Операция "Мастер": украденные данные стали основой для массового мошенничества

Первоначальный доступ к сетям жертв обеспечивался через уязвимость в VPN-шлюзах Palo Alto Networks GlobalProtect, отслеживаемую как CVE-2026-0257. Злоумышленник использовал ее для подключения к семи шлюзам в четырех странах. Параллельно он проводил автоматизированное сканирование интернета, проанализировав более 277 миллионов адресов, чтобы отобрать 81 организацию для дальнейших атак. Специальная программа отбирала только уязвимые устройства, после чего запускала атаки одновременно на множество целей. После получения доступа он похищал учетные данные, включая данные службы каталогов, и устанавливал вредоносное ПО для удаленного управления.

Похищенные данные злоумышленник сначала продавал на подпольных форумах. По данным SOCRadar Threat Research Unit, он предлагал базы клиентов энергетических компаний, включая iGreen Energy и Wattio Energy, под псевдонимом masterblack. Продажа началась за 14 и 9 недель до запуска мошеннической платформы, что подтверждает двухэтапную стратегию монетизации. Однако настоящая опасность заключалась в том, что эти же данные впоследствии были использованы для создания автоматизированной платформы мошенничества. Она генерировала персонализированные счета за электроэнергию, которые выглядели абсолютно достоверно.

Платформа работала как многопользовательская облачная система. Каждый арендатор мог настроить собственный домен-двойник, брендинг и шаблоны писем. Для доставки сообщений злоумышленник использовал скомпрометированные почтовые ящики Microsoft 365 в сфере розничной торговли, здравоохранения и образования, чтобы письма выглядели как легитимные. SMS-рассылки шли через восемь различных шлюзов, что снижало риск блокировки. WhatsApp-шаблоны содержали ссылки на поддельные PDF-счета, хранящиеся в облачном хранилище. Всего было отправлено более 2,4 миллиона электронных писем и SMS, а также сгенерировано 622 666 персонализированных ссылок. Общая сумма выставленных фейковых счетов достигла 150,4 миллиона бразильских реалов, из которых клики пришлись на счета на 38,9 миллиона реалов. Оплата собиралась через бразильскую систему мгновенных платежей PIX, что затрудняет возврат средств.

Кампания была раскрыта в середине сентября 2026 года из-за ошибок в операционной безопасности. Исследователи обнаружили открытые серверы, на которых хранились исходный код панели, база данных с 622 666 ссылками и инструменты для атак. Кроме того, на серверах находились записи о более чем 600 тысячах жертв и данные о платежных операциях. Ключевым элементом стал один и тот же адрес электронной почты, который использовался в пяти различных контекстах: от тестирования мошеннической платформы до регистрации в сервисах киберразведки. Утечка базы данных одного из хакерских форумов позволила связать этот адрес с псевдонимом masterblack.

Отдельного внимания заслуживает использование искусственного интеллекта. Злоумышленник применял ИИ-агента с более чем 36 специализированными подагентами для разработки кода атак, автоматизации эксплойтов и скриптов для кражи данных. Агент имел более 48 автоматически одобренных инструментов и около 45 файлов постоянной памяти. При этом сам оператор писал код мошеннической панели. В сохранившихся запросах к ИИ он выдавал себя за участника программы поиска уязвимостей, однако запрашивал функциональность, которая позже была обнаружена в реальных атаках. Это первый известный случай, когда ИИ выступил полноценным соразработчиком киберпреступной операции.

География жертв обширна. Больше всего пострадавших в Бразилии - 16 организаций, включая энергетические компании, финансовые учреждения и медицинские сервисы. Единичные случаи зафиксированы в США, Сальвадоре, Гватемале, Коста-Рике. Всего было скомпрометировано 21 организация, а данные похищены у более чем 600 компаний, преимущественно из энергетического сектора, металлургии и нефтегазовой отрасли. Среди пострадавших - 420 компаний энергетического сектора, 45 металлургических, 20 нефтегазовых и химических, а также 123 компании из розничной торговли и других отраслей. Среди украденных данных - персональная информация клиентов, банковские реквизиты, ключи PIX и учетные записи сотрудников.

Для защиты от подобных угроз эксперты рекомендуют установить исправления для VPN-шлюзов и проверить их настройки, даже если оборудование считается обновленным. Следует отключить выполнение команд через базу данных для учетных записей, доступных из интернета, и отслеживать подозрительную активность служб. Важно контролировать выдачу разрешений сторонним приложениям и реагировать на необычные запросы DNS. Также рекомендуется включить многофакторную аутентификацию для всех критических сервисов и ограничить доступ к базам данных из внешних сетей. Потребителям стоит с осторожностью относиться к неожиданным счетам с требованием мгновенной оплаты, особенно если они приходят по электронной почте или в мессенджерах. Бразильская система PIX не позволяет отменить перевод, поэтому мошенники активно используют ее для вывода средств.

Операция "Мастер" показала, как периметровые уязвимости, ранее использовавшиеся для шпионажа и программ-вымогателей, теперь становятся основой для массового финансового мошенничества. Автоматизация и использование ИИ снижают порог входа для преступников, позволяя одному человеку управлять масштабной мошеннической системой. Подобные схемы будут появляться чаще, если компании не уделят должное внимание безопасности своих внешних сервисов. Единственный способ противостоять этой тенденции - своевременное обновление систем, строгий контроль доступа и повышение осведомленности пользователей.