Хакер #305. Многошаговые SQL-инъекции
Шесть бывших сотрудников eBay стали фигурантами странного судебного разбирательства. Их обвиняют в преследовании супружеской пары блогеров из города Натик, штат Массачусетс. Сотрудники аукциона буквально терроризировали супругов, которые публиковали нелестные статьи о eBay, присылая им живых тараканов и похоронные венки, отправляя сообщения с угрозами, и даже планировали поставить на их машину «маячок».
Обвинения
Министерство юстиции США сообщило, что в начале текущей недели были арестованы два экс-руководителя компании eBay: 45-летний Джеймс Боуг (James Baugh, бывший старший директор eBay по охране и безопасности) и 48-летний Дэвид Харвилл (David Harville, бывший директор eBay по глобальной устойчивости). Обоим были предъявлены обвинения в сговоре с целью совершения киберсталкинга и сговоре с целью оказания давления на свидетелей.
Также в этом деле фигурируют еще четыре бывших сотрудника аукциона. Они не были взяты под стражу, но им тоже предъявлены аналогичные обвинения, это: Стефани Попп (бывший старший менеджер eBay), Стефани Стоквелл (бывший менеджер Global Intelligence Center eBay), Вероника Зиа (бывший подрядчик eBay, работавшая аналитиком в Global Intelligence Center), а также Брайан Гилберт (бывший старший менеджер по спецоперациям в Global Security Team).
Каждое из обвинений влечет за собой тюремное заключение сроком до пяти лет, а также штраф в размере до 250 000 долларов США и возмещение ущерба.
По сути всех этих людей обвиняют в преследовании супружеской пары средних лет из города Натик в штате Массачусетс. Дело в том, что супруги, чьи имена не разглашаются, вели собственный блог, посвященный e-commerce и интернет-магазинам, где порой критиковали eBay.
Сталкинг и угрозы
Издание Wired составило хронику произошедшего, опираясь на информацию из судебных документов и других открытых источников. В итоге получилась пугающая и сюрреалистичная картина.
Все началось летом прошлого года, когда один из руководителей eBay написал серию текстовых сообщений Джеймсу Боугу, который тогда еще был старшим директором по безопасности. «Если мы вообще собираемся уничтожить ее… то сейчас самое время», — гласит одно их этих сообщений. В другом сообщении руководитель подчеркивает: «Я хочу, чтобы с ней было ПОКОНЧЕНО». В ответ Боуг заверил, что у него уже есть план, который после этой беседы был приведен в действие.
Вскоре в компании состоялась серия совещаний, на которых было решено, что нужно во что бы то ни стало заставить супругов из Массачусетса прекратить публиковать негативные статьи о eBay, а также выяснить личность одного особенно заметного и рьяного комментатора.
Согласно показанием анонимного свидетеля, на одной из таких встреч Боуг показал команде ролик из фильма «Джонни, будь хорошим», в котором пранкеры посылали людям абсурдные и нежелательные вещи с доставкой на дом. Боуг предложил использовать ту же тактику и устроил мозговой штурм: сотрудники eBay решали, что можно отправить супругам из Массачусетса, чтобы напугать и деморализовать их.
Вместе с этим было принято решение развернуть кампанию в социальных сетях: представители eBay отправляли анонимные твиты и личные сообщения в адрес пары, притворяясь рассерженными продавцами с eBay, а также брали на себя ответственность за жуткие посылки, которые вскоре начали получать супруги. Также сотрудники аукциона слили домашний адрес жертв в открытый доступ.
В конечном итоге сотрудники eBay планировали вмешаться в происходящее и предложить супругам помощь (задействовав бывшего капитана полиции Санта-Клары): связаться с жертвами с предложением помочь прекратить преследование, остановить травлю. В судебных бумагах это названо стратегией «белого рыцаря». То есть в конечном итоге планировалось улучшить репутацию eBay, остановить негативные публикации, а также вынудить жертв определить, кто скрывался за аккаунтом упомянутого «проблемного» комментатора.
Кампания по сталкингу и запугиванию стартовала в августе 2019 года. Так, 7 августа в Twitter появилась учтенная запись Tui_Elei, предположительно созданная одним из ответчиков. С этого аккаунта женщине-жертве стали приходить сообщения, в которых спрашивали, в чем ее проблема с eBay. Когда она не ответила, сообщения продолжили поступать, становясь все более и более грубыми. Уже следующим вечером жертва обнаружила, что кто-то использовал ее email, чтобы подписать ее на десятки всевозможных рассылок.
10 августа 2019 года супругам начали приходить посылки. Первым тревожным сигналом стало электронное письмо, подтверждающее заказ на «законсервированный эмбрион свиньи», который должны были доставить к дому жертв (позже заказ был отменен после запроса от продавца.) В тот же день Amazon доставил супругам маску для Хэллоуина в виде окровавленной свиной морды. Всего четырнадцать минут спустя Tui_Elei прислал жертве еще одно сообщение, гласившее: «ТЕПЕРЬ я привлек твое внимание ????».
12-15 августа посылки продолжили приходить. Так, пара получила похоронный венок, книгу о том, как пережить потерю супруга, коробку с живыми тараканами, а также фейковое сообщение о том, что на их имя была открыта франшиза секс-игрушек Adam & Eve. С аккаунта Tui_Elei, тем временим, продолжали сыпаться оскорбления.
As alleged, the extensive harassment campaign launched by these six @eBayemployees included sending embarrassing & disturbing deliveries to the Natick couple's home, including a bloody pig mask, sympathy wreath, a book on how to survive the loss of a spouse, & live insects. pic.twitter.com/U2d1fgsLJD
— FBI Boston (@FBIBoston) June 15, 2020
По данным следователей, после этого сотрудники eBay перешли к личному наблюдению. Прикрываясь поездкой на конференцию разработчиков, они прилетели в Бостон, зарегистрировались в отеле Ritz Carlton и поехали в Натик, намереваясь установить GPS-трекер на Rav4 супружеской пары. По словам прокурора, предварительно они потренировались на аналогичной модели авто на стоянке eBay.
Так как машина оказалась заперта в гараже, на следующий день Дэвид Харвилл приобрел инструменты (включая отвертку и монтировку), а также резиновые перчатки. Обвинение считает, что все это понадобилось ему для взлома и проникновения в гараж жертв.
16 августа члены команды eBay следили за парой, преследуя супругов на арендованном Dodge Caravan. При этом они прослушивали частоты местной полиции, и когда жертвы заметили, что за ними следят и сообщили об этом, преследование прекратилось. Согласно судебным документам, тем вечером трое обвиняемых хорошо посидели в бостонском ресторане, планируя, что еще можно прислать блогерам. Среди вариантов были цепные пилы, человеческие фекалии и мертвая крыса. В середине ночи они вызвали сантехника к жертвам домой.
Слежка и преследование продолжились и позже. Так, в последующие дни от лица пары в сети разместили ряд объявлений, в том числе о продаже дома и приглашение для свингеров и одиночек после 10 вечера приезжать к супругам домой, «стучать и звонить в любое время дня и ночи». Tui_Elei в это время писал: «Ты получила моим подарки, пи*да !!??».
Вскоре после этого пострадавшим наконец удалось добиться блокировки аккаунта Tui_Elei в Twitter (из-за доксинга), однако место удаленной учетной записи тут же заняли новые, которые прокуратура так же связывает с eBay.
«Это были решительные, систематические усилия старших сотрудников крупной компании, направленные на разрушение жизни пары из Натика. И все из-за того, что те публиковали контент, который не нравился руководству компании, — рассказал на пресс-конференции прокурор Эндрю Леллинг. — Некоторое время эти усилия были успешны, приводя к психологическому уничтожению жертв на протяжении нескольких недель, пока те отчаянно пытались выяснить, что происходит, и как это остановить».
21 августа произошло сразу два важных события: сотрудник eBay вступил в контакт с парой (следующий шаг в рамках стратегии «белого рыцаря»), а полиция Натика отследила номерной знак арендованного автомобиля, который использовали сталкеры.
Когда местные полицейские начали делать запросы, сотрудники eBay поняли, что подарочные карты, которые они приобрели для финансирования своей кампании, можно проследить до города Санта-Клара, недалеко от штаб-квартиры eBay. Тогда они попытались пустить следствие по ложному следу и создать там фальшивого подозреваемого — выходца из Самоа. Но эта ложь не успела зайти далеко: 22 августа полиция привлекла к делу ФБР, и уже 26 августа внутри eBay началось собственное расследование происходящего.
Последствия
30 августа 2019 года внутреннее расследование начало приносить плоды, и руководство eBay отправило троих сотрудников в административный отпуск. В официальном заявлении eBay, опубликованном на этой неделе, и вовсе сообщается, что компания «уволила всех причастных к случившемуся сотрудников» в сентябре 2019 года.
Интересно, что бывший CEO eBay Девин Вениг тоже покинул компанию в том месяце. Хотя его имя не фигурирует в иске, eBay подтверждает, что именно он обозначен в судебных документах как «Executive 1»,то есть человек, который отдал тот самый приказ «уничтожить ее» (который затем был передан Боугу другим руководителем, обозначенным в бумагах как «Executive 2»).
Компания также подтвердила, что «Executive 2» — это бывший директор по коммуникациям Стив Уаймер, а чем пишет издание Bloomberg. Он так же был уволен из компании. Но ни Вениг, ни Уаймер не обвиняются в совершении какого-либо преступлений.
«Внутреннее расследование показало, что хотя сообщения мистера Венига были неуместными, нет никаких доказательств того, что он заранее знал или санкционировал действия, которые впоследствии были направлены на блогера и ее мужа», — гласит заявление eBay.
Также в своем заявлении eBay заявляет, что не терпит подобного поведения и приносит извинения пострадавшим, выражая сожаления по поводу случившегося.
