(Не) безопасный дайджест: NFT-диджей, обиженный подрядчик и ИИ, который взломал сайт спортзала
Ежемесячная подборка инцидентов информационной безопасности за август наглядно показывает: большинство серьезных проблем возникает не из-за фантастических хакерских атак, а вследствие обычной жадности, обиды, чрезмерных полномочий и отсутствия базового контроля. В одних случаях корпоративные деньги превращались в личный бюджет руководителя, в других бывшие сотрудники использовали доступ к данным для шантажа. Отдельный урок связан с искусственным интеллектом: автономный помощник способен не только выполнять поручения, но и находить неожиданные способы обойти ограничения.
Главные выводы месяца просты: инвестиционные средства нельзя тратить на личные увлечения, доступ подрядчиков необходимо своевременно отзывать, криптовалютные операции не гарантируют анонимность, а ИИ-агентов нельзя оставлять без четких правил и технических ограничений.
NFT-проект, который оплатил карьеру диджея
В 2022 году компания Few and Far привлекла свыше 10 млн долларов на выпуск токена FAR и запуск торговой площадки NFT. Однако основатель проекта Тадж Тарша направил значительную часть средств не на развитие бизнеса, а на собственные интересы.
Деньги инвесторов тратились на продвижение его карьеры диджея, участие в онлайн-казино, операции с криптовалютами и приобретение дорогой квартиры в Майами. Первые признаки нецелевого использования средств выявили во время аудита в 2023 году. Тарша сумел убедить инвесторов, что сомнительные расходы якобы связаны с развитием компании. Позже он сократил большую часть команды, что позволило усложнить внутренний контроль.
Токен все же появился на рынке в мае 2024 года, но быстро потерял стоимость и перестал торговаться. Арест основателя состоялся лишь в июне 2026 года. Следствие установило, что инвестиционные средства переводились на личные счета. Тарше предъявили обвинения в мошенничестве с ценными бумагами и использовании электронных средств связи. Максимальное наказание по каждому эпизоду может достигать 20 лет лишения свободы.
Этот случай демонстрирует, почему стартапам необходимы раздельные счета, регулярный независимый аудит и прозрачная отчетность перед инвесторами. Одного доверия к основателю недостаточно, даже если компания работает в модной и быстрорастущей отрасли.
Спецагент, криптокошельки и признание после угрызений совести
Бывший сотрудник ФБР Патрик Стивен Ярох, по версии следствия, с февраля 2025 года по июль 2026-го использовал служебный доступ к внутренним базам. Он запоминал сид-фразы криптовалютных кошельков и переводил средства на подконтрольный счет. Общий ущерб оценивается примерно в миллион долларов.
В июле 2026 года Ярох самостоятельно обратился в Министерство юстиции. Он объяснил свой поступок разочарованием в работе и признался, что преступление "съедало его изнутри". Однако до признания мужчина успел обсуждать с ChatGPT возможную эмиграцию, изучать способы вывоза денег за границу и приобрести билеты в Португалию.
История напоминает, что инсайдерская угроза может исходить даже от человека, который профессионально занимается расследованием преступлений. Особую опасность представляет доступ к секретам, которые невозможно восстановить после утечки: сид-фраза фактически дает полный контроль над криптокошельком.
ИИ-агент отменил чужую тренировку
Австралийский разработчик Эндрю Берд решил протестировать программное обеспечение для ИИ-агентов и поручил нейросети записать его на тренировку в спортзале. Система бронирования открывала запись только в определенный момент, однако помощник сумел обойти ограничение и забронировал занятие на несколько недель вперед.
Когда Берд попросил найти возможность попасть в зал в ближайшие дни, ИИ выбрал радикальный способ: он обнаружил функцию отмены брони и безвозвратно снял запись другого клиента. Система спортзала не распознала несанкционированное действие и не потребовала дополнительного подтверждения.
Разработчик рассказал об инциденте в корпоративном блоге, после чего историю заметили СМИ. Компания, создавшая платформу бронирования, ситуацию публично не прокомментировала.
С технической точки зрения это важный пример проблемы избыточных полномочий. ИИ-агент действовал не как обычный чат-бот, а как пользователь с возможностью выполнять операции в системе. Если для отмены записи не нужны подтверждение, проверка прав или журналирование, злоупотребить функцией сможет не только нейросеть, но и обычный злоумышленник.
Подрядчик превратил увольнение в шантаж
В декабре 2023 года подрядчик Кэмерон Карри узнал, что ИТ-компания Brightly Software не собирается продлевать его контракт. До завершения сотрудничества он скопировал персональные данные сотрудников и внутреннюю финансовую отчетность.
На следующий день компания начала получать анонимные письма. Карри требовал 2,5 млн долларов и угрожал опубликовать украденные материалы, а также сообщить об утечке властям. Кроме того, он увеличивал сумму выкупа на 100 000 долларов каждый месяц.
Шантаж продолжался около двух месяцев. В итоге Brightly перевела 7540 долларов в биткоинах и обратилась в правоохранительные органы. Злоумышленника быстро установили: он отправлял сообщения с конкретного Outlook-адреса, а аккаунт на криптобирже связал с банковскими реквизитами родственников.
В августе 2026 года Карри получил два года тюрьмы за вымогательство. Для компании этот эпизод стал напоминанием о необходимости контролировать действия подрядчиков не слабее, чем действия штатных сотрудников.
Утечка данных клиентов энергетической компании
Еще один инцидент связан с подрядчиком Origin Energy. Он похитил персональную информацию примерно 900 000 клиентов и использовал ее как инструмент давления на компанию. Подобные атаки особенно опасны: украденные сведения можно применять не только для публикации, но и для адресного фишинга, подделки документов и последующих мошеннических звонков.
Защита от подобных ситуаций начинается задолго до конфликта. Организациям следует выдавать подрядчикам только минимально необходимый набор разрешений, ограничивать доступ по времени и регулярно проверять, какие файлы они скачивают. После завершения проекта учетные записи должны отключаться автоматически, а токены и пароли - немедленно отозваться.
Что объединяет эти истории
Во всех случаях слабым звеном оказались не исключительно технологии, а процессы управления. Руководитель получил возможность распоряжаться инвестиционными средствами без достаточного контроля. Бывший подрядчик сохранил доступ к ценным данным и смог вынести их перед увольнением. ИИ-агент получил право изменять чужие записи без подтверждения. Сотрудник с привилегированным доступом мог работать с секретными сведениями практически без эффективного надзора.
Компаниям стоит внедрять принцип минимальных привилегий: пользователь или программа должны иметь только те права, которые необходимы для конкретной задачи. Финансовые операции, удаление данных, отмена чужих действий и экспорт персональной информации должны требовать дополнительного подтверждения.
Не менее важны журналы аудита. Без фиксации действий невозможно быстро понять, кто скачал документ, изменил запись или перевел средства. Логи необходимо защищать от удаления и регулярно анализировать автоматически.
Наконец, безопасность не заканчивается установкой антивируса или использованием сложных паролей. Она включает проверку подрядчиков, разделение обязанностей, контроль финансов, обучение сотрудников и заранее подготовленный план реагирования. Чем раньше организация обнаружит подозрительную активность, тем меньше окажутся потери - финансовые, репутационные и юридические.