1 УХВАЛА ІМЕНЕМ УКРАЇНИСправа № 335/8727/24 1-кс/335/3433/2024
09 серпня 2024 року м. Запоріжжя
Під час досудового розслідування встановлено, що до Управління протидії кіберзлочинам в Запорізькій області Департаменту кіберполіції Національної поліції України надійшла заява про вчинення кримінального правопорушення від Amazon Web Services, Inc. (надалі - «AWS Amazon») реєстраційний номер НОМЕР_1 ( НОМЕР_2 ) про те, що встановлена особа, з жовтня 2018 року по теперішній час, використовуючи можливості хостинг-провайдера « ІНФОРМАЦІЯ_1 », несанкціоновано отримали доступ (скомпрометували) близько 5085 облікових записів клієнтів AWS на котрих розгорнули роботу віртуальних машин для майнінгу криптовалюти, використовуючи можливості серверного обладнання «AWS Amazon». Зазначені дії призвели до загального збитку компанії « ІНФОРМАЦІЯ_1 » у розмірі 4,5 мільйони доларів США.
Проведеними слідчими (розшуковими) та процесуальними діями у вказаному вище кримінальному провадженні, у тому числі за повідомленням Управління протидії кіберзлочинам в Запорізькій області Департаменту кіберполіції Національної поліції України встановлено, що до вчинення злочинів можуть бути причетні наступні особи: ОСОБА_5 , ІНФОРМАЦІЯ_2 , РНОКПП: НОМЕР_3 та ОСОБА_6 , ІНФОРМАЦІЯ_3 , РНОКПП: НОМЕР_4 .
За матеріалами кримінального провадження встановлено, що ОСОБА_5 отримав доступ до скомпрометованих акаунтів клієнтів, після отримання облікових даних клієнтів невідомими способами на стороні клієнта в рамках моделі спільної відповідальності. У кожному з 5085 акаунтів AWS запустивши певні хмарні обчислювальні ресурси AWS, такі як Amazon Elastic Compute Cloud (Amazon EC2), лямбда-функції або Sagemaker Notebooks за допомогою електронних поштових скриньок і паролів, шлях отримання яких невідомий. Використовуючи скомпрометовані облікові дані, ОСОБА_5 увійшов до управління консолі AWS клієнтів та після успішного входу здійснив оцінку облікових записів на наявність обмежень, паролів та існуючі ключі доступу. В подальшому було змінено скомпрометовані облікові записи, створено нових користувачів, додано профілі входу, змінено ключі доступу та пов`язані облікові записи до «AWS» та використовував новоутворені аккаунти вже на раніше створених (незаконно отриманих) облікових записах без відома клієнтів хостинг-провайдера.
Ключі доступу дозволяли ОСОБА_5 керувати службами «AWS» у скомпрометованих облікових записах, а за допомогою серії скриптових команд, останній мав змогу виділяти хости « ОСОБА_7 », тобто цілі фізичні сервери були призначені лише для керування обліковими записами, що призводило до дуже високих збитків компанії « ІНФОРМАЦІЯ_1 » та для запуску цих обчислювальних ресурсів використовувалися скриптові команди, які завантажували програмне забезпечення для майнінгу, яке підключалося до майнінг-пулу і містило ідентифікаційний номер гаманця (WIN), який він контролював. Скриптові команди надходили з одного і того ж середовища розробки, що складається з AWS Software Development Kit, мов програмування Python або Go, операційної системи Linux або MacOS і низькорівневого пакету розробки, який забезпечує доступ до Amazon Services (Botocore). Скриптові команди були виявлені в публічних ресурсах AWS та у файлах, розміщених у відкритому доступі на сервісі ІНФОРМАЦІЯ_4 .
З жовтня 2018 року по теперішній час компрометуючі дії здійснювалися з однієї з наступних IP-адрес: НОМЕР_5 , НОМЕР_6 , НОМЕР_7 , НОМЕР_8 , НОМЕР_9 , НОМЕР_10 , НОМЕР_11 перебувають у володінні оператора (провайдера) телекомунікаційних послуг « ІНФОРМАЦІЯ_5 » («Triolan»), ТОВ " ІНФОРМАЦІЯ_6 ", код ЄДРПОУ НОМЕР_12 , юридична адреса: АДРЕСА_1 , та НОМЕР_13 , НОМЕР_14 перебувають у володінні оператора (провайдера) телекомунікаційних послуг ТОВ « ІНФОРМАЦІЯ_7 », код ЄДРПОУ НОМЕР_15 , юридична адреса: АДРЕСА_2 .
Надалі встановлено, IP-адреса 109.87.232.207 та ІР-адреси НОМЕР_13 , НОМЕР_14 дозволені виключно двом обліковим записам AWS, зареєстрованим на гр. ОСОБА_5 , ІНФОРМАЦІЯ_2 Обліковий запис AWS НОМЕР_16 був зареєстрований на ім`я " ОСОБА_8 ", з відповідною адресою електронної пошти ІНФОРМАЦІЯ_8
За матеріалами кримінального провадження кошти отримані від діяльності, пов`язаної із несанкціонованим доступом до облікових записів клієнтів компанії « ІНФОРМАЦІЯ_1 » та подальшим запуском обчислювальних ресурсів за допомогою скриптованих команд для майнінгу ОСОБА_5 та ОСОБА_6 перераховують на підконтрольні рахунки у банківських установах АТ КБ « ІНФОРМАЦІЯ_9 » та АТ « ІНФОРМАЦІЯ_10 ».
З метою встановлення події кримінального правопорушення (час, місце, спосіб та інші обставини вчинення кримінального правопорушення), осіб, які його вчинили, підтвердження чи спростування причетності вказаних осіб до вчиненого злочину, розподілення фінансових потоків між членами організованої групи, отримання від здійснення злочинної діяльності доходу, у ході досудового розслідування виникла необхідність в отриманні інформації, яка містить охоронювану законом таємницю, що перебуває у володінні АТ КБ « ІНФОРМАЦІЯ_9 » (код ЄДРПОУ НОМЕР_17 , МФО НОМЕР_18 , юридична адреса: АДРЕСА_3 ) та АТ ІНФОРМАЦІЯ_10 (код ЄДРПОУ НОМЕР_19 , МФО НОМЕР_20 , юридична адреса: АДРЕСА_4 ), а саме: інформації щодо рахунків відкритих у вказаних банківських установах наступними особами: ОСОБА_5 , ІНФОРМАЦІЯ_2 , РНОКПП: НОМЕР_3 та ОСОБА_6 , ІНФОРМАЦІЯ_3 , РНОКПП: НОМЕР_4 , в період часу з часу відкриття по 07.06.2024, з можливістю ознайомитись з ними, зробити копії та вилучити їх.
В судове засідання слідча не з`явилася, подала заяву про розгляд клопотання за її відсутності.
Представники АТ КБ « ІНФОРМАЦІЯ_9 » та АТ « ІНФОРМАЦІЯ_10 » в судове засідання не з`явилися, про день та час судового засідання повідомлялися у встановленому законом порядку.
Перевіривши наданні матеріали клопотання та дослідивши надані докази, з врахуванням позиції слідчої, слідчий суддя приходить до наступного висновку.
Відповідно до частини 1 статті 159 КПК України тимчасовий доступ до речей і документів полягає у наданні стороні кримінального провадження особою, у володінні якої знаходяться такі речі і документи, можливості ознайомитися з ними, зробити їх копії та, у разі прийняття відповідного рішення слідчим суддею, судом, вилучити їх (здійснити виїмку).
За нормою частини шостої статті 163 КПК України слідчий суддя, суд постановляє ухвалу про надання тимчасового доступу до речей і документів, які містять охоронювану законом таємницю, якщо сторона кримінального провадження, крім обставин, передбачених частиною п`ятою цієї статті, доведе можливість використання як доказів відомостей, що містяться в цих речах і документах, та неможливість іншими способами довести обставини, які передбачається довести за допомогою цих речей і документів. Доступ особи до речей і документів, які містять охоронювану законом таємницю, здійснюється в порядку, визначеному законом. Доступ до речей і документів, що містять відомості, які становлять державну таємницю, не може надаватися особі, що не має до неї допуску відповідно до вимог закону.
Зазначені органом досудового розслідування обставини вказують, що тимчасовий доступ до документів надасть органу досудового розслідування можливість встановити фактичні обставини вчинення ймовірного злочину, які можуть мати доказове значення під час судового розгляду, при цьому підтвердження обставин, які передбачається довести за допомогою цих документів в інший спосіб є неможливим.
Проаналізувавши доводи клопотання та додані до нього матеріали, слідчий суддя дійшов висновку, що інформація, яка міститься в документах, зазначених у клопотанні, має суттєве значення для встановлення важливих обставин у кримінальному провадженні, може бути використана як доказ, іншими способами довести обставини, які передбачається довести за допомогою цих речей і документів, неможливо, а тому наявні підстави для надання тимчасового доступу до цих документів.
Керуючись ст.ст. 40, 131, 132, 159-164 КПК України, -
Клопотання задовольнити.
Надати старшій слідчій СВ ВП№1 ЗРУП ГУНП в Запорізькій області капітану поліції ОСОБА_3 , старшій слідчій СВ ВП№1 ЗРУП ГУНП в Запорізькій області капітану поліції ОСОБА_9 тимчасовий доступ до документів, що перебувають у володінні АТ КБ « ІНФОРМАЦІЯ_9 » (код ЄДРПОУ НОМЕР_17 , МФО НОМЕР_18 , юридична адреса: АДРЕСА_3 ) та АТ ІНФОРМАЦІЯ_10 (код ЄДРПОУ НОМЕР_19 , МФО НОМЕР_20 , юридична адреса: АДРЕСА_4 ), а саме: інформації щодо рахунків відкритих у вказаних банківських установах наступними особами: ОСОБА_5 , ІНФОРМАЦІЯ_2 , РНОКПП: НОМЕР_3 та ОСОБА_6 , ІНФОРМАЦІЯ_3 , РНОКПП: НОМЕР_4 , в період часу з часу відкриття по 07.06.2024, а саме:
- документів, що стосуються відкриття та використання рахунків (справ з юридичного оформлення рахунку: паспорт та довідка про присвоєння ідентифікаційного коду, заяви на відкриття рахунку, опитувальник клієнта (анкет), згода на обробку персональних даних, договору, додатки і додаткові угоди до нього, картки зі зразками підписів тощо);
- руху коштів по банківських рахунках із зазначенням повних даних та реквізитів номерів рахунків, або номерів банківських карток, на які відбувалося перерахування грошових коштів в електронному та паперовому вигляді;
- даних систем відеоспостереження і фотофіксації з банкоматів (АТМ) і відділень банківської установи (в касі), в паперовому вигляді і на електронному носії інформації щодо зняття готівки;
- інформацію щодо ІР-адрес підключення до Інтернет-банкінгу, платіжної системи (онлайн банкінгу), інформацією про МАС-адреси комп`ютерів чи мобільних пристроїв, з яких відбувалося з`єднання з системою, дати та часу за Київським часом в форматі: день, місяць, рік, години, хвилини, секунди таких з`єднань;
- параметри електронних пристроїв користувача: «secureelementid», унікальних електронних відбитків електронних пристроїв, що виконує роль ідентифікатора цих електронних пристроїв, до яких під`єднані вищевказані банківські картки, з можливістю вилучення їх завірених належним чином копій.
Визначити строк дії ухвали протягом шестидесяти днів з дня її постановлення слідчим суддею.
Умисне невиконання ухвали суду тягне за собою кримінальну відповідальність, передбачену ст. 382 КК України.
Особа, яка пред`являє ухвалу про тимчасовий доступ до речей і документів, зобов`язана залишити володільцю речей і документів опис речей і документів, які були вилучені на виконання ухвали слідчого судді.
У випадку вилучення речей і документів, за відсутністю яких юридична особа позбавляється можливості здійснювати свою діяльність ухвала може бути оскаржена до Запорізького апеляційного суду протягом п`яти днів з дня її оголошення.
Ухвала є остаточною і оскарженню не підлягає.

Слідчий суддя ОСОБА_1