Девятого сентября 2026 года в открытом доступе появился сайт под вывеской LAPSUS$ - CHAPTER II. На главной странице разместили заявление о возвращении группировки и обратный отсчёт до публикации данных первой жертвы. Таймер остановился 12 сентября в 22:00 по Гринвичу. Сразу после этого в списке целей появилась компания VirtaHealth, дистанционно помогающая пациентам с диабетом второго типа.
Описание
Через несколько часов на том же сайте запустили второй отсчёт - до 29 сентября, 00:50 по Гринвичу. Кого именно собираются атаковать, не сообщается. В заявлении сказано лишь, что речь идёт о международной компании с годовой выручкой свыше 50 миллиардов долларов. Ни её название, ни утверждение о наличии у злоумышленников её данных подтвердить пока нельзя.
Самое показательное в первой публикации - выбор жертвы. VirtaHealth уже пережила взлом: с 19 по 22 марта 2026 года посторонние получили доступ к хранилищу данных компании, а заметили это только 24 марта. Ответственность за ту атаку взяла на себя группировка LAPSUS$, по данным анализа. Проще говоря, "Chapter II" предъявила не свежий взлом, а набор, связанный с ранее пострадавшей организацией.
В марте под угрозу попали имена и фамилии, номера социального страхования, даты рождения, сведения о медицинской страховке, диагнозы, информация о назначенном лечении и даты обращения за услугами. Для медицинской организации это один из самых чувствительных наборов: по нему восстанавливается история болезни конкретного человека. Повторная публикация архива повышает риск мошенничества со страховыми счетами. Добавляется и репутационная нагрузка. Пациенты узнают о новой волне утечки из новостей, а не от самой компании. Инциденты в медицинской сфере почти всегда влекут проверки со стороны регуляторов и уведомление каждого пострадавшего, а это отдельные расходы и время.
Связь нынешних операторов с прежним составом LAPSUS$ не подтверждена. Использование узнаваемого имени и знакомой риторики о вымогательстве указывает на попытку опереться на прежнюю репутацию. Прежняя LAPSUS$ стала известна в 2022 году после серии громких атак на крупные технологические компании, тогда же задержали нескольких предполагаемых участников. Репутация в этой среде работает как инструмент. Заявление о возвращении собирает внимание прессы, а публикация данных реальной компании делает последующие угрозы правдоподобными. В тексте звучит и прямой вызов ФБР и федеральным властям США. Подлинность архива, дата его получения и совпадение с набором марта 2026 года остаются невыясненными.
Отдельно авторы заявления поблагодарили группу TeamPCP за "жертву" и "падение", назвав её прежнюю активность прикрытием для собственных действий. В августе 2026 года в Австралии предъявили обвинения двум предполагаемым участникам TeamPCP. Ранее под именем LAPSUS$ уже публиковали данные, связанные с компрометацией компании Checkmarx. Пересечение по контексту заметно. Общий состав, общая инфраструктура и совместный контроль над операциями не подтверждены.
Заявление сопровождалось цифровой подписью. Она подтверждает, что автор распоряжается соответствующим закрытым ключом. Личность подписанта и его принадлежность к исторической группировке из этого не следуют. Дата создания ключа и служебные пометки, которые автор добавил сам, не служат независимым доказательством. Подпись удостоверяет целостность текста, но не личность того, кто его оставил.
Сайт разместили в распределённой сети хранения, где страницы не удаляются по воле владельца и не привязаны к обычному хостингу. Подготовка шла заранее. Сначала в сети появился тестовый объект, затем готовая страница. После этого изменились настройки перенаправления, а срок хранения копии в кэше сократили. Адрес в сети и загрузку файлов обслуживали разные кошельки. Их действия совпадали по времени, однако общее владение не доказано. Сходство хостинга, сетевых адресов и сертификатов само по себе тоже ничего не подтверждает. Вредоносного кода на самом сайте не обнаружено: он служит витриной, а не средством заражения посетителей.
Анонс цели с выручкой в десятки миллиардов долларов рассчитан на медийный эффект. Заранее названная дата создаёт давление и на будущую жертву, и на её партнёров. Внимание прессы продлевает жизнь таким площадкам и усиливает давление на компании, которым адресован следующий анонс.
Сам архив, выложенный для скачивания, доказывает лишь одно: операторы заявили о публикации данных жертвы. Его подлинность, происхождение и полнота не проверены. Для рынка важнее другое - схема, при которой старые утечки переиспользуют для быстрого возвращения к публичной активности. Компаниям из чувствительных отраслей разумно исходить из того, что украденные данные могут всплыть повторно спустя месяцы, уже после устранения уязвимости и уведомления пострадавших. Практические шаги не новы: двухфакторная аутентификация для доступа к медицинским записям, ограничение прав сотрудников, проверка подлинности обращений в службу поддержки, заранее подготовленный план уведомления клиентов. Отдельного внимания требует наблюдение за упоминаниями бренда на площадках вымогателей. Реакция в первые часы обходится дешевле, чем разбирательство спустя недели.
Индикаторы компрометации
