Корреспондент журнала Fortune: Несмотря на то, что я был в курсе активной деятельности северокорейских хакеров, я всё же стал жертвой взлома.

Автор: Бен Вайс, журнал Fortune

Перевод: Лаффи, Foresight News

В конце марта я получил тревожное сообщение от ИТ-администратора журнала Fortune. «Один процесс раскрывает уязвимости системы», — написал он. Кто-то мог проникнуть на мой компьютер. «Мне нужно это завершить». Я мгновенно всполошился.

Согласно логам, которые после инцидента изучил отдел ИТ, файл, который я скачал в 11:04 утра того дня, мог вести запись нажатий клавиш, записывать экран, красть пароли и получать доступ к различным приложениям.

Я тут же закрыл ноутбук, выбежал из своей квартиры в Бруклине и помчался к ближайшей станции метро. Пока ждал поезд до офиса, отправил редактору сообщение: «Кажется, меня затащили северокорейские хакеры, просто абсурдно».

Я постоянно писал о событиях в Северной Корее и знал, что эта страна целенаправленно нацеливается на американских инвесторов. Но я никогда не ожидал, что эти хакеры выберут именно меня и позволят мне своими глазами увидеть, насколько изощрённы их методы обмана.

Сразу понял: это развод

Это «королевство отшельников» на протяжении многих лет активно атакует криптоиндустрию. Из-за санкций Северная Корея отрезана от глобальной финансовой системы и вынуждена полагаться на финансируемые государством кражи криптовалюты для поддержания работы страны.

Данные аналитической компании Chainalysis показывают, что только за 2025 год хакеры, связанные с Северной Кореей, украли криптовалюты на сумму 2 млрд долларов США, что примерно на 50% больше, чем годом ранее.

Северная Корея разработала безотказную схему обмана: от убеждения компаний нанять их сотрудников в качестве ИТ-персонала до методов, использовавшихся против меня в этот раз.

Ловушку северокорейские хакеры подготовили ещё в середине марта. Приманкой стало сообщение в Telegram от инвестора хедж-фонда — это приложение является самым распространённым мессенджером в криптоиндустрии. Я не могу раскрыть имя этого инвестора, но он был анонимным источником в моих статьях.

Он предложил мне познакомиться с человеком по имени Адам Свик, который ранее занимал должность главного стратегического директора в биткоин-майнинговой компании MARA Holdings. Я ответил согласием, так как он всегда был дружелюбен и надёжен, и меня тут же добавили в групповой чат.

Он сказал, что Свик готовит создание нового казначейства цифровых активов, «и уже есть потенциальный крупный инвестор на этапе seed». Проект звучал подозрительно, но я решил всё равно послушать, что он предложит.

Через неделю источник прислал мне ссылку на видеозвонок, которая выглядела как Zoom-конференция. Я перешёл по ней.

Запущенное приложение визуально напоминало привычный мне Zoom, но некоторые элементы интерфейса вызывали вопросы, а звук отсутствовал полностью. Появилась просьба обновить ПО для исправления проблем со звуком. В этот момент Свик написал: «Похоже, у тебя Zoom не работает». Я нажал кнопку загрузки.

Когда я заметил, что ссылка в браузере отличается от той, что прислал Telegram, я мгновенно напрягся. Я предложил перевести встречу на Google Meet. «У меня возникает ощущение, что это развод», — написал я Свику и источнику в чате.

Свик продолжал настаивать: «Не переживай, я только что проверил у себя, всё работает».

Я не стал запускать этот скрипт на своём Mac и резко вышел из Zoom-звонка. «Если хочешь поговорить, перейди на Google Meet», — написал я в Telegram. Мой источник тут же исключил меня из группового чата.

Вирусная цепная атака

Бегая из квартиры в офис к специалистам ИТ, я написал старшему исследователю безопасности Тэйлор Монахан. Она входит в состав организации SEAL 911 — группы добровольцев, помогающих жертвам кражи криптовалюты. Я отправил ей скачанный скрипт и ссылку на видеозвонок.

«Это работа северокорейских хакеров». Она ответила через несколько секунд.

Если бы я тогда запустил этот скрипт, хакеры украли бы мои пароли, аккаунт в Telegram и всю криптовалюту. К счастью, я владел лишь небольшим количеством биткоинов и несколькими другими криптоактивами.

Характер кибератак таков, что определить исполнителя на 100% крайне сложно, но в моем случае Монахан заявила, что ссылки, скрипт и даже поддельный аккаунт Свика указывают именно на Северную Корею. Расследующие органы используют блокчейн-анализ и другие улики для подтверждения связи с КНДР. Двое других экспертов по безопасности, долго отслеживающих деятельность северокорейских хакеров, после получения от меня материалов подтвердили эту версию.

«Передай ему привет от меня, ха-ха», — сказала Монахан, имея в виду конкретного северокорейского хакера, нацелившегося на меня.

Монахан и другие специалисты по безопасности уже разбирали сотни случаев фишинга через фальшивые видеоконференции в криптоиндустрии. Схема типовая, но чрезвычайно эффективная.

Злоумышленники сначала захватывают аккаунт реального пользователя в Telegram, затем связываются с людьми из его контактов. Жертве предлагают присоединиться к видеозвонку, где звук постоянно работает некорректно. Затем человека подбивают запустить «обновление для ремонта звука». После запуска скрипта хакер получает контроль над криптоактивами, паролями и аккаунтом жертвы.

На самом деле, компания Google в своем отчете, опубликованном в среду, сообщила, что эта группа северокорейских хакеров параллельно готовила масштабную кампанию против широкого круга разработчиков программного обеспечения.

Я не богатый биткоин-магнат на Lamborghini, но Монахан отметила, что северокорейские хакеры охотятся не только за богатыми клиентами. По её наблюдениям, всё чаще под прицел попадают журналисты криптоиндустрии, вероятно, потому что у них в Telegram обширные связи. Среди этих контактов с высокой вероятностью скрывается немало криптозажиточных людей.

Как вирус, поражающий здоровые клетки, хакеры взламывают эти профили, чтобы через них атаковать контакты пользователей. Именно так я чуть не попался. Я думал, что общаюсь со знакомым, поэтому снизил бдительность.

«Поддельный я»

После полного форматирования компьютера, смены всех паролей и многократного благодарения специалистов ИТ я наконец позвонил источнику. Как и следовало ожидать, его аккаунт в Telegram был взломан еще в начале марта.

«В моем Telegram очень много контактов, которых нет ни в телефоне, ни в компьютере», — отметил он. «Но больше всего меня расстраивает то, что кто-то маскируется под меня и обманывает людей, выдавая себя за меня. Это чувство вторжения в личное пространство просто отвратительное».

Более того, несмотря на множество обращений в службу поддержки Telegram в течение трех недель, ответа так и не последовало. Представитель платформы в официальном заявлении пояснил: «Мы делаем все возможное для защиты аккаунтов, однако ни одна платформа не может гарантировать стопроцентную защиту от мошенничества». Он добавил, что после моего обращения сервис заморозил аккаунт инвестора хедж-фонда.

Я также связался с самим Адамом Свиком. Начиная с начала февраля в Telegram появились фальшивые аккаунты, выдававшие себя за него. Этот бывший топ-менеджер MARA получал десятки сообщений и звонков с вопросами, почему он назначает встречи, и каждый раз вынужден был извиняться.

«Но некоторые люди отвечали: „Чего ты извиняешься, чувак?“», — рассказывает Свик. «Приходилось отвечать: „Не знаю, наверное, извиняюсь за своего поддельного аналога… Очень жаль, что так вышло“».

Свик не понимал, зачем хакеры выдавали себя за него, а мой источник не мог вспомнить, как именно его Telegram был взломан. Однако ближе к концу разговора мы оба внезапно поняли причину.

Среди последних контактов перед взломом аккаунта инвестора числился фейковый Свик. «Мы созвонились по Zoom, у него не работал звук», — вспомнил источник. «Я смутно помню, что тогда куда-то что-то скачал».

Иными словами, вполне вероятно, что на моего источника охотилась та же группа злоумышленников. Осознав, что его компьютер тоже мог быть заражен, инвестор хедж-фонда тут же положил трубку и полностью отформатировал устройство.

Я отправил поддельному Адаму Свику сообщение в Telegram: «Этот аккаунт находится под управлением северокорейских хакеров?»

До сих пор я не получил никакого ответа.