Старый ноутбук, папка «Рабочее» и репортаж, который я так и не написал

Журналист на пенсии разбирает старые ноутбуки и находит кое-что интересное

Часть первая: «Фабрика симок»

Или как, судя по найденным перепискам, в 2016 году клонирование SIM-карт поставили на поток, пока все обсуждали фишинговые письма.

Я на пенсии уже три года. Из них два с половиной убил на то, чтобы разобрать гараж, починить смеситель и наконец дочитать Пелевина. В прошлом месяце добрался до стопки старых ноутбуков — тех самых, которые «выбросить жалко, а включать незачем».

Один не включился вообще. Второй завёлся с третьей попытки, показал рабочий стол XP и тут же умер. Третий, неожиданно, загрузился нормально. Windows 7, пыль в вентиляторе, давно устаревший Skype 7.x и папка «Рабочее» с файлами, датированными 2016 годом.

Я работал на городском ТВ, потом — в паре онлайн-изданий. Делал городские репортажи: ЖКХ, дороги, заводы, иногда что-то поинтереснее. В 2016-м один знакомый — назову его Режиссёром, он снимал для нас сюжеты — скинул мне материал.

Цитата

Анонимно опубликуешь? Только меня не сдавай.

Я тогда не опубликовал. Тема была сложная, доказательств мало, редакция не взяла.

Прошло много лет. А материал — вот он, в папке «Рабочее».

Читаю и думаю: возможно, это был репортаж, который я зря не написал.

Небольшая оговорка перед началом. Я журналист, а не технарь. В телекоме и информационной безопасности разбираюсь примерно на уровне «читал статьи». При подготовке текста пользовался ИИ: загружал переписки и скриншоты, просил объяснить происходящее, уточнял термины. Это помогло разобрать материал, но не заменяет независимую проверку. Ниже — моя интерпретация архива, а не установленная следствием картина событий. Если ошибся в технических деталях, поправьте в комментариях.

Что нашлось в папке

Несколько текстовых файлов с перепиской из Skype. Судя по оформлению, кто-то сохранил её вручную, обычным копированием. И несколько снимков экрана: окна внутренней программы, таблицы, строки данных.

В 2016-м я не очень понял, на что смотрю. Теперь, после разбора материалов, картина стала понятнее. Хотя вопросы остались.

По содержимому снимков и переписки, речь могла идти о внутренней системе казахстанского оператора связи. В материалах фигурирует название USI. В окнах видны три поля:

• IMSI — идентификатор абонента в мобильной сети.
• Ki — секретный ключ аутентификации SIM-карты.
• SER_NB — серийный номер физической карты.

Статус: «Активен». Тарифный план: корпоративный. Названия регионов в публикуемых материалах скрыты.

Это именно фотографии монитора: видно отражение в стекле, качество посредственное, но цифры читаются.

Похоже, кто-то открывал карточки во внутренней системе и снимал экран на телефон. Такой способ мог позволять обходиться без выгрузки базы. Но оставались ли следы самих просмотров в журналах системы — по фотографиям определить нельзя.



Скриншот 1. Окно USI с полями IMSI, Ki и SER_NB. Идентифицирующие данные скрыты.

Скриншот 2. Другая карточка; видна дата первого звонка — май 2016 года.

Транснациональная история

Первое, что бросается в глаза: история, судя по переписке, не локальная.

В материалах упоминаются казахстанские операторы Kcell и «Алтел». Из сообщений складывается впечатление, что источник данных имел доступ к внутренним системам операторов и передавал фотографии экранов.

Исполнители, предположительно, находились в России.

Между ними — мессенджер, удалённая передача данных и несколько часовых поясов. По крайней мере, в найденных файлах всё выглядит именно так.

Если эта картина верна, расследовать подобную историю было бы непросто: одни участники находились в одной стране, другие — в другой. Связь между ними приходилось бы восстанавливать по перепискам и цифровым следам.

Одна такая переписка всё это время лежала у меня.

Но я тогда не написал.

Что такое IMSI и Ki и почему это важно

Немного технической части — без неё непонятно, зачем вообще фотографировать эти поля.

SIM-карта — по сути маленький компьютер. IMSI позволяет сети определить абонента. Ki — секретный ключ, который используется для проверки подлинности карты.

Сам ключ при обычной аутентификации не передаётся по радио: проверка строится на вычислениях с его использованием.

В найденной переписке обсуждается изготовление копий SIM-карт с использованием полученных идентификаторов и ключей. Возможность такого клонирования зависит от типа карты, алгоритмов и устройства конкретной сети. Поэтому сводить всё к универсальной формуле «узнал два значения — скопировал любую симку» я бы не стал.

Но смысл обсуждения понятен: участники рассчитывали получить карту, которую сеть примет за карту другого абонента.

И речь шла явно не о том, чтобы бесплатно позвонить родственникам.

Корпоративные счета и «спящие» деньги

Судя по материалам, интерес представляли корпоративные номера с крупными остатками на лицевых счетах.

В переписке обсуждались ограничения, которые мешали использовать эти средства: отключённый роуминг и недоступные платные услуги.

То есть одной копии карты было недостаточно. Нужно было ещё добиться изменения настроек обслуживания номера.

Здесь в историю входит социальная инженерия.

Социальная инженерия: старейшее оружие

По переписке, участники обращались в поддержку, выдавая себя за сотрудников компании. Объясняли ситуацию командировкой и пытались добиться подключения нужных услуг.

Знание данных номера должно было придавать обращению убедительность.

Дальше обсуждались регистрация копии карты в другой сети, получение сообщений и восстановление доступа к личному кабинету.

Точная последовательность и поведение оригинальной карты зависят от реализации сети. По одной переписке нельзя уверенно утверждать, что оба телефона продолжали нормально работать одновременно или что вся схема неизменно срабатывала.

Но предполагаемая цель ясна: получить контроль над обслуживанием чужого номера и использовать доступные на нём средства.

А теперь про масштаб — вот где становится интересно

В переписке человек, которого я назову Техником, описывает не разовую попытку. Он описывает производственный процесс.

Вот что упоминается:

• 20–30 голосовых GSM-модемов и использование нескольких SIM-профилей на устройство. В обсуждении фигурирует парк до 300 карт, хотя это не обязательно означает 300 одновременно активных подключений.
• Автоматизация на Perl и Python, FreeBSD. Судя по сообщениям, инструментарий дорабатывали и обновляли.
• Отдельная веб-панель для операторов. Свои задачи, интерфейс и рабочий чат.
• Старший смены. Человек, который проверял журналы работы и контролировал запуск операций.

Общая картина такая: получение данных, подготовка карт, работа с модемами, обращения в поддержку, проверка результатов и финансовые операции.

Разные участники отвечали за разные этапы. Это уже похоже на организацию со сменами и разделением труда.

В сообщениях обсуждалось и распределение обращений во времени — по всей видимости, чтобы массовая активность меньше бросалась в глаза.

Также упоминаются короткие окна, в которые проводились согласованные действия с несколькими номерами. Насколько заявленные сроки соответствовали реальности, я проверить не могу.

Но меня здесь поразила сама деловая интонация.

Не «смотри, какой трюк я придумал», а задачи, роли, проверки и рабочий процесс.



Скриншот 3. Фрагмент переписки Skype с упоминанием «болванок» и «ям для слива».

Финансовый отдел

Теперь — для тех, кого больше интересуют деньги, чем технологии.

В материалах фигурируют кошельки WebMoney — WMZ и WMR, обменники Roboxchange и 1000bucks, а также Qiwi и «Яндекс.Деньги».

Дальше обсуждаются люди, которые занимались получением наличных, и банковские карты, оформленные на третьих лиц — так называемых дропов.

По переписке, за предоставление данных или участие в оформлении карт предлагались небольшие суммы. Упоминается диапазон 500–1000 тенге.

Встречаются и сообщения об уничтожении карт после использования.

Если описанная цепочка действительно работала, её расследование требовало бы сопоставлять данные нескольких сервисов, банков и людей в разных странах. Это совсем другая задача, чем найти владельца одного кошелька.

Но важное ограничение остаётся: переписка показывает, что участники обсуждали. Она сама по себе не доказывает прохождение каждой конкретной суммы по всей цепочке.

Важная оговорка: симки — только одна из тем

В тех же файлах всплывают другие сюжеты. И вот тут я поймал себя на том, что читаю уже не как журналист, а как человек, которому слегка не по себе.

Доступ к банковским системам. Межбанковские переводы. Суммы с внушительным количеством нулей. Счета в европейских банках.

И отдельно — скриншоты, похожие на изображения интерфейса банковской процессинговой системы. Что именно на них и откуда они взялись, ещё предстоит выяснить.

Часть сообщений выглядит как обсуждение реальных операций. Часть вполне может оказаться хвастовством, обманом или торговлей воздухом.

Разобраться, где что, — отдельная работа.

На этом фоне история с SIM-картами выглядит наиболее связной: понятные роли, оборудование, логистика. Остальные темы — сложнее и туманнее.

Про них — в следующих частях.

Кто это делал

Сразу скажу: конкретных людей я не установил. У меня есть переписка, скриншоты и косвенные признаки. Этого хватает для предварительного портрета, но не для уверенной идентификации.

Человек, которого я считаю техническим центром этой истории, производит впечатление опытного специалиста.

По отдельным сообщениям можно предположить, что в 2016 году ему было тридцать с небольшим. Он обсуждает оборудование, программирование и внутреннее устройство систем. Но больше всего меня удивило, что он, похоже, умел организовывать людей.

Разделение ролей, смены, журналы работы, отдельные каналы общения — это уже управленческий опыт.

Есть намёки на более ранние истории, возможно связанные с платёжными системами в 2008–2009 годах. Но именно намёки. Ни моя догадка, ни согласие ИИ с ней не превращают их в доказательство.

Один фрагмент запомнился особенно. Техник пишет:

Цитата

Новый протокол не ломается.

И предполагает, что оператор:

Цитата

Может ещё на v1 сидит.

По контексту это похоже на обсуждение разных версий механизмов аутентификации. Какой именно протокол имеется в виду, без дополнительной проверки я утверждать не берусь.

Есть и признаки того, что параллельно этот человек занимался легальной технической работой.

Если так, перед нами могла быть двойная жизнь. Но пока это тоже часть моей интерпретации.


Скриншот 4. Фрагмент переписки с фразами про «новый протокол» и «v1».

Почему эта история важна сейчас

Когда говорят о телефонном мошенничестве, обычно вспоминают подменные номера, звонки от «службы безопасности» и фишинговые ссылки.

А здесь, в архиве 2016 года, обсуждается совсем другой масштаб: доступ к внутренним данным, оборудование, автоматизация, разделение труда и участники в разных странах.

Пока одни обсуждали «африканецийские письма», другие, судя по этой переписке, пытались выстроить нелегальный IT-бизнес с собственной инфраструктурой.

И вот что меня беспокоит по-настоящему.

Всё это — материалы десятилетней давности.

Я не могу по ним установить, что делают те же люди сегодня. Не могу даже гарантировать, что каждая описанная ими операция состоялась.

Но сам уровень обсуждения заставляет задуматься: насколько представление обычного человека о таких схемах отстаёт от того, что умеют подготовленные специалисты?

Ограничить один канал общения — ещё не значит устранить доступ к внутренним данным, слабые места в обслуживании клиентов или возможность злоупотребления со стороны сотрудников.

В этих файлах меня пугает не образ таинственного гения за клавиатурой.

Меня пугает будничность.

Оборудование. Задачи. Смена. Проверка журналов.

Обычный рабочий день — только работа, судя по содержанию переписки, совсем не обычная.

Что дальше

Следующая часть — про другой слой того же архива: банки и людей, которые торговали банковскими «инструментами», реальными или выдуманными.

Про то, как отличить одно от другого и почему даже убедительно выглядящий скриншот ещё ничего не доказывает.

И отдельно — про изображения предполагаемой процессинговой системы, которые я упомянул выше. Там есть что разбирать.


Об источниках и ограничениях

Все имена изменены или опущены. Переписки датированы 2016 годом. В публикуемых скриншотах скрыты личные данные, никнеймы и другая идентифицирующая информация.

Технические пояснения подготовлены с помощью ИИ на основе архивных материалов. Подлинность материалов и сделанные выводы не прошли независимую экспертизу.

Всё описанное — моя интерпретация текстовых файлов и снимков экрана, найденных на старом ноутбуке. Я не криминалист, не специалист по информационной безопасности и не следователь. Допускаю, что часть выводов ошибочна, а часть материалов может оказаться не тем, чем выглядит.

Это журналистский разбор архива, а не обвинительное заключение.

Если заметили техническую ошибку или можете предложить другое объяснение — пишите в комментариях. Буду рад предметным поправкам.