ГДБОП арестува 20-годишния си учител по киберсигурност за пробива в НАП

20-годишният "бял хакер" Кристиян Бойков от Пловдив е арестуван като основен заподозрян за кражбата на защитени данни на близо пет милиона души от системата на Националната агенция по приходите (НАП). Премиерът Бойко Борисов описа младежа като "уникален мозък", "над световно ниво", но разследващите съобщават, че "хакерът" е бил хванат, защото е оставил следи в системата на приходната агенция.

Най-интересният щрих е, че Бoйков е обучавал на киберсигурност служителите на ГДБОП, а сега точно ГДБОП е на първа линия в разкритията за проникването в НАП, довело до най-мащабното изтичане на информация от българска институция. През последните два дни се тиражираха версии за хакерска атака от чужбина и "руска следа", които вече изглеждат дискредитирани.

Пред Mediapool източници от разследването обясняват, че следите, оставени от Бойков в системата на НАП, са открити и в устройствата в дома му. Адвокатите твърдят, че срещу момчето няма никакви доказателства.

Прокуратурата обвини Кристиян Бойков за неправомерен достъп до компютърна система, която е част от критичната инфраструктура на държавата. Ако обвинението бъде доказано пред съда, "хакерът" може да получи до 8 години затвор. Разследващите все още не разполагат с цялата картина по случая, включително нямат информация колко време е продължило незаконното източване на данни от НАП и дали заподозреният е действал сам.

За втори път в новините

В сряда излязоха множество любопитни подробности около Кристиян Бойков. Преди две години той е успял да проникне "с няколко клика" в базата данни на Министерството на образованието и науката (МОН). Той първо е сигнализирал министерството, но никой не му е отговорил. После се е свързал с "Господари на ефира". Едва тогава държавата му е обърнала внимание.

След репортажа Кристиян Бойков получава оферта от глобалната компания за киберсигурност "ТАД груп", която има офис в София. Към момента на ареста Бойков е служител във фирмата. Той работи като "бял" или "етичен" хакер. Неговата задача е да проверява уязвимостта на информационните системи на държавни служби и частни компании.

Сега Кристиян Бойков за втори път попада в новините. Адвокатите му казват, че той е водел курсовете по киберсигурност на служителите на ГДБОП. Арестът на заподозряния е извършен именно от ГДБОП.

Разследването е стартирало след спешни мероприятия на отдел "Киберпрестъпност" в ГДБОП, подпомогнати от експерти на държавната фирма "Информационно обслужване". Така е установено, че данните на гражданите, които бяха разпратени до медиите пред два дни, са събрани чрез информационната система VAT REFUND, използвана от НАП. Тази система се ползва за подаване на заявки за връщане на ДДС от чужбина.

"ТАД груп": Кристиян е етичен хакер

"Кристиян е наш служител от 2017 г. на позиция "Експерт Киберсигурност“. Като част от компанията, Кристиян винаги се е отнасял с етичност, професионалност и лоялност, както към работните си ангажименти, в това число и към нашите клиенти, така и към целия екип", се казва в съобщението на компанията. "ТАД груп" допълва, че всички служители минават през обучение по етично хакерство.

"Кристиян е човекът, който открива следи, но не оставя следи", коментираха адвокатите на Бойков. Версията на защитата е, че "белият хакер" може да е натопен със сигнал до ГДБОП от конкурентна фирма.

Бял хакер, черен хакер

Шефът на отдел "Киберсигурност" в ГДБОП Явор Колев обясни в сряда, че направените експертизи са показали, че има вероятност арестуваният да е съпричастен към пробива в системата на НАП. 20-годишният младеж няма криминално досие.

Разследващите са стигнали до него по един от файловете, изпратени до медиите. В него е имало данни, идентифициращи  конкретна компютърна конфигурация, уникално потребителско име, дата, час и софтуерно приложение.

В резултат на оперативно-издирвателни и компютърно-разузнавателни действия е установено, че потребителското име се ползва от младежа. Той е задържан на работното си място в София, но доказателства разследващите са открили и на адресите му тук и в  Пловдив.

Иззети са компютърни конфигурации, харддискове, флаш памет и 2  мобилни телефона. Назначени са технически и компютърни експертизи и се разпитват свидетели, предаде БНР.

48 часа след като с имейли до определени медии Бойков съобщи, че разполага с личните данни на близо 5 млн. български и чужди граждани, именно по имейл разследващите стигат до него – по уникалното му потребителско име.

Обвинението му е по текст от Наказателния кодекс, свързан с неправомерно придобиване и разпространяване на компютърни данни, тъй като става дума за атака срещу информационната система, която е част от критичната инфраструктура.

До момента адвокатите на заподозрения - Любен Казанджиев и Георги Стефанов казват, че не са получили доказателства срещу него.

Кристиян Бойков има необходимите умения да прикрива следите си в Интернет и ако е извършил хакерска атака, службите няма как да го засекат, твърдят те.

Явор Колев уточни, че Бойков е задържан във вторник следобед.

"Бяха иззети множество компютърни устройства, чийто експертиза продължава в момента. Тя е съвсем първоначална, тъй като всичко е криптирано, но се съдържат данни, сочещи неговата съпричастност към извършването на това деяние", коментира Колев пред БНР.

"На този етап не можем да говорим с абсолютна точност (за евентуални съучастници - б.р.), тъй като разследването е в съвсем начална фаза и предстои много работа, така че ще се изясни цялостната картина", допълни той.

Явор Колев уточни, че фирмата, в която работи заподозреният, няма никакво отношение към предполагаемото престъпление. Той извършвал тестове на компютърни системи и мрежи за уязвимост: "Но при него има едно размиване между т.нар. бяло и черно хакерство".

"Работи се по всички версии, нищо не е отпаднало", каза още началникът на отдел "Киберпрестъпност".

Нищо не е сигурно

Засега няма достоверно потвърждение за обхвата на откраднатите от финансовото министерство данни. По данни на финансовото министерство са източени близо 3% от информационния масив на агенцията, но в тези 3% са личните данни на почти всички работещи българи. Самата атака е била извършена преди повече от месец, но тогава никой не е разбрал за пробива.

В понеделник до медиите беше изпратен имейл руски сървър, в който анонимни хакери съобщават, че са откраднали поверителна данъчна и осигурителна информация на около пет милиона граждани. След това бе изпратен втори мейл, в който анонимен подател твърди, че той е хакерът и че е руски гражданин женен за българка, което засега не се потвърждава.

Към момента не е напълно сигурно дали Кристиян Бойков е извършителят, нито пък и дали е имал съучастници. Не е ясно той ли е авторът на двете отделни писма до медиите – едното, с което бяха разпространени откраднатите данни от НАП с предупреждение "Правителството ви е бавноразвиващо се. Киберсигурността ви е пародийна", и второто – изпратено до Нова тв, в което хакерът се представя за руски гражданин.

Съществува и риск от изтичане на още данни, тъй като първоначалният мейл твърдеше, че разпратените близо 11 GB данни са едва около половината от източеното от НАП. Във второто послание от "руския" хакер имаше закана, че ако властите покрият истината, той ще пусне общия обем от 21 GB данни.

Филмът не е съветски, а български

Поръчителите на хакерската атака срещу НАП са българи, каза в сряда говорителят на агенцията Росен Бъчваров. Преди ден вътрешният министър Младен Маринов направи връзка между "руската" следа и покупката на американски изтребители F-16 за българската армия.

"Има доста основателни подозрения, че второто писмо (на хакера), в което се твърди, че авторът е руснак, не е от истинския извършител на атаката", казва говорителят на НАП. Той обясни, че разследването продължава и службите засега са потвърдили само факта за външния неоторизиран достъп до сървърите на НАП.

"Не изключваме опция вътрешен човек да е помогнал на хакера, но по всичко личи и всички доказателства до момента сочат външна намеса", каза Росен Бъчваров пред бТВ. В отговор на въпрос дали базата данни на НАП е добре защитена, той отговори, че това сега е първи приоритет на държавата.

"При създаването си през 2012 г. системата е създадена с отлична защита. През 2015 г. системата е модифицирана, за да се връчват определени документи, в резултат от което тя е станала уязвима, и това е пропуск на звеното, което се занимава с IT развойна дейност и с информационната сигурност", каза Росен Бъчваров. Той обясни, че в този момент не е възможно да се източват данни, защото пробивът е затворен, когато властите са разбрали са кражбата на данни.

Възможен шантаж

Оповестените данни от системата на НАП са данъчни декларации, в които са описани доходите на широка група български граждани, включително и на политици.

"Декларациите не са подредени по име или социален статус, информацията се връща назад повече от десет години, но все пак няма как да се проследят доходите на един човек за десет години назад, защото информацията е частична", каза Бъчваров. Той не изключва възможността информацията да се използва за шантажиране на хора.

"Всички последици от оповестяването на тази информация са възможни", призна говорителят на НАП. "Лошото е, че в данъчните декларации на физическите лица са видни ЕГН-та, данни за доходи и други лични данни, са достъпни в момента", допълни той.

В сряда НАП ще има среща с Комисията за лични данни, за да се види кой и как да понесе отговорността за изтичането на данни и как да се постъпи с хората, чиито данни са били оповестени.

Премиерът Бойко Борисов междувременно поиска младежи като задържания хакер да бъдат привлечени да работят за службите. В коментар по темата Борисов определи 20-годишния младеж като уникален.