Кто виновен. Дело дня

Эдуард Пожарский шесть лет торгует игровым железом через аккаунт на «Барахолке» (площадка частных объявлений, как доска объявлений); рейтинг под тысячу отзывов и три брони с предоплатой дороже всего склада. В 19:00 кто-то позвал его «глянуть, как объявление подняли в топ», и усадил за клубный компьютер. К 21:30 Эдуард не может войти: почта и телефон чужие, предоплаты сняты, аккаунт выставлен на продажу. Кто-то заранее поднял на компьютере поддельную страницу входа и выманил логин, пароль и одноразовый код. Поднимите журналы и историю входов, сверьте с показаниями — найдите того, кто поднял фишинговую страницу и перехватил вход.

⌚ ХРОНОЛОГИЯ: 19:00 — 21:30 все показания — внутри этого окна

§ ПОДОЗРЕВАЕМЫЕ (5) · нажмите для досье

Эдуард Пожарский

Продавец игрового железа, владелец аккаунта (пострадавший)

ПОТЕРПЕВШИЙ

Глеб Турчин

Совладелец и администратор клуба «Респаун»

Лада Жмыхова

Тренер клубной киберспортивной команды

Тоша Кравец

Стример, снимает в клубе VIP-кабину под эфиры

Аким Болотов

Приходящий сисадмин клуба

Жанна Кудельская

Завсегдатай клуба, играет по абонементу

§ ЛОКАЦИИ — 5 ПОМЕЩЕНИЙ

Ресепшен→ Геймзал
Стойка, касса, единственная камера над входом — в зал и кабину не достаёт.
Геймзал→ Ресепшен, VIP-кабина, Серверная, Кухня-зона
Ряды игровых мест; узловой зал, через него ходят все.
VIP-кабина→ Геймзал, Кухня-зона
Закрытая кабина, мощный клубный компьютер, глухая дверь; камер нет, снаружи не видно, кто за машиной.
Серверная→ Геймзал, Кухня-зона
Закуток с сервером и роутером; ключи у сисадмина, камер нет.
Кухня-зона→ Геймзал, VIP-кабина, Серверная
Кулер, диван, автомат с энергетиками; сюда выходят отдышаться.

§ ПРЕДМЕТЫ — 4 НА СЦЕНЕ

🎣 Фишинговая страница «подтвердите вход — восстановление доступа» (на компьютере VIP-кабины)
📵 Подменная SIM-карта на номер продавца (SIM-swap)
🐀 Троян-стилер на клубном ПК (крадёт сохранённые пароли)
📶 Поддельная точка вайфая «Respawn_Free» (перехват трафика)

§ УЛИКИ И ПОКАЗАНИЯ (14)

⌜ ВЗЛОМ ОБНАРУЖЕН · 21:30 ⌝ Взлом — локация «VIP-кабина». — источник: В 21:30 Эдуарда не пускает в аккаунт: почта и телефон чужие, три брони сняты, аккаунт выставлен на продажу. По журналу компьютера VIP-кабины: в 20:00 в браузере была открыта поддельная копия страницы входа в «Барахолку», и сразу после в аккаунт вошли с другого устройства, сменив привязки.

⌜ ПРОТОКОЛ ⌝ Эдуард Пожарский: «Позвали — глянь, объявление в топ подняли, сядь вот тут. Я сел, просит войти — вбил логин-пароль. Упала SMS с кодом, окошко „подтвердите вход, восстановление доступа“ — код туда и вписал, как всегда. Через два часа лезу с телефона — оно меня не знает, почта чужая, брони сняли».

⌜ ПРОТОКОЛ ⌝ Журнал браузера компьютера VIP-кабины: в 20:00 открыта страница — точная копия входа в «Барахолку», но на чужом адресе-обманке (фишинг). В неё в 20:00 ввели логин, пароль и одноразовый код из SMS, всё ушло на сторонний адрес. Страницу открыли и держали наготове заранее, до 20:00; настоящую «Барахолку» с этой машины в тот вечер не открывали ни разу.

⌜ В ОДИНОЧЕСТВЕ · 20:00 ⌝Глеб Турчин был(а) одна. — источник: Сисадмин Аким, проходивший мимо кабины: «Ровно в восемь стример из кабины вышел в кухню — у него перерыв на эфире. А в кабину как раз Глеб завёл Эдуарда и прикрыл дверь. Минут десять вдвоём, потом Эдуард вышел один, а Глеб ещё сидел. Больше в восемь в кабину никто не заходил».

⌜ АЛИБИ · 20:00 ⌝Глеб Турчин находился(-ась) в локации «VIP-кабина». — источник: Сам Глеб: «Завёл Эдика в кабину, показал объявление, сел рядом, помог войти». О том, кто открывал браузер на той машине до Эдуарда: сначала «вообще к ней не подходил весь вечер», потом «заглянул проверить, готова ли кабина под турнир». Что открывал на экране, показать не смог — «закрыл, не помню».

⌜ АЛИБИ · 20:00 ⌝Тоша Кравец находился(-ась) в локации «Кухня-зона». — источник: Завсегдатай Жанна, с ноутбуком у кулера: «Стример в восемь как раз тут, в кухне-зоне, торчал — у него перерыв на эфире, минут пятнадцать точно. В кабину не возвращался, я бы видела». Время Жанна называет точно — у неё в это время был рабочий созвон.

⌜ АЛИБИ · 20:00 ⌝Лада Жмыхова находился(-ась) в локации «Геймзал». — источник: Двое юниоров и запись тренировочного стрима: «Лада в восемь вечера гоняла нас в геймзале по разбору, никуда не отходила минимум полчаса». На трансляции из геймзала Лада в кадре у доски в 20:00.

⌜ АЛИБИ · 20:00 ⌝Аким Болотов находился(-ась) в локации «Серверная». — источник: Администратор с ресепшена и журнал работ: «Аким в восемь сидел в серверной, накатывал образ, я ему туда чай носила». В журнале работ: переустановка шла с 19:50 до 20:20 без отрыва.

⌜ ВМЕСТЕ · 20:00 ⌝Жанна Кудельская и Тоша Кравец находились в одной комнате. — источник: Лог рабочего созвона Жанны и слова стримера: в 19:55–20:10 Жанна и Тоша вместе в кухне-зоне — она на голосовом созвоне по работе, он рядом на перерыве эфира. Из кухни-зоны оба не выходили, в VIP-кабину не заходил никто из них.

⌜ ПРЕДМЕТ · 20:00 ⌝Фишинговая страница «подтвердите вход — восстановление доступа» (на компьютере VIP-кабины) 🎣 видели в локации «VIP-кабина». — источник: Поддельная страница входа жила в браузере компьютера VIP-кабины. По журналу её открыли заранее, до прихода Эдуарда; в 20:00 в неё руками ввели логин, пароль и код из SMS, всё ушло на сторонний адрес. С этой машины на настоящую «Барахолку» в тот вечер не заходили — только на копию-обманку.

⌜ ПРОТОКОЛ ⌝ Сразу после 20:00 в аккаунт вошли с чужого телефона, привязали новую почту и номер. Новый номер за день до субботы оформили на знакомую Глеба Регину Очкас — его «приёмщицу» в чате перекупов. В переписке Глеба с ней накануне: «как заберу логин и свежий код — перепривяжем на твой номер, бронь снимай в тот же вечер». Объявление о продаже аккаунта выложено с устройства, раздававшего клубный вайфай с ресепшена — с рабочего места Глеба.

⌜ ПРЕДМЕТ · 19:30 ⌝Троян-стилер на клубном ПК (крадёт сохранённые пароли) 🐀 видели в локации «Геймзал». — источник: На машине в геймзале нашли троян-стилер — крадёт сохранённые в браузере пароли. Но Эдуард входил в VIP-кабине, а не в геймзале, и пароль в браузере не сохранял — вбивал руками в поддельное окно. Стилер собрал чужие игровые учётки, к аккаунту Эдуарда не притрагивался.

⌜ ПРЕДМЕТ · 19:45 ⌝Поддельная точка вайфая «Respawn_Free» (перехват трафика) 📶 видели в локации «Геймзал». — источник: Рядом с клубным вайфаем кто-то поднял точку с похожим именем «Respawn_Free» — будто перехватывать вход по воздуху. Но вход в «Барахолку» идёт по защищённому соединению: пароль в эфире не прочесть. К тому же Эдуард сидел за компьютером по кабелю, а не по вайфаю.

⌜ ПРОТОКОЛ ⌝ За день до субботы в дальнем салоне связи кто-то пытался перевыпустить SIM-карту на номер Эдуарда по доверенности (SIM-swap — перехват чужих SMS через дубликат симки). Но перевыпуск завернули, симка Эдуарда весь вечер работала в его же телефоне, и SMS с кодом упала именно ему — он сам ввёл этот код в поддельное окно в VIP-кабине (улики 2, 3, 10). Через симку код никуда не уходил; след ложный.

§ ВЫНЕСТИ ОБВИНЕНИЕ

ВзломщикВектор атакиМомент

← В архив