Китайские хакеры атаковали журналистов и активистов через подставные группы

Специалисты пришли к выводу, что обе группы - GLITTER CARP и SEQUIN CARP - действуют в интересах китайского правительства. Примечательно, что атаки велись не напрямую государственными структурами, а через частных подрядчиков, работающих в рамках так называемой системы военно-гражданской интеграции. Эта модель, по оценке экспертов, позволяет Пекину масштабировать репрессивные операции при относительно низких затратах и сохранять формальную отрицаемость.

Первая группировка, GLITTER CARP, с апреля 2025 года организовала широкую фишинговую кампанию. Злоумышленники рассылали письма с вредоносными ссылками, маскируя их под уведомления от известных людей или техкомпаний. Целью было похищение учётных данных для доступа к электронной почте. Жертвами стали десятки активистов уйгурских, тибетских, тайваньских и гонконгских организаций, а также журналисты, освещающие эти темы. Особенностью GLITTER CARP стало массовое использование одних и тех же доменов и IP-адресов для атак на разные группы, что указывает на индустриальный, поточный характер операций.

Вторая группа, SEQUIN CARP, с июня 2025 года сфокусировалась именно на журналистах. Атаки были направлены на участников расследования ICIJ "China Targets". Злоумышленники применяли более сложную социальную инженерию: они создавали убедительные вымышленные личности, вели переписку, кооптировали реальные истории - например, историю побега китайского судебного помощника Бинь Бая. Главной техникой SEQUIN CARP стала атака с использованием OAuth-токенов (протокола авторизации, позволяющего предоставлять доступ к учётной записи без пароля). Жертву убеждали перейти по ссылке и разрешить доступ стороннему приложению к её аккаунту Google, что давало хакерам полный контроль над почтой, календарём и контактами. Полученный таким образом токен оставался действительным даже после смены пароля, обходя многофакторную аутентификацию.

Как отмечают авторы расследования, обе группы допускали характерные операционные ошибки: несоответствие имён отправителей, использование упрощённой китайской письменности на инфраструктурных страницах, а также применение китайских сервисов для отправки push-уведомлений. Эти улики, наряду с совпадением целей с государственными приоритетами КНР, позволили с высокой степенью уверенности приписать атаки китайским властям.

Эксперты подчёркивают, что передача репрессивных функций на аутсорсинг частным компаниям создаёт "рынок" кибератак. Согласно документам, утёкшим из китайской фирмы I-Soon, стоимость сбора данных с министерства экономики Вьетнама составляла около 55 тысяч долларов, а доступ к сайту дорожной полиции - всего 15 тысяч. Такие цены делают масштабное наблюдение и преследование доступным для государства.

Последствия этой деятельности для диаспор и журналистов серьёзны. Постоянный поток фишинговых писем, поддельных уведомлений и попыток кражи данных вынуждает активистов и журналистов тратить значительные ресурсы на цифровую безопасность, а страх перед слежкой ведёт к самоцензуре и подрыву доверия в сообществах. Кроме того, аутсорсинг даёт Пекину возможность отрицать прямое участие в атаках, усложняя привлечение к ответственности.

Исследователи рекомендуют жертвам использовать устойчивые к фишингу методы многофакторной аутентификации, например аппаратные ключи, а также регулярно проверять список приложений, имеющих доступ к учётной записи, и отзывать подозрительные. Особую осторожность следует проявлять при переходе по ссылкам из писем, даже если они выглядят как легитимные запросы от известных сервисов. Представленный отчёт - лишь часть более широкой картины цифрового подавления, которое Китай применяет против своих оппонентов по всему миру.