Щойно побачив цю кролячу нору у Twitter і не міг зупинитися читати — історія Грема Івана Кларка може бути однією з найбезглуздіших історій хакерів коли-небудь. Не через модні нуль-дні або складне шкідливе програмне забезпечення, а тому що бідний підліток із Тампи буквально... переконав людей надати йому доступ до наймогутніших акаунтів у інтернеті.

Дозвольте мені розбити, як це насправді сталося, бо психологія тут шалена.

15 липня 2020 року. Twitter вибухнув. Ілон Маск, Обама, Б Bezos, Apple, Байден — всі публікували одне й те саме: «Надішліть мені 1000 доларів у BTC і я надішлю вам 2000 доларів назад». Більшість думали, що це жарт. Не було. За кілька годин на гаманці зловмисника надійшло понад 110 000 доларів у Bitcoin. Twitter буквально вперше у світі зупинив усі перевірені акаунти глобально. А людина, яка за цим стояла? Не якась елітна російська хакерська група. Просто 17-річний з телефоном і абсолютно нульовим страхом.

Виявляється, Грем Іван Кларк не потребував бути геніальним програмістом. Він був чимось більш небезпечним — соціальним інженером.

Біографія Грема сумна. Розбитий дім у Флориді, грошей немає, перспектив теж. У той час як більшість дітей просто гралися, він уже влаштовував шахрайства всередині ігор — дружив із людьми, продавав фальшиві внутрішньоігрові предмети, зникав після оплати. Коли його спіймали, він просто зламував канали звинувачувачів і видаляв докази. До 15 років він уже приєднався до OGUsers, цього відомого форуму темного інтернету, де люди обмінюються викраденими обліковими даними соцмереж. Ніякого кодування — тільки переконання, тиск і розуміння людської психології.

У 16 років він піднявся до рівня SIM swapping. В основному, він дзвонив співробітникам телефонних компаній, переконував їх, що він — власник акаунта, і змушував перенаправляти чужий номер телефону на його пристрій. Звучить просто, так? Але ця одна хитрість дала йому доступ до електронної пошти, криптовалютних гаманців, банківських рахунків. Він уже не краде імена користувачів — він краде цілі життя. Один венчурний капіталіст, Грег Беннетт, прокинувся і побачив, що з його Bitcoin зняли понад 1 мільйон доларів. Зловмисники навіть погрожували його родині.

Гроші зробили Грема Івана Кларка безрозсудним. Він почав шахраювати навіть своїх хакерських партнерів. Вони його викрили. З’явилися у його домі. Його офлайн-життя перетворилося на зв’язки з бандами, наркоторгівлю. Хтось отримав поранення. Він втік, заявив про свою невинність і якось знову вийшов на свободу. Коли поліція нарешті обшукала його квартиру у 2019 році, вони знайшли 400 BTC — майже 4 мільйони доларів. Він домовився повернути 1 мільйон доларів і вийшов. Оскільки він був неповнолітнім, він зберіг решту. Законно. Він переміг систему.

Але він не зупинився.

До 2020 року у Грема Івана Кларка був ще один ціль — сам Twitter. Обмеження через COVID означали, що співробітники працювали з дому, входили з особистих пристроїв, були вразливими. Він і ще один підліток-співучасник просто... зателефонували співробітникам Twitter, видаючи себе за внутрішню технічну підтримку. Сказали, що потрібно скинути облікові дані. Надіслали фальшиві сторінки входу. Десятки співробітників повірили. Крок за кроком вони піднімалися по внутрішній ієрархії, доки не знайшли акаунт «Бога» — панель, яка могла скинути будь-який пароль на платформі.

Двоє підлітків. 130 найвпливовіших акаунтів світу. Повний контроль.

Твіти пішли о 20:00. Миттєвий хаос. Але ось у чому справа — вони могли б зруйнувати ринки, викласти приватні повідомлення, викликати фальшиві попередження про війну, вкрасти мільярди. Замість цього вони просто провели базову шахрайську операцію з Bitcoin. Це ніколи не було про гроші. Це було про те, щоб довести, що вони можуть контролювати мегафон інтернету будь-коли, коли захочуть.

ФБР зловило їх за два тижні, використовуючи IP-логи та повідомлення у Discord. Грем Іван Кларк зіткнувся з 30 кримінальними звинуваченнями та до 210 років ув’язнення. Але оскільки він був неповнолітнім, він відбув 3 роки у ювенальній виправній установі і був звільнений у 20 років.

Зараз він на волі. Свободний. Багатий. І, мабуть, сміється з того, що ті ж психологічні трюки, які зробили його багатим, досі заповнюють крипто-простір щодня.

Настоящий урок тут — не технічний, а психологічний. Соціальний інжиніринг все ще працює, бо люди передбачувані. Страх, жадоба, довіра, терміновість — це справжні вразливості. Грем Іван Кларк довів, що не потрібно ламати систему, якщо можна обдурити людей, які її керують. Це той хак, що справді має значення.