Хотя группа Team Themis потерпела неудачу, американские власти обратились к другим частным кибершпионам для ведения слежки за WikiLeaks и оказания помощи в других расследованиях. Компания Tiversa, расположенная в Питсбурге, попала в газетные заголовки в 2011 г., когда обвинила WikiLeaks в использовании пиринговой (децентрализованной) файлообменной системы (вроде тех, которые используются для скачивания музыки) для получения секретных военных документов. WikiLeaks, которая заявляла, что публикует только документы, полученные от своих информаторов, назвала эти обвинения «абсолютно ложными». Tiversa передала свои находки государственным следователям, которые попытались построить судебное дело против Ассанжа. В консультативный совет компании Tiversa входили известные эксперты в области информационной безопасности и бывшие американские госчиновники, такие как генерал Уэсли Кларк, бывший глава Высшего штаба союзных государств Европы и бывший кандидат в президенты от Демократической партии, и Говард Шмидт, который был советником Барака Обамы по вопросам кибербезопасности.
Tiversa обнаружила массив секретных и крайне важных государственных документов, гуляющий по файлообменным сетям, и, возможно, это оказало добрую услугу. Компании и государственные службы, поставленные в неудобное положение из-за утечки информации, получили стимул для повышения мер собственной безопасности и усиления работы по защите ключевой и секретной информации. Tiversa объявила, что ее аналитики нашли чертежи президентского вертолета Marine One на компьютере, находящемся в Иране. Один из сотрудников оборонного предприятия в городе Бетесда (штат Мэриленд), возможно, пользовался файлообменной системой, а в итоге пользователь из Ирана получил доступ к жесткому диску его компьютера. В 2009 г. Tiversa рассказала комитету при конгрессе, что в результате расследования были обнаружены: документ, раскрывающий местоположение конспиративной квартиры, которая используется Секретной службой для обеспечения безопасности Первой леди во время чрезвычайной ситуации; электронные таблицы, содержащие персональные данные тысяч американских военнослужащих; документы, указывающие местоположение ядерных объектов; персональная медицинская информация тысяч частных лиц, в том числе данные о медицинской страховке и платежных документах, а также результаты диагностических процедур.
Однако, указав на слабые места в информационной защите, Triversa вызвала разногласия и конфликты. В 2013 г. компания из Атланты LabMD, занимающаяся диагностикой рака, подала жалобу, в которой обвиняла Tiversa в краже с помощью пиринговых сетей информации о пациентах как у самой LabMD, так и у других медицинский компаний. После того как в результате утечки информация о пациентах якобы была раскрыта, Федеральной торговой комиссией было проведено расследование в отношении LabMD. Компания заявила, что власти наняли Tiversa для того, чтобы получить документы без согласия и информирования LabMD. Согласно судебным документам, Triversa нашла информацию о пациентах LabMD в пиринговой сети, а затем якобы неоднократно звонила и отправляла электронные письма в эту медицинскую компанию, пытаясь продать свои услуги по обеспечению кибербезопасности. Иск LabMD впоследствии был отозван или отклонен, и Traversa подала встречный иск за клевету.
В киберпространстве нет четких границ. Тем не менее география играет весомую роль в том, насколько далеко кибернаемники готовы зайти, чтобы решить проблемы своих клиентов. Из-за того, что в странах Европы антихакерские законы не исполняются или вообще отсутствуют, некоторые европейские фирмы гораздо легче относятся к ответным хакерским атакам. Одним из рассадников хакеров и онлайн-аферистов, готовых за вознаграждение распространять вредоносное ПО, является Румыния. Теневой рынок уязвимостей нулевого дня – еще одно место, где можно нанять хакеров. Онлайн-рынок «Шелковый путь» (Silk Road), доступ в который был открыт через анонимную систему маршрутизации Tor, предоставлял площадку поставщикам хакерских услуг до тех пор, пока федеральные власти не закрыли его в 2013 г.
На сегодняшний день ни одна американская компания не пожелала заявить о том, что она осуществляет агрессивные кибероперации, направленные на похищение информации или уничтожение электронных систем противника. Однако бывшие сотрудники разведки говорят, что ответные хакерские атаки случаются, пусть они и не афишируются. «Такие атаки незаконны, но они происходят, – говорит бывший высокопоставленный сотрудник АНБ, который теперь работает корпоративным консультантом. – Это происходит при очень серьезной поддержке юристов. Правда, я бы не посоветовал клиенту этим заниматься».
Бывший офицер военной разведки говорит, что наиболее активные хакерские контратаки осуществляются в банковской сфере. За последние несколько лет банки потеряли миллиарды долларов из-за киберпреступников в основном из Восточной Европы и России, которые используют передовое вредоносное ПО, чтобы похитить учетные данные клиентов, а затем обчистить их банковские счета.
В июне 2013 г. корпорация Microsoft объединила усилия с некоторыми крупнейшими финансовыми организациями мира, среди которых были Bank of America, American Express, JPMorgan Chase, Citigroup, Wells Fargo, Credit Suisse, HSBC, Royal Bank of Canada и PayPal, чтобы обезвредить огромный кластер взломанных компьютеров, используемых для совершения киберпреступлений. Их целью была печально известная группа Citadel. Группа заразила тысячи машин по всему миру и рекрутировала их втайне от хозяев в армию ботнетов, которую преступники используют для похищения учетных данных, а следовательно, и денег у миллионов людей. В процессе контратаки, которой в Microsoft дали кодовое название «Операция b54» (Operation b54), Отдел цифровых преступлений компании разорвал линии связи между более чем четырнадцатью сотнями ботнетов группы Citadel и примерно пятью миллионами персональных компьютеров, которые Citadel заразила вредоносным ПО. Кроме того, Microsoft получила контроль над серверами, которые Citadel использовала для проведения своих операций.
Microsoft взломала Citadel. Эта операция была бы незаконной, если бы компания не получила судебное разрешение на ее проведение. Фактически Microsoft получила контроль над компьютерами, ставшими жертвами группы Citadel, причем хозяева этих компьютеров могли об этом даже не догадываться. Теперь компания могла предупредить владельцев зараженных компьютеров о необходимости установки пакетов исправлений для их уязвимого программного обеспечения. В сущности, Microsoft взломала компьютеры пользователей, чтобы спасти их. (И спасти саму себя, поскольку машины были заражены в первую очередь благодаря наличию ошибок и уязвимостей в продуктах Microsoft, которые, вероятно, подвергаются атакам чаще всего в мире.)
Эта операция стала первым случаем сотрудничества Microsoft и ФБР. Хотя разгромом ботнетов компания занимается с 2010 г., и это был уже седьмой ботнет, который пал жертвой Microsoft. Юристы компании применили новые правовые основания, в том числе обвинение преступников, взламывавших продукты Microsoft, в незаконном использовании товарного знака компании. Это был новый юридический рубеж. Даже юристы Microsoft, среди которых числился бывший федеральный прокурор США, признали, что они никогда не рассматривали возможность использования сомнительных методов, нарушающих действующее законодательство, для получения разрешения на проведение кибератаки. При подготовке к «Операции b54» Microsoft и банковские организации на протяжении шести месяцев следили за группой Citadel, прежде чем обратиться в ФБР. В конце концов шпионам из антихакерской группы Microsoft в сопровождении Службы маршалов США [15] пришлось собирать киберкриминалистические свидетельства в двух дата-центрах, оказывающих услуги интернет-хостинга, – в Пенсильвании и Нью-Джерси – для получения разрешения на атаку сети ботнетов группы Citadel. Военные назвали бы эту подготовку сбором информации о целевом объекте. По многим признакам «Операция b54» напоминала военную кибероперацию. С технической стороны она не слишком отличалась от атаки американских кибервойск на сеть Obelisk, которую члены «Аль-Каиды» использовали в Ираке.