Бывшая сотрудница Amazon взломала базу данных Capital One

[stihl]

Американская банковская холдинговая компания Capital One сообщила о масштабной утечке данных более 100 млн жителей США и 6 млн жителей Канады. Злоумышленницей оказалась 33-летняя жительница Сиэтла (штат Вашингтон) Пэйдж Томпсон (Paige Thompson), ранее работавшая в компании Amazon. Женщина имела доступ к публичному облаку Amazon Web Services (AWS), где размещалась база данных пострадавшей компании.

По словам представителя Capital One, компания действительно хранила данные в облаке AWS, однако злоумышленница получила к ним доступ не путем взлома или эксплуатации уязвимости в системах AWS. По словам прокуроров, доступ к банковским данным осуществлялся через неправильно настроенный межсетевой экран, используемый для защиты одного из приложений.

Утечка данных произошла между 12 марта и 17 июля нынешнего года. Скомпрометированной оказалась персональная информация пользователей, оформлявших кредитные карты в период с 2005 по начало 2019 года. Информация включала имена, адреса, почтовые индексы, номера телефонов, адреса электронной почты, сведения о дате рождения и доходах. Утечка затронула номера социального страхования 140 000 владельцев карт, а также порядка 80 000 номеров привязанных к картам банковских счетов. Компания оценила ущерб от взлома в $100–150 млн.

Сотрудники ФБР предъявили женщине обвинение в кибермошенничестве. Она останется под стражей до четверга, 1 августа 2019 года — на этот день назначено первое судебное слушание. Ей грозит наказание в виде лишения свободы сроком до пяти лет и штраф в размере $250 000.

Это одна из самых крупных утечек персональных данных за последние несколько лет. В 2017 году в результате кибератаки злоумышленники получили доступ к персональным данным более 140 млн клиентов компании Equifax.

press.capitalone.com/phoenix.zhtml?c=251626&p=irol-newsArticle&ID=2405043
justice.gov/usao-wdwa/pr/seattle-tech-worker-arrested-data-theft-involving-large-financial-services-company

 

[stihl]

История самой громкой хакерши возвращается в суд

Пейдж Томпсон, бывшая сотрудница Amazon, осуждённая за кражу персональных данных более 100 миллионов заявителей на кредитные карты Capital One, может вновь оказаться за решёткой. Апелляционный суд США признал приговор в виде отбытого срока и пятилетнего условного наказания недостаточно суровым и постановил провести новое слушание.

В 2022 году Томпсон была признана виновной в хищении конфиденциальной информации, установке ПО для майнинга криптовалюты на серверах банка в облаке AWS, а также в шести преступлениях, включая мошенничество и несанкционированный доступ к защищённым компьютерам. Для атаки она использовала написанный ею инструмент, сканирующий хранилища Amazon S3 с ошибочной конфигурацией, оставленные открытыми пользователями. Злоумышленница выкладывала фрагменты украденных данных на GitHub и делилась ими в открытом доступе.

Расследование началось после того, как специалист по безопасности Кэт Валентайн обнаружила утечку и уведомила Capital One. Банк понёс убытки в десятки миллионов долларов, включая штраф в $80 млн и выплаты клиентам на сумму $190 млн. Томпсон, по подсчётам следствия, причинила прямой ущерб на $40 млн.

Министерство юстиции с самого начала выразило недовольство мягкостью приговора, учитывая масштаб преступления — на тот момент это была вторая по величине кража данных в США. И теперь, возможно, добьётся более жёсткого наказания.

Два из трёх судей Апелляционного суда девятого округа заявили , что окружной суд ошибся, сосредоточив внимание на личных обстоятельствах Томпсон — её аутизме и трансгендерности — в ущерб другим принципам правосудия. Они указали, что «такие личные уязвимости не перевешивают обязательств суда обеспечить справедливое и устрашающее наказание, отражающее серьёзность преступления и защищающее общество».

Судьи также напомнили, что после ареста Томпсон продолжила использовать незаконно созданные аккаунты AWS для вывода $40,000 в криптовалюте и затем солгала об этом.

Третья судья, Дженнифер Сун, с решением большинства не согласилась. В своём особом мнении она указала, что окружной суд действовал в пределах разумного усмотрения и правомочно учёл личные обстоятельства подсудимой.

Теперь дело возвращается в окружной суд, который будет заново определять наказание. Максимальный срок за предъявленные статьи составляет до 20 лет заключения.

cdn.ca9.uscourts.gov/datastore/opinions/2025/03/17/22-30179.pdf