печерський районний суд міста києва
Примірник № ___
УХВАЛА
ІМЕНЕМ УКРАЇНИ
11 вересня 2020 року слідчий суддя Печерського районного суду міста Києва ОСОБА_1 , при секретарі ОСОБА_2 , розглянувши у відкритому судовому засіданні в залі Печерського районного суду міста Києва клопотання старшого слідчого слідчого управління ГУ СБ України у м. Києві та Київській області ОСОБА_3 , про тимчасовий доступ до речей і документів,-

В С Т А Н О В И В:
11 вересня 2020 року до провадження слідчого судді Печерського районного суду міста Києва ОСОБА_1 , надійшло клопотання старшого слідчого слідчого управління ГУ СБ України у м. Києві та Київській області ОСОБА_3 , погоджене з прокурором, про тимчасовий доступ до речей і документів.
До початку розгляду клопотання, стороною кримінального провадження, якою подано вказане клопотання, до початку судового засідання подана заява про розгляд клопотання у його відсутність, також, слідчим у заяві зазначено, що клопотання підтримує в повному обсязі, із підстав, наведених у ньому та просить слідчого суддю задовольнити вказане клопотання.
У клопотанні, сторона кримінального провадження просить слідчого суддю розглядати клопотання без виклику особи, у володінні якої знаходяться речі і документи.
На підставі ч. 2 ст. 163 КПК України слідчий суддя визнав за можливе проводити розгляд клопотання без виклику особи, у володінні якої знаходяться речі і документи.
Згідно норми ч. 4 ст. 107 КПК України фіксація за допомогою технічних засобів під час розгляду клопотання слідчим суддею не здійснювалась.
Дослідивши матеріали клопотання, слідчий суддя приходить до наступного.
З наданих в обґрунтування клопотання матеріалів вбачається, Федеральна прокуратура по Південному округу штату Нью-Йорк та Федеральне бюро розслідувань ("ФБР") (далі по тексту разом - "органи юстиції США") проводять розслідування у кримінальній справі № CRM-182-73534, яка порушена главою 18 § 1028А, § 1029, § 1030, § 1343, § 2 Кодексу Законів США щодо великомасштабної діяльності по проникненню в комп`ютери торговельних точок, яка протиправно здійснюється принаймні з 2017.
З матеріалів запиту органів юстиції США встановлено, внаслідок зазначених несанкціонованих проникнень в комп`ютерні системи з касових терміналів компаній, що знаходяться на території США, Канади і Великобританії, були викрадені мільйони номерів кредитних і дебетових карт, що є порушенням кримінального законодавства США.
У ході цього розслідування працівники ФБР виявили різні елементи інфраструктури, включаючи віртуальні приватні сервери, що використовувалися особами, які є суб`єктами цього розслідування, при здійсненні своєї діяльності по незаконному проникненню в комп`ютерні системи. Двом з таких серверів виділені наступні адреси ІР: НОМЕР_1 та НОМЕР_2 . Нижче надається опис про те, як приблизно в липні 2019.
Органи юстиції США ведуть розслідування дій по незаконному проникненню в комп`ютерні системи, які почалися приблизно в липні 2017. Внаслідок таких дій з касових терміналів понад 100 універсальних крамниць мережевої компанії (далі - компанія), що знаходяться на території США і Канади, були викрадені номери мільйонів кредитних і дебетових карт.
При проведенні цього розслідування органи юстиції США отримали документацію та інформацію від зазначеної Компанії та провайдерів доступу до Інтернету (далі по тексту - "провайдери Інтернету"), якими користувалися особи, що є суб`єктами цього розслідування, під час здійснення несанкціонованого доступу до комп`ютерних систем, а також від групи по реагуванню на надзвичайні ситуації, яка була найнята Компанією для надання допомоги щодо розслідування цього інциденту та ліквідації його наслідків. На підставі спілкування з представниками групи реагування на надзвичайні ситуації, органи юстиції США дізналися про ідентифіковану зловмисну інфраструктуру та адреси ІР, що вірогідно були використані при здійсненні зазначеного незаконного проникнення в комп`ютерні системи, а також при здійсненні багатьох інших незаконних проникнень в комп`ютерні системи. Цю групу кіберзлочинців, яка несе відповідальність за зазначене незаконне проникнення в комп`ютерні системи, назвали "FIND 6".
У ході розслідування встановлено, що зазвичай група "FIND 6" отримує несанкціонований доступ до мереж потерпілих осіб завдяки фішинговим махінаціям, здійсненим за допомогою електронної пошти. Після того, як кіберзлочинці отримують початковий доступ, вони починають використовувати різні шкідливі програми та методи ведення злочинної діяльності за допомогою комп`ютерів, щоб зберігати отриманий доступ і викрадати та пересилати дані щодо кредитних карт клієнтів. Результати розслідування, проведеного органами юстиції США, а також інформація, отримана від закордонних партнерів по правоохоронній діяльності та із відкритих звітів компаній, що спеціалізуються на питаннях кібербезпеки, вказують на те, що група "FIND 6" несе відповідальність за мільйони доларів збитків, викликаних фактичними викраденнями та спробами здійснити викрадення, від яких постраждали потерпілі особи, що знаходяться на території США, Канади, Великобританії та кількох інших країн.
Викрадені групою FIN6 дані щодо платіжних карт головним чином використовуються шляхом продажу їх на торгівельному майданчику Joker's Stash в Інтернеті. Починаючи з 2014, торгівельний майданчик Joker's Stash став відомим кардінговим форумом. Спочатку доступ до нього здійснювався через систему маршрутизації Тог. Зараз цей ресурс доступний через систему доменних імен блокчейна ("DNS") за адресою: ОСОБА_4 . На цьому ресурсі особи можуть купувати та продавати викрадену інформацію щодо кредитних карт, включаючи великі обсяги викрадених даних, таких як, наприклад, у випадку незаконного проникнення до комп`ютерної системи зазначеної Компанії. За викрадену інформацію щодо кредитних карт на ресурсі ОСОБА_5 клієнти платять за допомогою віртуальної валюти біткойн.
Органи юстиції США дізналися від групи по реагуванню на надзвичайні ситуації, яка працювала на зазначену Компанію, що, на їхню думку, для здійснення незаконного проникнення в комп`ютерну систему Компанії використовувалися комп`ютерні сервери, які мали певні зловмисні адреси ІР ("первинні адреси ІР злочинців"). Пошуки, які було проведено по системі WHOIS, вказали на те, що первинними адресами IP злочинців були сервери, що знаходилися в ОСОБА_6 . Володіла ними компанія Eurohoster, що знаходиться в Болгарії.
Компанія Eurohoster надала інформацію, з якої органи юстиції США дізналися про те, що первинними адресами IP злочинців були сервери, пов`язані з обліковим записом № НОМЕР_3 в компанії Eurohoster (далі по тексту - "обліковий запис № НОМЕР_3 "). Компанія Eurohoster повідомила органам юстиції США про додаткові сервери, пов`язані з обліковим записом № НОМЕР_3 , а також про споріднений обліковий запис - обліковий запис № НОМЕР_4 в компанії Eurohoster (далі по тексту - "обліковий запис № НОМЕР_4 "). Органи юстиції США отримали заархівовані дані з цих серверів і дослідили їх. Аналіз показав, що на цих серверах знаходилися зловмисні файли Windows Powershell Script, які мабуть були використані при здійсненні незаконного проникнення в комп`ютерну систему зазначеної Компанії, а також при проникненні в комп`ютерні системи багатьох інших потерпілих.
Дані, які були надані компанією Eurohoster, вказують на те, що вхід до облікового запису № НОМЕР_3 в системі компанії EuroHoster 27 листопада 2018 о 01:06:54 (час UTC НОМЕР_5 , Болгарія) здійснювався з адреси IP НОМЕР_6 . В зазначений час ця адреса ІP була виділена для компанії АДРЕСА_1 .
На підставі інформації та даних, наданою компанією Eurohoster, органи юстиції США дізналися про те, що облікові записи № НОМЕР_4 та № НОМЕР_3 в компанії Eurohoster були прямо і опосередковано пов`язані з кластером інших облікових записів в компанії Eurohoster (зв`язок був виявлений за допомогою файлів "кукі"), включаючи обліковий запис № НОМЕР_7 . Обліковий запис № 1779 замовив приватний сервер (адреса IP -185.162.10.129). Органи юстиції США в минулому подавали запит до компанії Eurohoster на збереження даних з серверу, якому була виділена ця адреса IP. Проте збереження даних не відбулося.
В подальшому, представники ФБР зв`язалися з ОСОБА_7 щодо цього розслідування, яке проводять органи США. В листі від 26 квітня 2018 p. (ЗОМК-46) (який додано до цього документу як додаток "А") СБУ повідомила працівникам ФБР, що користувач, який використовує псевдонім " ОСОБА_8 ", справжнє ім`я якого невідоме, є адміністратором торгівельного майданчику ІНФОРМАЦІЯ_1 в Інтернеті, серед всього іншого. На цьому торгівельному майданчику продаються номери кредитних карт, що були викрадені внаслідок незаконних проникнень в комп`ютерні системи. Представники СБУ повідомили органам юстиції США, що в березні 2018 р. особа " ОСОБА_8 " мала відношення до адреси IP НОМЕР_1 . СБУ надала нижчезазначену інформацію, яка стосується користувача з псевдонімом " ОСОБА_8 ":
Адрес електронної пошти: ІНФОРМАЦІЯ_2 ;
Jabber: ІНФОРМАЦІЯ_3 ;
Електронний ідентифікатор біткойн: lLCAJF94Yxin9eWNxl9b5BZnrnBSVstVlg;
Адреси IP, які використовувалися в березні 2018 p.:
185.162.10.129 - мережева назва: Telepoint BG (Болгарія);
НОМЕР_8 - мережева назва: Greenhouse NL (Голландія).
У листі від 19 липня 2019 (30МК-135) (який додано до цього документу як додаток " ОСОБА_9 ), ОСОБА_7 надала додаткову інформацію ФБР щодо користувача, який використовує псевдонім " ОСОБА_8 ", включаючи інформацію про те, що з кінця жовтня і до початку грудня 2018 цей користувач використовував адресу IP НОМЕР_2 для отримання доступу до платформи кіберзлочинців в Інтернеті. Представники СБУ надали нижчезазначену інформацію про цього користувача (серед всього іншого):
Електронна пошта: ІНФОРМАЦІЯ_2 ;
Jabber: ІНФОРМАЦІЯ_4 ;
Jabber: ІНФОРМАЦІЯ_5 ;
Домен: ІНФОРМАЦІЯ_1 на DNS блокчейн
Адреси IP, які використовувала особа "JokerStash" для отримання доступу до платформ кіберзлочинців в Інтернеті:
ІНФОРМАЦІЯ_6 | 185.86.76Л 3 9|2018-10-24 15:30:45;
JokerStash| 185.86.76.139|2018-1 1-21 06:32:34;
ІНФОРМАЦІЯ_6 | 185.86.76.139|2018-11-23 18:41:11;
JokerStash|185.86.76.139|2018-12-07 11:57:39;
ІНФОРМАЦІЯ_6 | 176.126.84.48|2019-02-22 16:59:59;
JokerStashj 176.126.84.48|2019-04-23 20:28:08;
ІНФОРМАЦІЯ_6 | 185.163.45.42|2019-04-24 21:27:45;
JokerStashj 185.163.45.42|2019-04-24 21:41:36;
JokerStashj 176.126.84.48|2019-04-28 14:29:13;
Разом з листом від 19 липня 2019 представники СБУ надали логічні образи з серверів, яким були виділені адреси IP НОМЕР_1 (квітень НОМЕР_9 ) та НОМЕР_2 (лютий НОМЕР_10 ). Представники СБУ повідомили працівникам ФБР, що ці сервери використовував користувач з псевдонімом " ОСОБА_8 ", і вони надали опис вмісту файлів реєстраційного журналу адміністратора сервера ( ІНФОРМАЦІЯ_7 ). У цьому запиті органи юстиції США просять надати аутентифіковані логічні образи з цих серверів та будь-які пов`язані з ними файли реєстраційних журналів та іншу інформацію, щоб ці матеріали можна було використати при кримінальному провадженні в суді.
У листі від 26 квітня 2018 (30МК-46) (додаток ОСОБА_10 ) працівники СБУ також надали органам юстиції США повідомлення про те, що інша невідома особа, яка використовує псевдонім " ОСОБА_11 ", є адміністратором іншого торгівельного майданчику в інтернеті ( ІНФОРМАЦІЯ_8 який продає інформацію кредитних карт, що була викрадена внаслідок незаконних проникнень у комп`ютерні системи так само, як і подібний ресурс особи " ОСОБА_5 ". У цьому листі представники ОСОБА_7 надали певну інформацію щодо особи " ОСОБА_11 ", включаючи відповідні адреси електронної пошти, обліковий запис в системі ОСОБА_12 та адреси IP.
13 листопада 2019 групи слідчих з ФБР та СБУ зустрілися в м. Київ, Україна, щоб обговорити різні питання, включаючи розслідування справи щодо особи " ОСОБА_5 ", яке проводить ФБР. Згідно даних ОСОБА_7 , користувач " ОСОБА_11 " був причетний до дій, пов`язаних з особою " ОСОБА_5 ", а особи " ОСОБА_11 " та " ОСОБА_8 " регулярно спілкувалися через Інтернет, використовуючи службу ОСОБА_12 та повідомлення на кардинговому форумі. Представники СБУ повідомили, що групи Rescator і ОСОБА_8 надавали одна одній безкоштовні послуги, обмінюючись або надаючи масиви викрадених даних кредитних карт ("скачані дані") та іншу викрадену інформацію, щоб розширювати свої відповідні торгівельні майданчики в їнтернеті. Наприклад, якщо особа " ОСОБА_8 " мала набір "скачаних даних" і потребувала покращити його шляхом додавання більш широкого діапазону фінансових установ, в такому разі особа " ОСОБА_8 " купувала або обмінювалася "скачаними даними" з особою " ОСОБА_11 ". Таким чином діяли кілька подібних торгівельних майданчиків в їнтернеті, включаючи наступні: ІНФОРМАЦІЯ_9 та ІНФОРМАЦІЯ_10
Працівники СБУ вважають, що громадянин України ОСОБА_13 це той інженер, який надав технічну допомогу при розробці кардингового торгівельного майданчика Rescator. На підставі спілкування між представниками ФБР і СБУ, яке відбулося 13 листопада 2019 р. та 21 лютого 2020 p., була досягнута усна угода про спільний підхід до ОСОБА_14 , щоб сприяти розслідуванню, яке проводить ФБР щодо особи ОСОБА_5 . 18 липня 2015 та 11 серпня 2015 на адресу системи біткойн (lHUK2uZXwUlr3bQvqeZz9uGiFDkgPAYeTC), яка має відношення до громадянина України ОСОБА_15 (псевдоніми: " ОСОБА_16 " і "Dayverok"), дата народження - 1 грудня 1988 року, надійшла сума, що приблизно складала 34,848 біткойн. Вона надійшла з адреси біткойн lLCAJF94Yxin9eWNxl9b5BZnmBSVstVlg, яка має відношення до фігурантів групи ОСОБА_5 .
Під час зустрічі в Києві, Україна, яка відбулася 13 листопада 2019, представники СБУ повідомили працівникам ФБР про те, що ОСОБА_17 управляв роботою служби отримання готівки за біткойни, обмінюючи біткойни на інші форми грошей, включаючи готівку. Працівники СБУ повідомили, що послуги ОСОБА_17 головним чином рекламувалися на кардингових форумах в Інтернеті. У листі від 28 лютого 2019 p. (30МК-44) (який додано до цього документу як додаток "В"), представники ОСОБА_7 надали інформацію про облікові записи на форумах, що спеціалізуються на зломі комп`ютерів, які мають відношення до ОСОБА_17 . Органи юстиції США бажають провести допит ОСОБА_17 , щоб визначити його можливі зв`язки з ОСОБА_5 .
У своєму запиті про надання міжнародної правової допомоги органи юстиції США, просять надати матеріали щодо точних та аутентифікованих копій логічних образів для проведення експертизи, зняті з серверів, яким виділені адреси ІР НОМЕР_1 та НОМЕР_2 , а також будь-які пов`язані з ними файли реєстраційних журналів та бази даних, включаючи будь-які попередні резервні копії із зазначених серверів. Для забезпечення допустимості логічних образів з серверів як доказів для будь-якого судового провадження, яке може виникнути в результаті цього розслідування, такі засвідчені логічні образи для проведеним експертизи, зняті із серверів, повинні бути аутентифіковані особами, що відповідали за їхнє зберігання, які наділені відповідними повноваженнями, або представником (представниками), що особисто обізнані з процесом створення логічних образів та/або копій із зазначених серверів.
Згідно з сайту WHOIS, адреси ІР НОМЕР_11 належать ОСОБА_18 , АДРЕСА_2 .
Виходячи зі змісту вимог ст. 131 КПК України, заходи забезпечення кримінального провадження застосовуються з метою досягнення дієвості цього провадження, одним із яких є тимчасовий доступ до речей і документів.
Відповідно до ч. 6 ст. 163 КПК України слідчий суддя, суд постановляє ухвалу про надання тимчасового доступу до речей і документів, які містять охоронювану законом таємницю, якщо сторона кримінального провадження, крім обставин, передбачених частиною п`ятою цієї статті, доведе можливість використання як доказів відомостей, що містяться в цих речах і документах, та неможливість іншими способами довести обставини, які передбачається довести за допомогою цих речей і документів.
Слідчий суддя дослідивши матеріали клопотання, дійшов висновку про наявність підстав для задоволення клопотання.
Керуючись ст. ст. 108, 160, 162, 163, 164, 166, 309 КПК України, слідчий суддя,
У Х В А Л И В :
Клопотання задовольнити.
Надати слідчим 1 відділу слідчого управління Головного управління СБУ у м. Києві та Київській області, а саме слідчому в ОВС майору юстиції ОСОБА_19 , старшому слідчому лейтенанту ОСОБА_20 , старшому слідчому в ОВС капітану юстиції ОСОБА_21 , старшому слідчому в ОВС майору юстиції ОСОБА_22 , старшому слідчому лейтенанту юстиції ОСОБА_3 , слідчому в ОВС майору юстиції ОСОБА_23 , слідчому лейтенанту ОСОБА_24 , старшому слідчому старшому лейтенанту ОСОБА_25 , слідчому слідчого відділу УСБ України у Хмельницькій області ОСОБА_26 , слідчому слідчого відділу УСБ України у Хмельницькій області ОСОБА_27 слідчому в ОВС слідчого відділу УСБ України у Хмельницькій області ОСОБА_28 тимчасовий доступ до речей і документів, інформації, яка знаходиться в володінні ФОП ОСОБА_18 , АДРЕСА_2 з можливістю вилучення інформації в копіях щодо точних та аутентифікованих копій логічних образів зняті з сервера, яким виділені адреси ІР НОМЕР_2 , а також будь-які пов`язані з ними файли реєстраційних журналів та бази даних, включаючи будь-які попередні резервні копії із зазначених серверів.

Визначити строк дії ухвали тривалістю два місяці, який обраховувати з дня постановлення ухвали слідчим суддею.
У разі невиконання ухвали про тимчасовий доступ до речей і документів слідчий суддя, суд за клопотанням сторони кримінального провадження, якій надано право на доступ до речей і документів на підставі ухвали, має право постановити ухвалу про дозвіл на проведення обшуку згідно з положеннями цього Кодексу з метою відшукання та вилучення зазначених речей і документів.
Ухвала оскарженню не підлягає.
Слідчий суддя: ОСОБА_1
Ухвала виготовлена в 2-х примірниках:
Примірник № 1 знаходиться в матеріалах судового провадження № 757/38979/20-к
Примірник № 2 наданий слідчому ОСОБА_3 .
Слідчий суддя: ОСОБА_1