Евгений Никулин попался в Чехии, осужден в США. Похититель данных сотен миллионов аккаунтов пользователей LinkedIn, Dropbox и Formspring получил более 7 лет

Евгений Никулин

В 2016 году произошел сразу ряд масштабных утечек данных, причем многие дампы, включая MySpace, LinkedIn, Tumblr и «ВКонтакте» (а также Badoo, QIP, Rambler и Mobango) в итоге были выставлены на продажу. Тогда дампы в основном распространяли два человека, известные под никами Tessa88 и Peace_of_Mind.

Как ни странно, ни один из этих двоих не взламывал вышеперечисленные компании и сервисы. Хакеры действовали лишь как посредники, а за самими взломами стояли крупные хакерские группы, о чем Tessa88 и Peace_of_Mind неоднократно говорили в интервью.

В 2016 году в Чехии был арестован один из непосредственных взломщиков, россиянин Евгений Александрович Никулин. Тогда ему предъявили обвинения во взломе Dropbox, LinkedIn и Formspring и вскоре его экстрадировали в США.

В сумме Никулина обвинили по ряду статей, и все они были связаны с проникновением в чужие сети и хищением данных. Согласно судебным документам, Никулин взломал Dropbox, Formspring и LinkedIn весной-летом 2012 года.

Сообщалось, что хакер работал как минимум с тремя сообщниками, а для проникновения в сети LinkedIn и Formspring предварительно скомпрометировал учетные данные сотрудников компаний, что облегчило последующий взлом. Так, в случае LinkedIn, он заразил ноутбук сотрудника компании малварью, что позволило ему злоупотребить VPN этого сотрудника и получить доступ к внутренней сети. Оттуда хакер похитил около 117 000 000 пользовательских записей, включая имена пользователей, пароли и email-адреса.

Затем Никулин использовал похищенные у LinkedIn данные для рассылки фишинговых писем сотрудникам других компаний, включая Dropbox. Там он сумел скомпрометировать учетную запись еще одного работника, а затем предоставил себе доступ к папке Dropbox, где содержались данные компании. Власти заявляют, что таким образом Никулину удалось собрать массу информации о 68 000 000 пользователей Dropbox, включая имена пользователей, email-адреса и хэшированные пароли.

Аналогичным образом Никулину удалось проникнуть и в учетную запись инженера Formspring. Таким образом, в июне 2012 года он получил доступ к внутренней базе данных пользователей компании, на тот момент насчитывавшей более 30 000 000 человек.

Вся эта информация в итоге была продана на черном рынке. Как было сказано выше, эти данные появились в интернете в 2015-2016 годах, когда различные продавцы размещали дампы на общедоступных форумах и хакерских торговых площадках.

РИА "Новости", 29.09.2020, "Дело российского гражданина Евгения Никулина в США": В России Никулин также является фигурантом уголовного дела. 10 сентября 2016 года ордер на арест Евгения Никулина был выдан Коптевским районным судом Москвы по обвинению в краже более 3,4 тысячи долларов посредством электронной платежной системы Webmoney, которая произошла в 2009 году. 22 ноября 2016 года минюст Чехии получил запросы на выдачу Никулина одновременно из Москвы и Вашингтона.

30 мая 2017 года в тюрьме, в которой находился подозреваемый, было проведено слушание по делу, судьей было принято предварительное решение по экстрадиции арестованного в США. Адвокаты Никулина заявляли, что дело является инсценировкой, а клиент может быть жертвой заговора ФБР. Пражский горсуд постановил, что Никулин может быть экстрадирован как в РФ, так и в США.

Обвиняемый опротестовал решение горсуда в части его возможной выдачи в США, однако 24 ноября 2017 года Верховный суд в Праге вынес решение о том, что Никулин может быть выдан Вашингтону. Окончательное решение о его выдаче в США, в соответствии с чешским законодательством, принял глава Минюста Роберт Пеликан.

В ночь на 30 марта 2018 года Чехия экстрадировала Евгения Никулина в США. 9 апреля этого же года Конституционный суд Чехии отменил решение об экстрадиции задним числом. 30 марта 2018 года Никулин предстал перед федеральным судом в Сан-Франциско, cвою вину он не признал.

В начале декабря 2018 года Никулина перевели из тюрьмы в клинику в Лос-Анджелесе для проведения психиатрической экспертизы, чтобы врачи приняли решение о том, в состоянии ли он предстать перед судом. 29 мая 2019 года подозреваемый был признан психически здоровым.

Американский суд лишил Никулина частной юридической помощи, судья назначил ему государственных адвокатов. Процесс над российским гражданином был назначен на март 2020 года. В этот период стало известно, что, по данным прокуратуры, в 2012 году Никулин поддерживал регулярные контакты с Александром Еременко, гражданином Украины, обвиняемом в Нью-Джерси в хакерских атаках на базу данных Комиссии по ценным бумагам и биржам США. — Врезка К.ру

Летом текущего года суд признал Никулина виновным по всем пунктам обвинения, хотя процесс проходил нелегко, а судья долго сомневался в версии правоохранителей. За прошедшие годы хакер не раз менял адвокатов, отказывался сотрудничать со следствием или заключать сделку о признании вины, поменял несколько тюрем и проверялся у психологов по распоряжению суда (у судьи возникли опасения относительно психического здоровья хакера, когда тот отказался говорить со своими адвокатами и представать перед судом).

Прокуратура настаивала на 145 месяцах (12 лет) тюремного заключения, трех годах под надзором и возмещении ущерба. В свою очередь, адвокаты Никулина пытались оспорить размер причиненного ущерба, а также утверждали, что хакер находится под стражей уже около 48 месяцев, просили суд приговорить его такому сроку и учесть уже проведенное за решеткой время.

В итоге 29 сентября 2020 года Никулин был приговорен к 88 месяцам (7,3 года) тюремного заключения. Из них 64 месяца за торговлю устройствами несанкционированного доступа и нанесение вреда защищенным компьютерам; 60 месяцев за компьютерный взлом и сговор; еще 24 месяца за кражу личных данных при отягчающих обстоятельствах. В итоге хакер должен отбыть в тюрьме 85% срока (74,8 месяца), но за вычетом того времени, которое он уже провел под стражей, ему осталось лишь 26,8 месяцев, то есть чуть более двух лет.

Также после освобождения Никулин проведет три года под надзором властей (при условии, что он не будет депортирован в Россию сразу после освобождения) и будет обязан возместить причиненный ущерб пострадавшим компаниями: 1 000 000 долларов в пользу LinkedIn, 514 000 долларов Dropbox, 20 000 долларов Formspring и 250 000 долларов родительской компании WordPress — Automattic (хотя в этом взломе его так и не обвинили).

Коммерсант.Ру, 30.09.2020, "Россиянина осудили как взломщика LinkedIn": Судья, определяя наказание, отметил ум, способности и чувство юмора Никулина, однако посчитал, что эти качества только усугубляют вину россиянина. [...]

В тюрьме Санта-Рита (штат Калифорния) Евгений Никулин долгое время находился в одиночной камере, чтобы избежать общения с латиноамериканскими гангстерами, составляющими большинство обитателей пенитенциарного учреждения. Однако теперь, вероятно, у него появятся сокамерники. — Врезка К.ру

«Я думаю, ты гениальный парень. Очень умный. Я призываю тебя применить свой талант в законной профессии и сделать что-нибудь хорошее в жизни, кроме взлома компьютеров», — резюмировал окружной судья Уильям Алсап (William Alsup) после вынесения приговора.

Также судья отметил, что него особенно повлиял тот факт, что в России у Никулина есть 10-летняя дочь, а ее мать может не дожить до новой встречи с Никулиным: по данным адвокатов, за последние годы она перенесла четыре операции на позвоночнике и три инсульта.

«Вероятно, она находится на грани смерти, и мистер Никулин, возможно, никогда не увидит ее снова. Тяжесть вины и боль от разлуки с людьми, которые любят его и нуждаются в нем, это гораздо более серьезное наказание, чем любой тюремный срок, который этот или любой другой суд может назначить мистеру Никулину», — заявили адвокаты хакера. [...]

Оригинал этого материала