печерський районний суд міста києва
Примірник № ___
УХВАЛА
ІМЕНЕМ УКРАЇНИ
01 жовтня 2020 року слідчий суддя Печерського районного суду м. Києва ОСОБА_1 , за участю секретаря ОСОБА_2 , розглянувши у судовому засіданні в приміщенні суду в м. Києві клопотання старшого слідчого слідчого управління ГУ СБ України у м. Києві та Київській області ОСОБА_3 про тимчасовий доступ до речей та документів,
В С Т А Н О В И В :
11.09.2020 до провадження слідчого судді Печерського районного суду м. Києва ОСОБА_1 надійшло клопотання сторони кримінального провадження старшого слідчого слідчого управління ГУ СБ України у м. Києві та Київській області ОСОБА_3 , погоджене прокурором відділу прокуратури м. Києва ОСОБА_4 про надання тимчасового доступу до речей і документів, які містять охоронювану законом таємницю, що перебувають у володінні ПрАТ « ІНФОРМАЦІЯ_1 » (код ЄДРПОУ: НОМЕР_1 , адреса: АДРЕСА_1 ).

Обґрунтовуючи внесене клопотання, сторона кримінального провадження вказує, що Федеральна прокуратура по Південному округу штату Нью-Йорк та Федеральне бюро розслідувань ("ФБР") (далі по тексту разом - "органи юстиції США") проводять розслідування у кримінальній справі № CRM-182-73534, яка порушена главою 18 § 1028А, § 1029, § 1030, § 1343, § 2 Кодексу Законів США щодо великомасштабної діяльності по проникненню в комп`ютери торговельних точок, яка протиправно здійснюється принаймні з 2017.

З матеріалів клопотання вбачається, що з матеріалів запиту органів юстиції США встановлено, внаслідок зазначених несанкціонованих проникнень в комп`ютерні системи з касових терміналів компаній, що знаходяться на території США, Канади і Великобританії, були викрадені мільйони номерів кредитних і дебетових карт, що є порушенням кримінального законодавства США.

У ході цього розслідування працівники ФБР виявили різні елементи інфраструктури, включаючи віртуальні приватні сервери, що використовувалися особами, які є суб`єктами цього розслідування, при здійсненні своєї діяльності по незаконному проникненню в комп`ютерні системи. Двом з таких серверів виділені наступні адреси ІР: НОМЕР_2 та НОМЕР_3 . Нижче надається опис про те, як приблизно в липні 2019.

Органи юстиції США ведуть розслідування дій по незаконному проникненню в комп`ютерні системи, які почалися приблизно в липні 2017. Внаслідок таких дій з касових терміналів понад 100 універсальних крамниць мережевої компанії (далі - компанія), що знаходяться на території США і Канади, були викрадені номери мільйонів кредитних і дебетових карт.

При проведенні цього розслідування органи юстиції США отримали документацію та інформацію від зазначеної Компанії та провайдерів доступу до Інтернету (далі по тексту - "провайдери Інтернету"), якими користувалися особи, що є суб`єктами цього розслідування, під час здійснення несанкціонованого доступу до комп`ютерних систем, а також від групи по реагуванню на надзвичайні ситуації, яка була найнята Компанією для надання допомоги щодо розслідування цього інциденту та ліквідації його наслідків. На підставі спілкування з представниками групи реагування на надзвичайні ситуації, органи юстиції США дізналися про ідентифіковану зловмисну інфраструктуру та адреси ІР, що вірогідно були використані при здійсненні зазначеного незаконного проникнення в комп`ютерні системи, а також при здійсненні багатьох інших незаконних проникнень в комп`ютерні системи. Цю групу кіберзлочинців, яка несе відповідальність за зазначене незаконне проникнення в комп`ютерні системи, назвали "FIND 6".

У ході розслідування встановлено, що зазвичай група "FIND 6" отримує несанкціонований доступ до мереж потерпілих осіб завдяки фішинговим махінаціям, здійсненим за допомогою електронної пошти. Після того, як кіберзлочинці отримують початковий доступ, вони починають використовувати різні шкідливі програми та методи ведення злочинної діяльності за допомогою комп`ютерів, щоб зберігати отриманий доступ і викрадати та пересилати дані щодо кредитних карт клієнтів. Результати розслідування, проведеного органами юстиції США, а також інформація, отримана від закордонних партнерів по правоохоронній діяльності та із відкритих звітів компаній, що спеціалізуються на питаннях кібербезпеки, вказують на те, що група "FIND 6" несе відповідальність за мільйони доларів збитків, викликаних фактичними викраденнями та спробами здійснити викрадення, від яких постраждали потерпілі особи, що знаходяться на території США, Канади, Великобританії та кількох інших країн.

Викрадені групою FIN6 дані щодо платіжних карт головним чином використовуються шляхом продажу їх на торгівельному майданчику Joker's Stash в Інтернеті. Починаючи з 2014, торгівельний майданчик Joker's Stash став відомим кардінговим форумом. Спочатку доступ до нього здійснювався через систему маршрутизації Тог. Зараз цей ресурс доступний через систему доменних імен блокчейна ("DNS") за адресою: ІНФОРМАЦІЯ_2 . На цьому ресурсі особи можуть купувати та продавати викрадену інформацію щодо кредитних карт, включаючи великі обсяги викрадених даних, таких як, наприклад, у випадку незаконного проникнення до комп`ютерної системи зазначеної Компанії. За викрадену інформацію щодо кредитних карт на ресурсі ОСОБА_5 клієнти платять за допомогою віртуальної валюти біткойн.

Органи юстиції США дізналися від групи по реагуванню на надзвичайні ситуації, яка працювала на зазначену Компанію, що, на їхню думку, для здійснення незаконного проникнення в комп`ютерну систему Компанії використовувалися комп`ютерні сервери, які мали певні зловмисні адреси ІР ("первинні адреси ІР злочинців"). Пошуки, які було проведено по системі WHOIS, вказали на те, що первинними адресами IP злочинців були сервери, що знаходилися в ОСОБА_6 . Володіла ними компанія Eurohoster, що знаходиться в Болгарії.

Компанія Eurohoster надала інформацію, з якої органи юстиції США дізналися про те, що первинними адресами IP злочинців були сервери, пов`язані з обліковим записом № НОМЕР_4 в компанії Eurohoster (далі по тексту - "обліковий запис № НОМЕР_4 "). Компанія Eurohoster повідомила органам юстиції США про додаткові сервери, пов`язані з обліковим записом № НОМЕР_4 , а також про споріднений обліковий запис - обліковий запис № НОМЕР_5 в компанії Eurohoster (далі по тексту - "обліковий запис № НОМЕР_5 "). Органи юстиції США отримали заархівовані дані з цих серверів і дослідили їх. Аналіз показав, що на цих серверах знаходилися зловмисні файли Windows Powershell Script, які мабуть були використані при здійсненні незаконного проникнення в комп`ютерну систему зазначеної Компанії, а також при проникненні в комп`ютерні системи багатьох інших потерпілих.

Дані, які були надані компанією Eurohoster, вказують на те, що вхід до облікового запису № НОМЕР_4 в системі компанії EuroHoster 27 листопада 2018 о 01:06:54 (час UTC НОМЕР_6 , Болгарія) здійснювався з адреси IP НОМЕР_7 . В зазначений час ця адреса ІP була виділена для компанії АДРЕСА_2 .

На підставі інформації та даних, наданою компанією Eurohoster, органи юстиції США дізналися про те, що облікові записи № НОМЕР_5 та № НОМЕР_4 в компанії Eurohoster були прямо і опосередковано пов`язані з кластером інших облікових записів в компанії Eurohoster (зв`язок був виявлений за допомогою файлів "кукі"), включаючи обліковий запис № НОМЕР_8 . Обліковий запис № 1779 замовив приватний сервер (адреса IP - НОМЕР_2 ). Органи юстиції США в минулому подавали запит до компанії Eurohoster на збереження даних з серверу, якому була виділена ця адреса IP. Проте збереження даних не відбулося.

В подальшому, представники ФБР зв`язалися з ОСОБА_7 щодо цього розслідування, яке проводять органи США. В листі від 26 квітня 2018 p. (ЗОМК-46) (який додано до цього документу як додаток "А") СБУ повідомила працівникам ФБР, що користувач, який використовує псевдонім " ОСОБА_8 ", справжнє ім`я якого невідоме, є адміністратором торгівельного майданчику ІНФОРМАЦІЯ_2 в Інтернеті, серед всього іншого. На цьому торгівельному майданчику продаються номери кредитних карт, що були викрадені внаслідок незаконних проникнень в комп`ютерні системи. Представники СБУ повідомили органам юстиції США, що в березні 2018 р. особа " ОСОБА_8 " мала відношення до адреси IP НОМЕР_2 . СБУ надала нижчезазначену інформацію, яка стосується користувача з псевдонімом " ОСОБА_8 ":

Адрес електронної пошти: ІНФОРМАЦІЯ_3 ;

Jabber: ІНФОРМАЦІЯ_4 ;

Електронний ідентифікатор біткойн: lLCAJF94Yxin9eWNxl9b5BZnrnBSVstVlg;

Адреси IP, які використовувалися в березні 2018 p.:

185.162.10.129 - мережева назва: Telepoint BG (Болгарія);

НОМЕР_9 - мережева назва: Greenhouse NL (Голландія).

У листі від 19 липня 2019 (30МК-135) (який додано до цього документу як додаток " ОСОБА_9 ), ОСОБА_7 надала додаткову інформацію ФБР щодо користувача, який використовує псевдонім " ОСОБА_8 ", включаючи інформацію про те, що з кінця жовтня і до початку грудня 2018 цей користувач використовував адресу IP НОМЕР_3 для отримання доступу до платформи кіберзлочинців в Інтернеті. Представники СБУ надали нижчезазначену інформацію про цього користувача (серед всього іншого):

Електронна пошта: ІНФОРМАЦІЯ_3 ;

Jabber: ІНФОРМАЦІЯ_5 ;

Jabber: ІНФОРМАЦІЯ_6 ;

Домен: ІНФОРМАЦІЯ_2 на DNS блокчейн

Адреси IP, які використовувала особа "JokerStash" для отримання доступу до платформ кіберзлочинців в Інтернеті:

ІНФОРМАЦІЯ_7 | 185.86.76Л 3 9|2018-10-24 15:30:45;

JokerStash| 185.86.76.139|2018-1 1-21 06:32:34;

ІНФОРМАЦІЯ_7 | 185.86.76.139|2018-11-23 18:41:11;

JokerStash|185.86.76.139|2018-12-07 11:57:39;

ІНФОРМАЦІЯ_7 | 176.126.84.48|2019-02-22 16:59:59;

JokerStashj 176.126.84.48|2019-04-23 20:28:08;

ІНФОРМАЦІЯ_7 | 185.163.45.42|2019-04-24 21:27:45;

JokerStashj 185.163.45.42|2019-04-24 21:41:36;

JokerStashj 176.126.84.48|2019-04-28 14:29:13;

Разом з листом від 19 липня 2019 представники СБУ надали логічні образи з серверів, яким були виділені адреси IP НОМЕР_2 (квітень НОМЕР_10 ) та НОМЕР_3 (лютий НОМЕР_11 ). Представники СБУ повідомили працівникам ФБР, що ці сервери використовував користувач з псевдонімом " ОСОБА_8 ", і вони надали опис вмісту файлів реєстраційного журналу адміністратора сервера ( ІНФОРМАЦІЯ_8 ). У цьому запиті органи юстиції США просять надати аутентифіковані логічні образи з цих серверів та будь-які пов`язані з ними файли реєстраційних журналів та іншу інформацію, щоб ці матеріали можна було використати при кримінальному провадженні в суді.

У листі від 26 квітня 2018 (30МК-46) (додаток ОСОБА_10 ) працівники СБУ також надали органам юстиції США повідомлення про те, що інша невідома особа, яка використовує псевдонім " ОСОБА_11 ", є адміністратором іншого торгівельного майданчику в інтернеті ( ІНФОРМАЦІЯ_9 ), який продає інформацію кредитних карт, що була викрадена внаслідок незаконних проникнень у комп`ютерні системи так само, як і подібний ресурс особи " ОСОБА_5 ". У цьому листі представники ОСОБА_7 надали певну інформацію щодо особи " ОСОБА_11 ", включаючи відповідні адреси електронної пошти, обліковий запис в системі ОСОБА_12 та адреси IP.

13 листопада 2019 групи слідчих з ФБР та СБУ зустрілися в м. Київ, Україна, щоб обговорити різні питання, включаючи розслідування справи щодо особи " ОСОБА_5 ", яке проводить ФБР. Згідно даних ОСОБА_7 , користувач " ОСОБА_11 " був причетний до дій, пов`язаних з особою " ОСОБА_5 ", а особи " ОСОБА_11 " та " ОСОБА_8 " регулярно спілкувалися через Інтернет, використовуючи службу ОСОБА_12 та повідомлення на кардинговому форумі. Представники СБУ повідомили, що групи Rescator і ОСОБА_8 надавали одна одній безкоштовні послуги, обмінюючись або надаючи масиви викрадених даних кредитних карт ("скачані дані") та іншу викрадену інформацію, щоб розширювати свої відповідні торгівельні майданчики в їнтернеті. Наприклад, якщо особа " ОСОБА_8 " мала набір "скачаних даних" і потребувала покращити його шляхом додавання більш широкого діапазону фінансових установ, в такому разі особа " ОСОБА_8 " купувала або обмінювалася "скачаними даними" з особою " ОСОБА_11 ". Таким чином діяли кілька подібних торгівельних майданчиків в їнтернеті, включаючи наступні: ІНФОРМАЦІЯ_10 та ІНФОРМАЦІЯ_11 .

Працівники СБУ вважають, що громадянин України ОСОБА_13 це той інженер, який надав технічну допомогу при розробці кардингового торгівельного майданчика Rescator. На підставі спілкування між представниками ФБР і СБУ, яке відбулося 13 листопада 2019 р. та 21 лютого 2020 p., була досягнута усна угода про спільний підхід до ОСОБА_14 , щоб сприяти розслідуванню, яке проводить ФБР щодо особи ОСОБА_5 .

18 липня 2015 та 11 серпня 2015 на адресу системи біткойн (lHUK2uZXwUlr3bQvqeZz9uGiFDkgPAYeTC), яка має відношення до громадянина України ОСОБА_15 (псевдоніми: " ОСОБА_16 " і "Dayverok"), дата народження - 1 грудня 1988 року, надійшла сума, що приблизно складала 34,848 біткойн. Вона надійшла з адреси біткойн lLCAJF94Yxin9eWNxl9b5BZnmBSVstVlg, яка має відношення до фігурантів групи ОСОБА_5 .

Під час зустрічі в Києві, Україна, яка відбулася 13 листопада 2019, представники СБУ повідомили працівникам ФБР про те, що ОСОБА_17 управляв роботою служби отримання готівки за біткойни, обмінюючи біткойни на інші форми грошей, включаючи готівку. Працівники СБУ повідомили, що послуги ОСОБА_17 головним чином рекламувалися на кардингових форумах в Інтернеті. У листі від 28 лютого 2019 p. (30МК-44) (який додано до цього документу як додаток "В"), представники ОСОБА_7 надали інформацію про облікові записи на форумах, що спеціалізуються на зломі комп`ютерів, які мають відношення до ОСОБА_17 . Органи юстиції США бажають провести допит ОСОБА_17 , щоб визначити його можливі зв`язки з ОСОБА_5 .

У своєму запиті про надання міжнародної правової допомоги органи юстиції США, просять надати матеріали щодо адреси IP НОМЕР_7 , станом на 27 листопада 2018, о 01:06:54 (час UTC +2, Болгарія), від компанії ІНФОРМАЦІЯ_12 , АДРЕСА_2 . Такі дані повинні включати всю інформацію, яка ототожнює клієнта компанії Golden Telecom, що мав відношення до зазначеної адреси IP, станом на 27 листопада 2018 p., о 01:06:54 (час UTC +2, Болгарія).

Слідчий або прокурор в судове засідання не з`явились, слідчий направив заяву про розгляд клопотання без його участі та задоволення клопотання.

Відповідно до ч. 6 ст. 163 КПК України слідчий суддя постановляє ухвалу про надання тимчасового доступу до речей і документів, які містять охоронювану законом таємницю, якщо сторона кримінального провадження доведе можливість використання як доказів відомостей, що містяться в цих речах і документах, та неможливість іншими способами довести обставини, які передбачається довести за допомогою цих речей і документів.
Слідчий суддя дійшов висновку, що речі та документи, які знаходяться у володінні ПрАТ « ІНФОРМАЦІЯ_1 » та до яких слідчий просить надати тимчасовий доступ, з урахуванням наведених обґрунтувань та поданих документів мають суттєве значення для встановлення важливих обставин у кримінальному провадженні.
На підставі викладеного і керуючись ст. 160, 162, 163, 164, 166, ст. 309 КПК України слідчий суддя,
У Х В А Л И В :
Клопотання старшого слідчого слідчого управління ГУ СБ України у м. Києві та Київській області ОСОБА_3 про тимчасовий доступ до речей та документів задовольнити.

Надати слідчим 1 відділу слідчого управління Головного управління СБУ у м. Києві та Київській області, а саме слідчому в ОВС майору юстиції ОСОБА_18 , старшому слідчому лейтенанту ОСОБА_19 , старшому слідчому в ОВС капітану юстиції ОСОБА_20 , старшому слідчому в ОВС майору юстиції ОСОБА_21 , старшому слідчому лейтенанту юстиції ОСОБА_22 , слідчому в ОВС майору юстиції ОСОБА_23 , слідчому лейтенанту ОСОБА_24 , старшому слідчому старшому лейтенанту ОСОБА_25 тимчасовий доступ до речей і документів, інформації, яка знаходиться в оператора та провайдера телекомунікацій ПрАТ « ІНФОРМАЦІЯ_1 » (код ЄДРПОУ НОМЕР_1 , юридична адреса: АДРЕСА_3 ) щодо адреси IP НОМЕР_7 , станом на 27 листопада 2018, о 01:06:54 (час UTC +2, Болгарія), від компанії АДРЕСА_2 , із можливістю вилучення інформації в копіях, в тому числі записаної на оптичний носій, інформації щодо адреси IP НОМЕР_7 , станом на 27 листопада 2018, о 01:06:54 (час UTC +2, Болгарія), від компанії ІНФОРМАЦІЯ_12 , АДРЕСА_2 , а також зазначенням інформації, яка ототожнює клієнта компанії Golden Telecom, що мав відношення до зазначеної адреси IP НОМЕР_7 , станом на 27 листопада 2018 p., о 01:06:54 (час UTC +2, Болгарія).

Визначити строк дії ухвали протягом одного місяця, який обраховувати з дня постановлення ухвали слідчим суддею.
У разі невиконання ухвали про тимчасовий доступ до речей і документів слідчий суддя, суд за клопотанням сторони кримінального провадження, якій надано право на доступ до речей і документів на підставі ухвали, має право постановити ухвалу про дозвіл на проведення обшуку згідно з положеннями цього Кодексу з метою відшукання та вилучення зазначених речей і документів.

Ухвала оскарженню не підлягає.

Слідчий суддя ОСОБА_1

Ухвала виготовлена в двох примірниках.
Примірник 1 знаходиться в матеріалах судового провадження № 757/38982/20-к
Примірник 2 наданий слідчому ОСОБА_22

Слідчий суддя ОСОБА_1