Как украинские хакеры заработали более $4 млн на фондовом рынке США
Их жертвой стал регулятор – Комиссия по ценным бумагам и биржам
Комиссия по ценным бумагам и биржам США (SEC) во вторник подала в суд на украинского хакера Александра Еременко, шесть трейдеров из Украины, России и Калифорнии и двух юридических лиц. Она обвиняет их в том, что они незаконно заработали минимум $4,1 млн на фондовом рынке, взломав ее систему раскрытия финансовых результатов компаний.
Кроме того, министерство юстиции США предъявило уголовные обвинения Еременко и другому украинцу Артему Радченко, который ему предположительно помогал.
О взломе своей системы Edgar, куда компании загружают документы с информацией о своих финансовых результатах, SEC сообщила в сентябре 2017 г., хотя хакеры проникли в нее еще в 2016 г. Это стало ударом по репутации SEC, поскольку она сама требует от публичных компаний раскрывать информацию о кибератаках как можно скорее.
Как утверждает SEC, 27-летние Еременко и Радченко в мае 2016 г. начали отправлять электронные письма с зараженными файлами сотрудникам SEC, выдавая себя за сотрудников безопасности регулятора. Это позволило хакерам проникнуть в компьютерную систему SEC и украсть информацию, необходимую для доступа к Edgar. Затем они начали загружать «тестовые» документы компаний, которые те подают, что проверить свой доступ к системе. Часто это пустые документы, но некоторые компании отправляют реальные финансовые результаты, которые собираются раскрыть, пишет The Wall Street Journal. Хакеры загружали такие тестовые документы на сервер в Литве, который оплачивали с помощью биткойнов. Их сообщникам оставалось только быстро – порой менее чем за час – открыть соответствующие позиции по акциям этих компаний. Всего они использовали 157 таких документов.
Трейдерами из Лос-Анджелеса были Сунцзинь Чо и Дэвид Квон. Также ответчиками являются украинцы Игорь Сабодаха, Виктория Ворочек, Иван Олефир, россиянин Андрей Сарафанов и фирмы Spirit Trade и Capyield Systems. Последняя принадлежит Олефиру.
SEC обнаружила взлом своей системы в октябре 2016 г. и устранила ее уязвимость. Но некоторые сотрудники регулятора, узнав о кибератаке, не сразу догадались, что к этому могут быть причастны недобросовестные трейдеры, пишет WSJ. «Публичные компании знают, что в случае кибератаки на них подадут в суд, а SEC начнет расследование, – сказал изданию Джозеф Грандфест, профессор права Стэнфордского университета. – Но когда хакеры взламывают SEC, никто из сотрудников ведомства не несет ответственности и во всем виноваты только хакеры».
Председатель SEC Джей Клейтон в письменном заявлении во вторник признал, что регулятор должен повышать свою киберзащиту.
SEC уже предъявляла Еременко обвинения по похожему делу в 2015 г., отмечает Financial Times. Он входит в число 43 ответчиков, которые незаконно заработали более $100 млн на фондовом рынке, украв еще не опубликованные пресс-релизы компаний у Business Wire, Marketwired и PR Newswire.