Хакер слил информацию о мошенничестве на бирже EXMO

PART I

ПРЕДЫСТОРИЯ

Вступление

На сегодняшний день тема защиты конфиденциальных данных стоит достаточно остро. Практически о каждом человеке можно найти информацию в глобальной сети, а о социальных сетях можно даже не упоминать. Несмотря на это, люди в современных условиях вынуждены идти на риск и делиться разного рода данными, которые имеют более высокую ценность, чем фотографии с отдыха. Например, для того, чтобы облегчить свою жизнь многие делают покупки через Интернет, регистрируются на обменниках валют, а также на биржах, предоставляя свои банковские реквизиты, паспортные данные и пр. Но на самом деле, несмотря на все сертификаты о безопасности, политику конфиденциальности данных и прочие отвлекающие моменты, реальная безопасность и защита данных никем не гарантируются. Все эти документы иногда с юридической точки зрения сродни надписи на заборе. Сегодняшняя статья докажет вам это наглядно.

Ликбез

Речь пойдет о мошенничестве на известной криптовалютной бирже EXMO.

Для того, чтобы познакомиться со всеми действующими лицами предлагаем вам короткий ликбез об ее основателях и истории.

История крупной биржи EXMO началась с открытия в 2013 году обменника ExMoney. Его, кстати, основали предприниматели из СНГ — Павел Лернер и Иван Петуховский. Сегодня EXMO — это крупная международная компания Exmo LLP Finance, которая имеет юридический адрес в Великобритании и открытый офис в Барселоне. Что значит открытый? А то, что в гости к руководству биржи может зайти абсолютно любой пользователь.

Над стабильной работой биржи трудятся сотни профессионалов с разных уголков земного шара. Это программисты из России, Таиланда, Индии, финансовые консультанты из США, Литвы, Великобритании — все вместе они создают удобную платформу для торговли, которой могут пользователи трейдеры всего мира 24 часа в сутки 7 дней в неделю. Здесь можно не только обменивать валюту, но и торговать коинами, хранить их.

Прирост аудитории в 2017 году составил 250%. Сейчас EXMO пользуются более 1 миллиона человек из 200 стран. Большинство трейдеров на платформе русскоговорящие. Причин на то много. Во-первых, биржа поддерживает русский язык. Во-вторых, здесь можно торговать рублями.

О том, что бирже доверяют, говорят награды. В 2017 году по версии BTC Awards CIS EXMO стала лучшей биржей года. Ключевое достоинство EXMO в ее простоте. В целом, это удобная платформа для торговли и даже холодного хранения цифровых денег, которая подойдет как новичкам, так и профессиональным трейдерам.

Информация заимствована с сайта howtobuycoin.com

Биржи являются платформами, которые непосредственно работают с личными данными пользователей. Для организации работы все данные о пользователях передаются в распоряжение сотрудникам, таким же людям, как и сами пользователи биржи. Стоит отразить этот момент, так как он имеет ключевое значение в этом деле. Несмотря на то, что при приеме на работу они наверняка в обязательном порядке подписывают соглашение о неразглашении информации, никто из вышестоящих лиц не может на 100% контролировать деятельность того или иного сотрудника биржи. Именно по этой причине в последующем совершаются акты разглашения информации, мошенничество и взломы аккаунтов на торговых платформах и других ресурсах, что и произошло на EXMO и, как вы убедитесь в дальнейшем, неоднократно.

История Хесуса

Несколько дней назад на почту редакции написал один молодой человек, назовем его Хесус. Он написал нам с просьбой обнародовать информацию о том, что сотрудники криптовалютной биржи EXMO занимаются мошенничеством и продают конфиденциальные данные пользователей, а также обещал предоставить соответствующие доказательства.

Мы вышли с ним на диалог, и он поведал нам интересную историю, которая заставила нас ужаснуться и окончательно разубедиться в добросовестности некоторых людей. Ниже вы можете ознакомиться с кратким изложением данного рассказа.

Хесус рассказал, что на хлеб насущный он зарабатывает фишингом. И как-то раз ему, по счастливой случайности, удалось найти на просторах сети объявление о том, что некто продает базу почтовых данных пользователей биржи EXMO. Это предложение показалось для него интересным, и он купил базу. С ее помощью он смог достаточно заработать, а позже решил начать плотно “сотрудничать” с продавцом. Для удобства будем называть его Майклом.  

Позже Майкл рассказал Хесусу, что начал заниматься всем этим из-за того, что его абсолютно не удовлетворяли условия работы и начальство на бирже. Для подтверждения своих слов Майкл отправил Хесусу скриншоты административной панели сайта.

 

Несколько месяцев Хесус и Майкл работали душа в душу с нехилым профитом. По словам Хесуса, он за этот период успел купить себе квартиру. Однако работа Хесуса и Майкла в какой-то момент не пошла, и приключилась следующая история:

“Однажды мы попали на очень жирный аккаунт с балансом около $100 000. После того, как я успешно взломал почту данного аккаунта, оказалось, что это аккаунт обменника. Этот обменник мы обрабатывали около 2х недель, чтобы дождаться еще большего баланса. Но этого не происходило, и мы решили выводить что есть, чтобы не спалиться и не потерять бабки.”

Обычно выводил все Майкл на свой кошелек, а потом по стандартной схеме отправлял долю Хесусу. Однако в этот раз все пошло не так. После того, как Хесус подтвердил вывод на почте жертвы, Майкл на неделю затянул с переводом, а потом и вовсе пропал.

После этого Хесус решил придать историю огласке, чтобы наказать Майкла, поэтому я сейчас пишу об этом вам.

История шокирующая, если честно. Обидно за людей, которые подверглись атаке ребят и потеряли свои деньги. Обидно за то, что партнеры кидают друг друга на деньги. Обидно за то, что руководители серьезных организаций так следят за своими сотрудниками. Кстати, помните, я говорила, что это случилось с EXMO уже не в первый раз? Ниже будет представлена еще одна интересная история, героями которой являются те же сотрудники EXMO.

Но давайте разберемся, насколько реально восстановить справедливость? Почему такие проступки остаются безнаказанными и как законодательство о защите информации вообще регулирует процесс разглашения конфиденциальных данных?

PART II

ДЕТАЛИ

Законодательная основа

Законодательство, регулирующее данную сферу, как правило, берет за основу одни и те же принципы в разных государствах. Например, в РФ действует Федеральный закон от 27.07.2006 N 149-ФЗ (ред. от 18.12.2018) “Об информации, информационных технологиях и о защите информации”. Согласно ст. 16 п. 4 этого закона:

Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:

1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;

2) своевременное обнаружение фактов несанкционированного доступа к информации;

3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;

4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;

5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;

6) постоянный контроль за обеспечением уровня защищенности информации;

7) нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.

Законом Великобритании «О защите персональных данных» установлены подобные принципы:

Каждый, кто несет ответственность за использование персональных данных, должен соблюдать строгие правила, называемые «принципами защиты данных». Информация, согласно им:

• используется честно, законно и прозрачно;
• используется для указанных, явных целей;
• используется адекватно, и только для того, что необходимо;
• используется только актуальная, обновленная информация;
• хранится не дольше, чем необходимо;
• обрабатываются таким образом, чтобы обеспечить надлежащую безопасность, включая защиту от незаконной или несанкционированной обработки, доступа, потери, уничтожения или повреждения информации.

Политика конфиденциальности EXMO

Соответствует ли политика конфиденциальности EXMO закону Великобритании? Формально соответствует, реально — нет.

В документе о “Политике конфиденциальности” на сайте можно найти следующую фразу:

“EXMO и его аффилированные лица обязуются приложить максимум усилий, чтобы защитить Вашу конфиденциальность. EXMO использует информацию, собранную о Вас, для выполнения своих договорных обязательств и улучшения клиентского сервиса.”

“И для незаконной продажи ваших данных в даркнете”, — могли смело добавить они.

Однако опустим сарказм, и обратим внимание на важные детали данного документа.

Одна из целей ниже.

Если у вас возникнет желание, вы можете ознакомиться также со списком данных, которые бирже предоставляет пользователь:

Прецедент

А теперь подробнее о той истории, которую я обещала рассказать. Данная биржа уже была замешана в мошенничестве в 2018 году. С трех пользовательских счетов на EXMO тогда были незаконно выведены средства в общем размере $37 100, однако данную историю благополучно замяли. До сих пор неизвестно действовал ли это один человек, или это три не взаимосвязанных случая.

Тогда в ситуации пытались разобраться и потерпевшие, и редакторы данного ресурса, но им ничего не удалось добиться. Однако после публикации самой статьи, им ответили.

Это ключевые моменты.

Руководство биржи уверено в том, что сотрудники не имеют возможности совершать мошеннические действия с тем доступом к информации, который у них имеется. И, соответственно, контроль за ними вряд ли осуществляется.

*Отметим, что редакция Decenter.org уведомила читателей о том, что они обратились к представителям EXMO и Mail.ru с просьбой пересмотреть инструкции по безопасности, но, судя по всему, руководство EXMO не придало этому особого значения.

Подробнее об этом случае вы можете узнать здесь.

Детали этого дела

Если вы помните, для подтверждения места работы Майкл скинул Хесусу скриншоты с админкой EXMO.  Как оказалось позже в ходе разговора, Хесусу также были предоставлены доступ к странице входа в админку в виде VPN, логин и пароль администратора, а также его ФИО и e-mail.

Хесус предоставил нашей редакции видеозаписи, подтверждающие, что пароль и логин для админки действительно настоящие. Мы проверили всю информацию. Ниже вы можете видеть примеры этих самых скриншотов с определенной информацией с EXMO. 

По словам Хесуса, вместе с Майклом они работали с марта 2018 года. В общей сложности их сотрудничество длилось 5 месяцев. Взлом обменника пришелся как раз на июль 2018. Для того, чтобы подтвердить факт взлома, я написала на почту обменника. К сожалению, за тот период времени, пока писалась эта статья, они не спешили мне отвечать. Для того, чтобы ускорить процесс я написала онлайн-консультанту, чтобы тот передал информацию руководству обменника, но мне так и не ответили.

О продаже баз и мошенничестве Хесус также писал руководству EXMO. На что ему ответили: “Информация не актуальна”. Связано ли это с тем, что EXMO укрепила свою систему контроля за сотрудниками или нашла таки того самого “преданного” работника, неизвестно. Однако я склоняюсь к мнению, что ситуацию просто решили замять. Тем более, что такое уже произошло однажды.

Остается надеяться на поддержку общественности. Может через СМИ информация о внутренних делах компании дойдет до верхов EXMO, хотя это уже и не так важно. Главное, чтобы эта информация была усвоена вами, дорогие читатели.

PART III

КАЗНИТЬ, НЕЛЬЗЯ ПОМИЛОВАТЬ!

История еще не подошла к концу. Один вопрос остается открытым: “Настигнет ли наказание виновных?”. Давайте разбираться.

Согласно статье об ужесточении закона о персональных данных ЕС:

“За нарушение правил компании должны будут заплатить штраф в размере до 10 млн евро или 2% от дохода за последний финансовый год, а за несоблюдение некоторых особо выделенных пунктов сумма вычета составит 20 млн евро или 4% от дохода.”

Также в процессе поиска информации на данную тему я нашла эту статью. В ней говорится о том, что “британское Управление уполномоченного по вопросам информации (ICO) оштрафовало компанию Facebook на 500 000 фунтов стерлингов ($644 000) за нарушения закона о защите личных данных пользователей”. Не исключено, что подобный проступок EXMO, как компании, также встанет им в круглую сумму. Что уж говорить о “Майкле”. Тем не менее, пока исход неясен. Для того, чтобы этой историей заинтересовались органы, необходимо, чтобы она создала шум.

Как это повлияет на репутацию EXMO?

Для начала, давайте разберемся, какая у EXMO была репутация до того, как была написана эта статья.

Свежие отзывы с BestChange.

Отзывы с mining-cryptocurrency.ru.

А вот, по данным сайта cryptonisation.ru, в рейтинге из 10 лучших по отзывам трейдеров бирж EXMO занимает 4 место. А также:

• 3 место в рейтинге бирж с выводом денег
• 3 место в рейтинге бирж без верификации на вывод
• 4 место в рейтинге бирж по размеру взимаемой комиссии при торговле

В каких-то рейтингах в сети EXMO занимает даже первые места, как ей это удается, неясно. Конечно, эта статья может испортить репутацию этой платформы в сети, однако это зависит от того, насколько вся представленная информация разойдется в сети.

По моему мнению, главное, чтобы это увидело как можно больше людей, которые занимаются трейдингом на постоянной основе или периодически. Это позволит им предотвратить мошенничество и потерю денежных средств.

PART IV 

КАК ЗАЩИТИТЬ СВОИ ПЕРСОНАЛЬНЫЕ ДАННЫЕ 

Будьте бдительны и не бойтесь лишний раз побеспокоиться за свои средства, если вы отправляете их в какое-нибудь богом забытое место (читай “ресурс”) в Интернете. Вы практически ежедневно читаете статьи о взломах и кражах, так будьте бдительнее.

Пообщавшись с Хесусом, я подумала, что было бы неплохо узнать у него реальные способы защиты личных данных, так как он, можно сказать, знает эту кухню изнутри, знает как обойти те или иные защитные системы. И вот что он сказал мне на этот счет:

1. Не храните всю свою криптовалюту на биржах, если в этом нет большой необходимости.
2. Всегда проверяйте ссылки в строке браузера, а также SSL-сертификаты сайтов.
3. Всегда используйте двухфакторную аутентификацию, не только на бирже, но и на почте, которая привязана к биржевому аккаунту. Это не панацея, но иногда она может спасти ваши деньги.
4. Обязательно следите за тем, что вы загружаете на свой компьютер, вирус может быть в чем угодно как в исполняемом файле, так и в JPG-фотке котика, а антивирусы не всегда справляются со своей работой.
5. Всегда относитесь с подозрением к письмам о необходимости смены пароля или его аннулировании, подозрительного входа и подобным сообщениям. Даже если это письмо отравлено с официальной почты биржи или вашего почтового сервиса, знайте, что плохие парни могу подделывать данные адреса.

А если вы хотите подробнее узнать о том, как обезопасить свою работу в Интернете, то заходите на Telegram-канал Хесуса, и будьте аккуратнее в сети.

Если у вас есть еще какая-либо информация о мошенничестве на бирже EXMO, сообщите ее нам.

Статья подготовлена Анной Райт по материалам и инициативе Хесуса.