1 УХВАЛА ІМЕНЕМ УКРАЇНИСправа № 335/8727/24 1-кс/335/1790/2025
Відомості про дану подію, були внесені до Єдиного реєстру досудових розслідувань на підставі заяви Amazon Web Services, Inc. (надалі - «AWS Amazon») реєстраційний номер AWS2023-A14 (Kyiv 2207470.3) про вчинення кримінального правопорушення.
Слідством встановлено, що до Управління протидії кіберзлочинам в Запорізькій області Департаменту кіберполіції Національної поліції України надійшла заява про вчинення кримінального правопорушення від Amazon Web Services, Inc. (надалі - «AWS Amazon») реєстраційний номер AWS2023-A14 (Kyiv 2207470.3) про те, що встановлена особа, з жовтня 2018 року по теперішній час, використовуючи можливості хостинг-провайдера «AWS Amazon», несанкціоновано отримали доступ (скомпрометували) близько 5085 облікових записів клієнтів AWS на котрих розгорнули роботу віртуальних машин для майнінгу криптовалюти, використовуючи можливості серверного обладнання «AWS Amazon». Зазначені дії призвели до загального збитку компанії «AWS Amazon» у розмірі 4,5 мільйони доларів США, що станом на 22.04.2025 відповідно до курсу Національного банку України, дорівнює 186 203 250 грн.
Проведеними слідчими (розшуковими) та процесуальними діями у вказаному вище кримінальному провадженні, у тому числі за повідомленням Управління протидії кіберзлочинам в Запорізькій області Департаменту кіберполіції Національної поліції України встановлено, що до вчинення злочинів можуть бути причетні наступні особи: ОСОБА_5 , ІНФОРМАЦІЯ_1 , РНОКПП: НОМЕР_1 та ОСОБА_6 , ІНФОРМАЦІЯ_2 , РНОКПП: НОМЕР_2 .
Відповідно до отриманих в ході досудового розслідування матеріалів встановлено, що ОСОБА_5 у 2018 році, у невстановлений спосіб, отримав доступ до скомпрометованих акаунтів клієнтів, після отримання облікових даних клієнтів невідомими способами на стороні клієнта в рамках моделі спільної відповідальності. У кожному з 5085 акаунтів AWS запустивши певні хмарні обчислювальні ресурси AWS, такі як Amazon Elastic Compute Cloud (Amazon EC2), лямбда-функції або Sagemaker Notebooks за допомогою електронних поштових скриньок і паролів, шлях отримання яких невідомий. Використовуючи скомпрометовані облікові дані, ОСОБА_5 увійшов до управління консолі AWS клієнтів та після успішного входу здійснив оцінку облікових записів на наявність обмежень, паролів та існуючі ключі доступу. В подальшому було змінено скомпрометовані облікові записи, створено нових користувачів, додано профілі входу, змінено ключі доступу та пов?язані облікові записи до «AWS» та використовував новоутворені аккаунти вже на раніше створених (незаконно отриманих) облікових записах без відома клієнтів хостинг-провайдера.
Ключі доступу дозволяли ОСОБА_5 керувати службами «AWS» скомпрометованих облікових записах, а за допомогою серії скриптових команд, останній мав змогу виділяти хости «AWS EC2», тобто цілі фізичні сервери були призначені лише для керування обліковими записами, що призводило до дуже високих збитків компанії «AWS Amazon» та для запуску цих обчислювальних ресурсів використовувалися скриптові команди, які завантажували програмне забезпечення для майнінгу, яке підключалося до майнінг-пулу і містило ідентифікаційний номер гаманця (WIN), який він контролював. Скриптові команди надходили з одного і того ж середовища розробки, що складається з AWS Software Development Kit, мов програмування Python або Go, операційної системи Linux або MacOS і низькорівневого пакету розробки, який забезпечує доступ до Amazon Services (Botocore). Скриптові команди були виявлені в публічних ресурсах AWS та у файлах, розміщених у відкритому доступі на сервісі dropbox.com.
За матеріалами кримінального провадження кошти отримані від діяльності, повязаної із несанкціонованим доступом до облікових записів клієнтів компанії «AWS Amazon» та подальшим запуском обчислювальних ресурсів за допомогою скриптованих команд для майнінгу ОСОБА_5 та ОСОБА_8 перераховують на підконтрольні рахунки у банківських установах АТ КБ «ПриватБанк» та АТ « Універсал Банк».
Відповідно до протоколу огляду від 25.09.2024 встановлено, що ОСОБА_5 в період часу з 28.11.2014 по 06.06.2024 використовував фінансовий номер телефону ? НОМЕР_11 ?, як внутрішньобанківський ідентифікатор клієнта, а також наступні IP-адреси з яких здійснювався вхід в Інтернет-банкінг (клієнт-банк «Приват24»), а саме:
03.11.2021 о 01:32:04.536, о 05:13:07.573, о 10:49:56.008 використовувалась IP-адреса НОМЕР_4 для входу в клієнт-банкінг.
04.11.2021 о 16:31:00.836 використовувалась IP-адреса НОМЕР_4 для входу в клієнт-банкінг.
06.11.2021 о 16:09:59.793 використовувалась IP-адреса НОМЕР_4 для входу в клієнт-банкінг.
Усього в ході огляду встановлено 121 вхід з вказаної Р-адреси НОМЕР_4 та останній вхід з вказаної IP-адреси НОМЕР_4 було здійснено 03.02.2022 о 11:19:28.126 з пристроїв Mozilla/5.0 (Linux; Android 5.1; HUAWEI CUN-U29 Build/HUAWEICUN-U29) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/50.0.2661.89 Mobile Safari/537.36 ta Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/15.2 Safari/605.1.15.
25.03.2017 о 21:10:33.313 використовувалась IP-адреса НОМЕР_6 для входу в клієнт-банкінг.
27.03.2017 о 22:04:42.376 використовувалась IP-адреса НОМЕР_6 для входу в клієнт-банкінг.
01.04.2017 о 02:22:44.013 використовувалась IP-адреса НОМЕР_6 для входу в клієнт-банкінг.
Усього в ході огляду встановлено 146 входів з вказаної Р-адреси НОМЕР_6 та останній вхід з вказаної ІР-адреси НОМЕР_6 було здійснено 03.03.2020 о 10:46:08.036 з пристроїв Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:71.0) Gecko/20100101 Firefox/71.0, FIREFOX/55.0, Chrome/64.0.3240.0, Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_0) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.84 Safari/537.36 та SAFARI/10.1.2, в ході огляду встановлено що вхід здійснювався за геоданими: 49.566341021, 34.577467185 - за адресою: АДРЕСА_1 , за адресою реєстрації ОСОБА_5
09.08.2023 о 12:37:47.043 використовувалась IP-адреса НОМЕР_7 для входу в клієнт-банкінг.
30.08.2023 о 08:38:44.171 та о 10:42:49.264 використовувалась IP-адреса НОМЕР_7 для входу в клієнт-банкінг.
22.05.2024 о 10:15:05.106 та о 10:42:00.873 використовувалась IP-адреса НОМЕР_7 для входу в клієнт-банкінг.
Усього в ході огляду встановлено 5 входів з вказаної Р-адреси НОМЕР_7 та останній вхід з вказаної ІР-адреси НОМЕР_7 було здійснено 22.05.2024 о 10:42:00.873 з пристроїв Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/15.6.1 Safari/605.1.15.
22.04.2018 о 18:39:26.593 використовувалась IP-адреса НОМЕР_8 для входу в клієнт-банкінг.
23.04.2018 о 14:47:43.002 використовувалась IP-адреса НОМЕР_8 для входу в клієнт-банкінг.
23.04.2018 о 15:18:07.673 використовувалась IP-адреса НОМЕР_8 для входу в клієнт-банкінг.
Усього в ході огляду встановлено 36 входів з вказаної IP-адреси НОМЕР_8 та останній вхід з вказаної IP-адреси НОМЕР_8 було здійснено 26.10.2021 о 19:27:55.546 з пристроїв Mozilla/5.0 (Linux; Android 10; M2010J19CG Build/QKQ1.200830.002; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/92.0.4515.131 Mobile Safari/537.36.
07.03.2015 о 13:45:48.096 використовувалась IP-адреса НОМЕР_9 для входу в клієнт-банкінг.
12.03.2015 о 16:03:08.023 та о використовувалась IP-адреса НОМЕР_9 для входу в клієнт-банкінг.
24.05.2015 о 14:41:43.066 використовувалась IP-адреса НОМЕР_9 для входу в клієнт-банкінг.
Усього в ході огляду встановлено 611 входів з вказаної IP-адреси НОМЕР_9 та останній вхід з вказаної ІР-адреси НОМЕР_9 було здійснено 02.10.2023 о 09:15:04.202 з пристроїв LENOVO A680_ROW|LENOVO, HTC DESIRE 616 DUAL SIMHTC, FIREFOX/44.0, NOMI I504|NOMI.
30.11.2023 о 22:40:11.976 використовувалась IP-адреса НОМЕР_10 для входу в клієнт-банкінг.
01.12.2023 о 18:56:12.075 та о використовувалась IP-адреса НОМЕР_10 для входу в клієнт-банкінг.
07.12.2023 о 16:45:35.161 та о 19:24:33.994 використовувалась IP-адреса НОМЕР_10 для входу в клієнт-банкінг.
В ході досудового розслідування встановлено, що саме з ІР-адрес: НОМЕР_3 , НОМЕР_4 , НОМЕР_5 , НОМЕР_6 , НОМЕР_7 , НОМЕР_8 , НОМЕР_9 - які виділені Internet Service Provider Content Delivery Network LTD - Triolan.com, м. Полтава, Україна, та НОМЕР_12 , НОМЕР_10 , які виділені ТОВ Інтернет-сервіс-провайдер Телесвіт - volia.net, відповідно до заяви від Amazon Web Services, Inc. здійснювались компрометуючі дії.
Крім того, згідно з інформаційної довідки з Державного реєстру речових прав на нерухоме майно та Реєстру прав власності на нерухоме майно, Державного реєстру іпотек, Єдиного реєстру заборон відчуження обєктів нерухомого майна щодо обєкта нерухомого майна встановлено, що за адресою: АДРЕСА_3 - відомості відсутні.
Відповідно до відомостей, отриманих на підставі ухвали Орджонікідзевського районного суду м. Запоріжжя, від 28 січня 2025 року справа N? 335/8727/24, 1-кс/335/102/2025, «Полтавське бюро технічної інвентаризації «ІНВЕНТАРИЗАТОР»» (код ЄРДПОУ: 03351705), згідно матеріалів інвентаризаційної справи право власності на нерухоме майно, а саме квартиру розташовану за адресою: АДРЕСА_4 , в цілому належить ОСОБА_11 , відповідно до договору купівлі-продажу від 31 липня 2001 року бланк серії АЕВ № 452581, посвідченого приватним нотаріусом Полтавського міського нотаріального округу ОСОБА_12 , зареєстровано в реєстрі з №5305.
Згідно відомостей отриманих в Державному реєстрі актів цивільного стану встановлено, що ОСОБА_11 , ІНФОРМАЦІЯ_4 , РНОКПП: НОМЕР_14 е батьком ОСОБА_13 , ІНФОРМАЦІЯ_2 , РНОКПП: НОМЕР_2 .
22.04.2025 слідчим суддею Орджонікідзевського районного суду м. Запоріжжя були задоволені клопотання органу досудового розслідування та винесені ухвали №1-кс/335/1379/2025 та 1-кс/335/1380/2025 у справі №335/8727/24 про надання дозволу на проведення обшуків за адресами АДРЕСА_5 та АДРЕСА_3 , з метою виявлення і фіксації відомостей про обставини вчинення кримінального правопорушення, відшукання та вилучення комп`ютерної техніки (системних блоків, ноутбуків, нетбуків, планшетів, жорстких дисків), засобів мобільного зв`язку (мобільних телефонів, карток операторів стільникового зв`язку), флеш носіїв, карток пам`яті, блокнотів, нотаток, чорнових записів.
08.05.2025 органом досудового розслідування, на підставі ухвали слідчого судді Орджонікідзевського районного суду м. Запоріжжя від 22.04.2025 №335/8727/24 (1-кс/335/1379/2025) проведено обшук за місцем реєстрації ОСОБА_5 за адресою: АДРЕСА_5 , яка належить його матері - ОСОБА_9 , ІНФОРМАЦІЯ_5 . На момент проведення обшуку, за вказаною адресою знаходилася ОСОБА_9 , яка пояснила, що раніше з нею проживав її син ОСОБА_5 .
В ході проведення вищевказаного обшуку, у кімнаті ОСОБА_5 було виявлено та вилучено банківські картки «ПриватБанк» № НОМЕР_15 , «Monobank» № НОМЕР_16 , «Monobank» з частковим зображенням №5…5……… НОМЕР_17 , мобільний телефон «Redmi M1040…CG», в корпусі чорного кольору, у вимкненому стані та мобільний телефон «Bravis OMEGA», s/n: НОМЕР_18 , 1) IMEI: НОМЕР_19 , 2) IMEI: НОМЕР_20 , в корпусі чорного кольору. Усі вищевказані речі, з пояснень ОСОБА_9 , належать її сину ОСОБА_5 .
В ході проведення обшуку, було вчинено спроби увімкнути вищевказані мобільні телефони з метою фіксації відомостей, що містяться у них, однак мобільні телефони не увімкнулися у зв`язку із чим були вилучені, з метою подальшого проведення судової комп`ютерно-технічної експертизи.
Крім того, 08.05.2025 органом досудового розслідування, на підставі ухвали слідчого судді Орджонікідзевського районного суду м. Запоріжжя ОСОБА_1 від 22.04.2025 №335/8727/24 (1-кс/335/1380/2025) проведено обшук за адресою: АДРЕСА_3 , яка належить ОСОБА_11 , який є батьком ОСОБА_14 , ІНФОРМАЦІЯ_2 , яка є дружиною ОСОБА_5 . На момент проведення обшуку, за вказаною адресою знаходилася ОСОБА_9 та її мати ОСОБА_15 , які пояснили, що дійсно до призову на військову службу, з ними проживав ОСОБА_5 .
В ході проведення вищевказаного обшуку, було виявлено та вилучено, комп`ютерне обладнання - моноблок «IMAC», s/n: CO2LX03VF8J3, в корпусі сірого кольору, який з пояснень ОСОБА_9 належить її чоловіку ОСОБА_5 та перебував у його користуванні.
Під час проведення обшуку було зафіксовано, що на вищевказному моноблоці містяться відомості щодо протиправної діяльності ОСОБА_5 пов`язаної із керуванням службами «AWS» скомпрометованих облікових записів, для майнінгу криптовалюти, використовуючи можливості серверного обладнання «AWS Amazon», однак отримати повний обсяг відомостей, які необхідні для встановлення усіх обставин вчинення ОСОБА_5 даного злочину, не представлялося можливим через відсутність технічної можливості та відповідних знань у учасників обшуку. Наявність вказаної інформації, також додатково було зафіксовано 12.05.2025 під час огляду зазначеного моноблоку про те, наразі існує необхідність у його експертному дослідженні.
Слідча посилаючись на те, що, відповідно до ст. 84 КПК України, вищевказане вилучене майно має значення речових доказів в даному кримінальному провадженні для встановлення фактів та обставин, що мають значення для кримінального провадження та підлягають доказуванню, оскільки зазначене майно, відповідає п. 1 ч. 2 ст. 167 КПК України, а саме: мобільні телефони та комп`ютерний моноблок використовувалися ОСОБА_5 як знаряддя вчинення кримінального правопорушення у зв`язку із чим зберегли в собі сліди його вчинення, у вигляді даних скомпрометованих облікових записів, які використовувалися для вчинення злочину, IP-адрес, через які здійснювалися входи до вказаних облікових записів та засобів керування ними, а також іншої інформації, яку можливо отримати лише за результатом проведення судової комп`ютерно-технічної експертизи. Вилучені банківські картки також, могли зберегти на собі сліди вчинення злочину, оскільки саме за допомогою них могло здійснюватися обготівкування грошових коштів отриманих злочинним шляхом, просить клопотання задовольнити.
В судове засідання слідча не з`явилася, подала заяву про розгляд клопотання за її відсутності, клопотання підтримує, просить його задовольнити.
Власник майна ОСОБА_5 в судове засідання не з`явився, подав заяву про розгляд клопотання слідчої про арешт майна за його відсутності, проти задоволення клопотання не заперечує.
Дослідивши клопотання про арешт майна та додані до нього матеріали, слідчий суддя дійшов наступних висновків.
Слідчий суддя, перевіривши клопотання заявника на дотримання вимог Кримінального процесуального Кодексу України (далі - КПК), приходить до наступного.
Порядок кримінального провадження на території України визначається лише кримінальним процесуальним законодавством України, яке складається з відповідних положень Конституції України, міжнародних договорів, згода на обов`язковість яких надана Верховною Радою України, цього Кодексу та інших законів України (ч. 2 ст. 1 КПК України).
Відповідно ж до ч. 1 ст. 170 КПК України арештом майна є тимчасове, до скасування у встановленому цим Кодексом порядку, позбавлення за ухвалою слідчого судді або суду права на відчуження, розпорядження та/або користування майном, щодо якого існує сукупність підстав чи розумних підозр вважати, що воно є доказом злочину, підлягає спеціальній конфіскації у підозрюваного, обвинуваченого, засудженого, третіх осіб, конфіскації у юридичної особи, для забезпечення цивільного позову, стягнення з юридичної особи отриманої неправомірної вигоди, можливої конфіскації майна.
Згідно п. 1 ч. 2 ст. 170 КПК України арешт на майно накладається з метою забезпечення збереження речових доказів.
Відповідно до ч. 3 ст. 170 КПК України у випадку, передбаченому пунктом 1 частини другої цієї статті, арешт накладається на майно будь-якої фізичної або юридичної особи за наявності достатніх підстав вважати, що воно відповідає критеріям, зазначеним у статті 98 цього Кодексу.
Речовими доказами згідно ч. 1 ст. 98 КПК України є матеріальні об`єкти, які були знаряддям вчинення кримінального правопорушення, зберегли на собі його сліди або містять інші відомості, які можуть бути використані як доказ факту чи обставин, що встановлюються під час кримінального провадження, в тому числі предмети, що були об`єктом кримінально протиправних дій, гроші, цінності та інші речі, набуті кримінально протиправним шляхом або отримані юридичною особою внаслідок вчинення кримінального правопорушення.
Так, слідчим суддею встановлено, що клопотання про арешт майна подано, у відповідності до ст. 170 КПК України, оскільки останнє містить в собі критерії визначені ч. 2 цієї статті Кодексу, а саме є речовим доказом.
Тож, слідчий суддя погоджується з доводами слідчого про те, що необхідно накласти арешт на майно на підставі ст. 170 КПК України, оскільки є достатні підстави вважати, що це майно відповідає критеріям, зазначеним у пункті першому частині другій статті 170 цього Кодексу.
За таких обставин, слідчий суддя враховуючи правову підставу для арешту майна, наслідки арешту майна для інших осіб, розумність та співрозмірність обмеження права власності завданням кримінального провадження приходить до висновку, що клопотання підлягає задоволенню та, вважає за необхідне застосувати найменш обтяжливий спосіб арешту майна, тобто такий спосіб арешту майна, який не призведе до наслідків, які суттєво позначаються на інтересах осіб та накласти арешт саме на підставі ч. 2 ст. 170 КПК України, оскільки існує обґрунтоване пропорційне співвідношення між засобами, які застосовуються, та метою, яку прагнуть досягти з дотриманням відповідних положень національного законодавства та принципів верховенства права.
Керуючись ст.ст. 1-29, 131-132, 170-173, 309, 369-372, 376, 534 КПК України, слідчий суддя
Клопотання задовольнити.
Накласти арешт на належне ОСОБА_5 , ІНФОРМАЦІЯ_1 , майно вилучене 08.05.2025, а саме:
- в ході проведення обшуку підставі ухвали слідчого судді Орджонікідзевського районного суду м. Запоріжжя від 22.04.2025 №335/8727/24 (1-кс/335/1379/2025) за адресою: АДРЕСА_5 , а саме: банківські картки «ПриватБанк» № НОМЕР_15 , «Monobank» № НОМЕР_16 ; «Monobank» з частковим зображенням №5…5………415179; мобільний телефон «Redmi M1040…CG», в корпусі чорного кольору; мобільний телефон «Bravis OMEGA», s/n: НОМЕР_18 , 1) IMEI: НОМЕР_19 , 2) IMEI: НОМЕР_20 , в корпусі чорного кольору;
- в ході проведення обшуку підставі ухвали слідчого судді Орджонікідзевського районного суду м. Запоріжжя від 22.04.2025 №335/8727/24 (1-кс/335/1380/2025) за адресою: АДРЕСА_3 , а саме: моноблок «IMAC», s/n: CO2LX03VF8J3, в корпусі сірого кольору, з позбавленням його власника та інших осіб права на відчуження, розпорядження та користування вказаним майном.
Ухвала підлягає негайному виконанню.

Ухвала слідчого судді може бути оскаржена до Запорізького апеляційного суду протягом п`яти днів з дня її оголошення.

Роз`яснити сторонам кримінального провадження, що підозрюваний, захисник, законний представник, інший власник або володілець майна, представник юридичної особи, щодо якої здійснюється провадження, які не були присутні при розгляді питання про арешт майна, мають право заявити клопотання про скасування арешту майна повністю або частково, арешт майна також може бути скасовано повністю чи частково ухвалою слідчого судді під час досудового розслідування за їх клопотанням, якщо вони доведуть, що в подальшому в застосуванні цього заходу відпала потреба або арешт накладено необґрунтовано.

Слідчий суддя: ОСОБА_1