов поставлял им данные, а они сливали их собственным трейдерам, объясняет Демедюк.

«Так и было, и запираться нет смысла», — говорит он, признавая, что сотрудники спецслужб наживались на незаконных сделках.

Сами украинские спецслужбы комментировать свое участие отказались.

Корни этой махинации весьма запутаны. На суде один свидетель заявил, что заправилой был некий «Валерий». Другие свидетели сообщают, что на трейдеров выходил некий Роман Вишневский. Судя по никнейму в Скайпе и списку контактов, им был тот самый биржевой маклер, которого в возрасте 26 лет похвалил за успехи журнал «Форбз» (Forbes). Вишневский от комментариев уклонился. Ни тому, ни другому обвинения так и не были предъявлены, хотя Вишневский в последний раз ездил в США в ноябре 2017 года. В сети предполагаемый главарь банды фигурировал сугубо под никнеймом eggPLC.

Демедюк и другие, пожелавшие остаться анонимными, считают что eggPLC — живущий в Москве петербуржец, нанимающий хакеров с 2008 года, а то и раньше. На ряде форумов «темного интернета», где продаются украденная информация и личные данные, корреспондентам «Вёрдж» неоднократно встречались заказы хакерам от eggPLC. Один из замешанных мошенников показал, что благодаря полученным данным опускал или, наоборот, загонял вверх цены на акции, заключая сделки со своих счетов. Старинная схема спекулянтов, известная как «накачка и сброс», получила второе дыхание в середине 2000-х, когда к биржевым манипуляциям подключились хакеры.

По рассказам Демедюка и инсайдеров выходит, что eggPLC завербовал Турчинова где-то в 2009 году. Похищенные пресс-релизы Турчинов пересылал в Москву eggPLC и двум другим посредникам. Хакеры брали 40-процентную комиссию, а посредники требовали еще 10%. Судя по профилям в ICQ, некогда популярном в России сетевом пейджере, eggPLC рулил по интернету целой подпольной компанией. Один из профилей был его личный, другой же назывался eggPLC support.

На украденные пресс-релизы в Москве, Петербурге, Киеве и США слеталось все больше трейдеров. Некоторые работали на инвестиционные компании, другие — на себя. Народу через сарафанное радио подключалось все больше, круги знакомых ширились.

Среди них оказались братья Павел и Аркадий Дубовые из уважаемого и состоятельнейшего клана украинских баптистов. Он сильно поднялся на приватизации промышленности в 1990-х. В середине 90-х Аркадий, владелец фабрики мороженого в Одессе, переехал в пригород Атланты, воспользовавшись законом о преследовании религиозных меньшинств в бывшем Советском Союзе. Павел некоторое время учился в США и поддерживал связь с братом. Будучи частью клана, они вернулись на Украину, когда их племянник Александр в 2007 году стал членом парламента.

Уже после возвращения, в ноябре 2010 года, Павел Дубовой отправил партнеру Аркадия по строительной фирме электронное письмо с инструкциями, как получить доступ к украденным пресс-релизам.

После рождественских праздников Аркадий и его деловой партнер Александр Гаркуша отправились из Алфаретты, штат Джорджия, в аэропорт Атланты на встречу с баптистским пастором и по совместительству биржевым спекулянтом из Филадельфии по имени Виталий Корчевский.

Корчевский, в прошлом портфельный менеджер компании Morgan Stanley, имел в иммигрантских кругах, где многие плохо знали английский и слабо ориентировались в американской жизни, репутацию доки финансового планирования. В среде славянских баптистов США Корчевский также пользовался уважением — его часто звали проповедовать в США и бывшем СССР.

К началу 2000-х Корчевский уволился из Morgan Stanley в Нью-Йорке и переехал в Филадельфию, где разъезжал вечерами по округе, встречаясь с единоверцами, которых зазывал на религиозные собрания. Позднее он организовал союз из 28 русскоязычных церквей и потратил значительную часть своих сбережений на открытие собственной церкви в Филадельфии. Кроме того, он спонсировал эмиграцию своей паствы из бывшего Советского Союза, как ранее уже делал в 1980-х. Нередко эмигранты подолгу жили у него дома и съезжали, лишь найдя работу и собственную крышу над головой.

«Да, он был очень набожный, но познакомившись с ним поближе, я увидел в нем и деловую жилку. У него были большие амбиции, а сам он был законченный эгоист, — заявил один баптист, знавший Корчевского на протяжении тридцати лет. — Он любит верховодить, любит, когда его уважают и стараются ему подражать».

Обсудить дела с Корчевским Аркадий и Гаркуша встретились в кафе аэропорта. Начались переговоры ни шатко, ни валко. Поначалу на ушлого пастора афера впечатления не произвела: мол, эти пресс-релизы, что вы мне тут показываете, все лежат в открытом доступе. Аркадий уехал домой, сочтя, что брат подложил ему свинью. Следующую встречу омрачили технические трудности. Лишь на третий раз удалось правильно наладить сервер, и упрямый пастор согласился, что дело может выгореть.

Тогда Аркадий начал заводить брокерские счета. Английский он знал плохо, поэтому писать письма вынужден был просить других — например, сына Игоря. На суде он заявил, что в ценных бумагах не разбирается, а в компьютер знает на уровне пользователя — из-за этого, мол, он и позволил Корчевскому вести дела от своего имени за 10% от прибыли. Корчевский, занимавшийся тогда открытием фонда в Филадельфии, тайно совершал сделки с других счетов, за что впоследствии и поплатился: группе перестали сливать информацию, потому что они перестали выплачивать «комиссионные» полностью.

Аркадий же вел свою игру на стороне. Брат Павел познакомил его с еще одним спекулянтом с Уолл-стрит — Владиславом Халупским, который разрывался между Одессой и Бруклином. Аркадий открыл свой счет Халупскому. По собственному признанию, он хотел сравнить, кто окажется эффективнее — Корчевский или Халупский. Кроме того, Аркадий отправил своего сына Игоря в Одессу обучаться игре на бирже в фирме Халупского.

Махинация разрасталась: к надежной и вроде бы дуракоустойчивой схеме обогащения один за другим подключались друзья, родственники, коллеги и прихожане. Счета открыли двое менеджеров из украинских фирм Аркадия, после чего присоединились двое родственников из Одессы (клан Дубовых обширен, и в деле замешаны лишь пятеро из его членов). Год спустя подключился бухгалтер Аркадия и его единоверец Леонид Момоток. Момоток, неплохо знавший рынок ценных бумаг, открыл несколько счетов, один из которых был на имя его брата. Чем больше заиграно участников и разрозненных счетов, тем сложнее властям вскрыть обман.

Для людей пошиба Корчевского, лицензированного в США консультанта по инвестициям с десятилетним опытом, украденные пресс-релизы означали легкую наживу.

3 августа 2011 года, в 18:34, в систему PR Newswire загрузили пресс-релиз от фармацевтической компании Dendreon Pharmaceuticals. Опубликовали же его спустя примерно полчаса, в 19:01, когда биржи закрылись. В релизе сообщалось, что новое лекарство не вышло на запланированный уровень продаж. В 18:56, когда он еще не был опубликован, а до закрытия бирж оставалось четыре минуты, Корчевский приобрел 1100 опционов на продажу — эти бумаги дают право продать их в течение определенного времени. На следующий день акции Dendreon упали на 67%, а Корчевский наварил на продаже свыше 2,3 миллионов долларов. По распечаткам телефонных разговоров, Корчевский дважды звонил в контору Аркадия до официального появления пресс-релиза и еще дважды после продажи опционов.

Но случалось и так, что трейдеры проигрывали. Вопреки оптимистическому пресс-релизу, акции интернет-компании Verisign неожиданно упали в цене 26 апреля 2013 года. Сын Аркадия Игорь Дубовой писал в электронном письме Корчевскому: «Аркадий велел мне продать все акции, сообщите мне, пожалуйста: мне продолжать — или у вас есть для этого другой человек». В скором времени Игорь распродал долю группы Дубовых с потерей в 114 038 долларов. После этого Игорь отправил Корчевскому другое письмо: «Я уже все продал, и только потом увидел ваше письмо. Не уверен, что сделал все правильно». Корчевский отреагировал спокойно: «Ничего, это не конец света. Странно, цифры вроде были правильные. Непонятно».

На Украине хакерам платил Павел, у которого был один счет с Аркадием. Деньги он переводил через подставную британскую компанию на счет, чьи данные сообщил неустановленный человек, вероятно, Роман Вишневский, неоднократно фигурировавший в следствии как связной Дубового (давать комментарии Вишневский отказался). В одном из писем от февраля 2012 года, подтверждая платеж Аркадию, Павел сообщал, что 95 000 долларов переведены на счет Турчинова в эстонском банке. В приписке он написал: «Наши ребята». Деньги были замаскированы под оплату строительного оборудования для компании Аркадия. Советские баптисты нередко шли в строительный бизнес, поскольку поддержки от государства не получали. Письмо также гласило, что 160 000 долларов переведены некому «Владу» (он же Халупский), украино-американскому трейдеру и консультанту по инвестициям. Свои заказы на ожидаемые сообщения компаний Павел рассылал Аркадию в Джорджию и хакерам через посредников в Москве.

Как Павел познакомился с Романом — неясно, но именно Роман, работавший непосредственно на главаря, ввел его в курс всей махинации. Чем Павел зарабатывал на жизнь, также не установлено. Его племянник-политик Александр назвал его в интервью «Вёрдж» «техническим специалистом» и «фрилансером», добавив, что тот пробовал себя и в строительном бизнесе. О его таланте биржевого спекулянта ему ничего не известно.

В телефонном разговоре в марте Павел отвергал свое участие в инсайдерском трейдинге и биржевых спекуляциях. «Честно, я практически никак с этим не связан. Это главным образом мои родственники», — сообщил Павел о приговоре американских властей. «Я вообще никак не причастен, — добавил он, — у меня сроду не было брокерских счетов, и на бирже я не играл. Я даже не представляю себе, как это вообще делается. Я не знаю, что там шли за дела, и не понимаю, почему меня вообще приплели».

Последующие предложения встретиться Павел отклонил, а на конкретные вопросы по махинациям не ответил.

Продолжение следует

The Verge, США