ФБР и финская полиция взяли предполагаемого члена крупнейшей кибербанды прямо в аэропорту Хельсинки

19-летний Питер Стоукс с двойным гражданством - США и Эстонии - собирался вылететь из Хельсинки в Японию, когда его скрутили. Американское Министерство юстиции, ФБР и Национальное бюро расследований Финляндии действовали совместно. Задержанному предъявлены обвинения в сговоре, киберпреступлениях и мошенничестве. По данным следствия, он входит в состав Scattered Spider - одной из самых результативных хакерских группировок последних лет.

Кто такие Scattered Spider и зачем им понадобился ювелирный магазин

Scattered Spider известна под несколькими псевдонимами: Octo Tempest, UNC3944, Oktapus. Группировка специализируется на социальной инженерии - там, где другие взламывают код, эти просто звонят в IT-поддержку и представляются своими. Суммарно банда выбила более 100 миллионов долларов выкупа у своих жертв. Это не мелкие мошенники.

Ключевой эпизод в деле Стоукса - атака на американского дилера люксовых украшений в мае 2025 года. Схема оказалась классической для группировки: звонок в службу поддержки через Google Voice, легенда про «своего сотрудника», сброс учётных записей. В итоге злоумышленники получили доступ к трём аккаунтам, двум из которых были присвоены права администратора. Дальше - кража чувствительных данных и требование выкупа в 8 миллионов долларов криптовалютой.

Компания выкуп не заплатила. Доступ восстановила. Но сбой в инфраструктуре всё равно обошёлся примерно в 2 миллиона долларов убытков. Этого хватило, чтобы запустить уголовное преследование.

Как Windows помогла поймать хакера

Следователи вышли на Стоукса в том числе благодаря системе GDID - Global Device Identifier - технологии Microsoft, которая присваивает уникальный идентификатор каждой установке Windows и собирает телеметрию устройства. По сути, это цифровой отпечаток конкретной машины.

ФБР запросило у Microsoft соответствующие данные, и корпорация предоставила их по ордеру. В итоге следователи получили не просто зацепку, а готовый досье: веб-активность, IP-адреса, история запуска приложений, использование инструментов вроде Ngrok, статус Azure-аккаунта - всё с временны́ми метками. Оставалось лишь связать цифровой след с реальным человеком.

Примечательно, что это уже не первый случай, когда Microsoft напрямую участвует в уголовных расследованиях: ранее в 2025 году компания впервые передала ФБР ключи BitLocker по судебному ордеру. Граница между IT-корпорацией и инструментом следствия становится всё тоньше.

Большой вопрос, который висит в воздухе

Арест Стоукса - хорошая новость для компаний, которые годами страдают от атак Scattered Spider. Группировка остаётся активной, и это далеко не финал истории. Но у этого дела есть и другая сторона.

Телеметрия Windows оказалась настолько детальной, что фактически сформировала полный поведенческий профиль пользователя - без его ведома и задолго до начала следствия. Технически подкованная аудитория давно предупреждала об избыточности этих данных. Теперь очевидно: это не паранойя.

• Scattered Spider выбила более 100 млн долларов суммарных выкупов
• Атака на ювелирного дилера обошлась жертве в 2 млн долларов убытков
• Злоумышленники требовали 8 млн долларов криптовалютой
• Microsoft передала GDID-данные ФБР по судебному ордеру
• Стоукс задержан в аэропорту Хельсинки при попытке вылететь в Японию

Стоукс ожидает суда. Судьба остальных членов группировки пока открыта.