Hackerul Armatei Electronice Siriene din spatele tweet-ului fals AP, condamnat la 42 de luni de închisoare

O instanță federală din Statele Unite l-a condamnat pe Ahmad Umar Agha, membru al Armatei Electronice Siriene pro-Assad, cunoscut online sub pseudonimul „Th3Pr0”, la 42 de luni de închisoare. Sentința, anunțată de Departamentul de Justiție al SUA pe 29 octombrie, încheie un capitol început acum mai bine de un deceniu cu e-mailuri de phishing și culminat cu un cont Associated Press deturnat care a mișcat întregul indice Dow Jones.

Ce s-a întâmplat

Armata Electronică Siriană și-a început campania în 2011. Rețeta era simplă și eficientă: e-mailuri de phishing trimise angajaților din redacții și din alte organizații, parole colectate, apoi aceleași credențiale folosite pentru a deface site-uri, a redirecționa traficul și a prelua controlul conturilor de social media.

Cea mai cunoscută operațiune a avut loc pe 23 aprilie 2013, când grupul a preluat contul de Twitter al Associated Press și a publicat o știre falsă despre două explozii la Casa Albă în care președintele Barack Obama ar fi fost rănit. Sistemele de tranzacționare automată au reacționat în câteva secunde. Indicele Dow Jones Industrial Average a pierdut temporar aproximativ 136 de miliarde de dolari din valoare înainte ca farsa să fie demascată și piețele să își revină. Anchetatorii au legat ulterior operațiunea de Agha prin confirmarea de resetare a parolei contului AP, care a ajuns într-o căsuță Gmail folosită în principal de el. Agha s-a lăudat mai târziu că prăbușirea indicelui Dow fusese chiar scopul atacului.

În total, procurorii americani susțin că Agha a compromis în jur de 47 de instituții media occidentale, companii, organizații non-profit și instituții guvernamentale din SUA și din țări aliate. Printre celelalte operațiuni care îi sunt atribuite:

• Spargerea furnizorului de găzduire al site-ului de recrutare al U.S. Marine Corps și redirecționarea a circa 3.500 de vizitatori către o imagine care îi îndemna pe pușcașii marini să refuze ordinele și să treacă de partea armatei siriene.
• Două încercări de a prelua conturile de social media ale Casei Albe prin phishing asupra parolelor de e-mail ale angajaților. Una dintre ele a ajuns în căsuța personală a unui angajat, în iulie 2013, dar niciun cont oficial al Casei Albe nu a fost compromis.

Pagubele financiare pentru victime au fost reale. O companie care furnizează conținut, reclame și linkuri editorilor online a pierdut aproximativ 35.000 de dolari pe zi timp de circa șase luni. O organizație non-profit globală a cheltuit în jur de 480.000 de dolari după incident, inclusiv aproximativ 250.000 de dolari pe noi instrumente de monitorizare a rețelei și pe reinstruirea a peste 800 de angajați.

Drumul lung până în sala de judecată

Agha a fost pus sub acuzare pentru prima dată într-o plângere sigilată, în iunie 2014. Cazul a devenit public în martie 2016, când FBI l-a adăugat pe el și pe coinculpatul Firas Dardar pe lista Cyber's Most Wanted, cu o recompensă de 100.000 de dolari. Un mare juriu federal i-a pus sub acuzare pe amândoi în mai 2018. Agha a ajuns în custodia SUA abia la sfârșitul lui 2025 și a apărut în fața instanței federale în noiembrie același an. Dardar rămâne fugar. Un al treilea bărbat, Peter Romar, a fost extrădat din Germania și a pledat vinovat în 2016.

De remarcat că anunțul privind sentința merge mai departe cu atribuirea decât documentele anterioare. Departamentul de Justiție descrie acum conspirația ca fiind organizată și condusă de membri ai cercului apropiat al lui Bashar al-Assad, inclusiv șeful Direcției Generale de Informații a Siriei, și afirmă că grupul a strâns informații pentru un regim care a căzut în decembrie 2024. Documentele publice anterioare din dosar, inclusiv declarația sub jurământ a FBI din 2014 și anunțurile de punere sub acuzare din 2016 și 2018, descriau grupul doar ca acționând „în sprijinul” guvernului sirian. Dacă grupul era controlat direct de stat sau era un intermediar tolerat a fost multă vreme subiect de dezbatere, așa că noua caracterizare trebuie citită ca poziția actuală a acuzării, nu ca un fapt stabilit.

De ce contează

La treisprezece ani distanță, atacul asupra AP rămâne cea mai clară demonstrație a felului în care o singură parolă furată se poate transforma într-un eveniment macroeconomic. Nimic din acel atac nu a fost sofisticat tehnic. Nu a existat niciun zero-day și niciun implant malware, doar un e-mail convingător și un angajat care a dat clic. Lecția nu s-a învechit: veriga cea mai slabă din majoritatea organizațiilor rămâne o credențială refolosită sau obținută prin phishing, iar raza de impact a unui cont corporativ de social media compromis este mult mai mare decât contul în sine.

Cazul arată și cât de încet se mișcă justiția în criminalitatea cibernetică aliniată statelor. Agha a fost identificat la mai puțin de un an după atacul asupra AP, dar a rămas mai bine de un deceniu în afara razei de acțiune a autorităților, iar coinculpatul său este încă liber.

Ce este de făcut

• Securizați fiecare cont cu impact ridicat. Conturile corporative de social media, de registrar de domenii, de DNS și de administrare a e-mailului trebuie protejate cu autentificare multi-factor rezistentă la phishing, precum chei hardware sau passkeys, nu coduri prin SMS.
• Centralizați controlul conturilor de brand. Folosiți o platformă de administrare a social media, astfel încât niciun angajat să nu dețină parola principală, și revizuiți trimestrial cine are acces.
• Instruiți pentru scenariul realist. E-mailurile Armatei Electronice Siriene imitau colegi și servicii familiare. Simulările de phishing ar trebui să reflecte exact asta, nu momeli generice cu premii.
• Urmăriți scurgerile de credențiale. Parolele colectate într-un val de phishing sunt adesea vândute sau publicate cu mult înainte de a fi folosite. Să știți când credențialele angajaților voștri apar pe piețele infracționale sau pe site-uri de tip paste vă oferă o fereastră pentru a le reseta primii. Serviciul de monitorizare Deep/Dark Web de la 4tify exact asta face: supraveghează continuu sursele de scurgeri pentru domeniile și identitățile voastre și alertează înainte ca o credențială expusă să devină o preluare de cont.
• Pregătiți planul de răspuns. Stabiliți din timp cine poate bloca un cont deturnat, cine vorbește cu presa și cum semnalați postările false către platforme și parteneri.

Cifra din titlu este 136 de miliarde de dolari, dar lecția care rămâne este mult mai mică: un e-mail, o parolă, un clic.