Cinder вымогает деньги у крупных компаний США под видом ответственного раскрытия уязвимостей

Шифрования здесь нет. Cinder не блокирует компьютеры и не требует денег за возврат доступа к файлам. Ставка сделана на кражу информации и угрозу её обнародовать. Жертва получает уведомление, связывается с группой через сторонний мессенджер, подтверждает наличие "проблемы" и обсуждает условия. Оплата означает, что данные уничтожат. Отказ приводит к публикации на тридцать дней, после чего копии переносят на внешнее зеркало, которое обещают поддерживать в актуальном состоянии. Никаких кошельков, переговорных порталов и контактов на сайте не опубликовано.

Инфраструктура группы, по наблюдениям CyberXTron, выглядит предельно скромно. Это один статичный ресурс без форм обратной связи, поиска, загрузки файлов и учётных записей. Доступность сайта нестабильна: замеры разных периодов дают от 30 до 96 процентов времени работы. Следов партнёрской программы, набора участников или аукциона по продаже данных не найдено.

Объявления появляются партиями. Двадцатого августа выложили сразу три компании с интервалом меньше минуты, двадцать шестого - ещё две, двадцать девятого - ещё две с разницей в полчаса, пятнадцатого сентября - одну. С тех пор группа молчит почти две недели.

Сроки она тоже соблюдает нестрого. У четырёх объявлений в конце августа стояли таймеры на семь-девять дней. К двадцать девятому сентября они всё ещё висели со статусом "скоро, ожидает публикации". Одна компания, инженерно-консалтинговая TRC Companies, исчезла с главной страницы ресурса. Возможно, стороны договорились, но подтверждений этому нет.

Жертвы - крупные и средние предприятия. Четыре из них работают в промышленности: производство упаковки, промышленной арматуры, автомобильных компонентов и окон. Ещё одна занимается дистрибуцией упаковки и печати, одна оказывает инженерные и экологические услуги, одна относится к финансовому сектору, ещё одна владеет торговыми центрами. Штат некоторых достигает восьми-тринадцати тысяч человек, а выручка измеряется миллиардами долларов. Объёмы похищенного делятся на две группы: около 150-900 гигабайт и от 1,9 до 4,2 терабайта.

Отдельного внимания заслуживает риторика. Группа называет взлом "находкой", плату - "вознаграждением за усилия", а себя описывает как организацию, которая помогает устранить ошибку. Такой язык копирует практику ответственного раскрытия уязвимостей. Он снижает сопротивление жертвы и придаёт обещаниям об удалении данных видимость надёжности. Две формулировки намекают на доступ к облачным и корпоративным учётным записям, а не только к файловым хранилищам.

Проникновение, вероятнее всего, идёт через чужие логины и пароли. Такие данные добывают вредоносные программы-похитители, собирающие учётные записи сотрудников. У двух компаний с известными доменами исследователи насчитали около тысячи и несколько скомпрометированных учётных данных, ещё у одной сохранились старые записи, датированные январём 2026 года. Это контекст, а не доказательство маршрута атаки. Разговоры о конкретных уязвимостях в пограничных устройствах опираются лишь на совпадение дат. Другие специалисты не нашли ни описания вектора проникновения, ни образцов вредоносного кода.

Единственный косвенный след ведёт к компании Acima. Её материнская структура Upbound Group в июле 2026 года сообщила в регуляторной отчётности, что злоумышленники получили неконфиденциальные данные клиентов и документы. На их основе оформили поддельные договоры лизинга. Убытки от мошеннических сделок во втором квартале оценили примерно в 13 миллионов долларов. Cinder разместила компанию в списке месяцем позже, но связь между событиями не подтверждена. Ни одна из восьми компаний публично не признала атаку, а часть объявлений на таких площадках нередко оказывается вымыслом.

Защита здесь строится не вокруг шифрования, а вокруг доступа. Стоит включить устойчивую к подделке многофакторную аутентификацию для всех внешних сервисов: виртуальных частных сетей (VPN), удалённого доступа, облачных и корпоративных платформ. Полезно ограничить согласие сторонних приложений, следить за утечками ключей и токенов доступа, замечать необычные выгрузки. Отдельная задача - ревизия доступа подрядчиков и сервисов удалённого управления: лишние инструменты лучше убрать. Обнаружить кражу помогает контроль массового копирования файлов и аномальных исходящих передач.

Заранее подготовленные процедуры для юридического и коммуникационного блока пригодятся, если информация окажется на теневом сайте. Срок в тридцать дней не оставляет времени на промедление. Выложенные образцы стоит проверить независимо, прежде чем реагировать на требования. Финансовым компаниям после кражи клиентских данных имеет смысл усилить проверку личности клиентов и контроль мошеннических операций.

Масштаб группы пока скромный: восемь жертв за сорок дней, необязательные таймеры, минимум инфраструктуры. Её реальные возможности и устойчивость не доказаны. Строить оборону вокруг признаков конкретно Cinder почти бессмысленно. Гораздо полезнее навести порядок в учётных записях и взять под контроль выгрузку данных.