Neįtikėtina, bet akivaizdu: vienos Šiaulių apskrities mokyklos dvyliktokas neišeidamas iš savo kambario sumaniai įsilaužė į Indijoje veikiančios tarptautinės korporacijos serverius ir sukūrė savo nelegalų verslą. Tačiau užmojai užsidirbti pasibaigė byla.

Lietuvos apeliacinis teismas neseniai padėjo galutinį tašką šioje byloje. Buvęs moksleivis Justas Vaitkus pripažintas kaltu ir nuteistas lygtiniu 8 mėnesių laisvės atėmimu. Be to, jis turės sumokėti solidžią sumą Indijos korporacijai už padarytą žalą.

Gana neįprasta istorija prasidėjo 2023-iųjų rudenį. Tuomet dar nepilnametis moksleivis J.Vaitkus, naudodamasis tėvų namuose esančiu internetu, tapatybę slepiančia VPN paslauga ir iš juodosios rinkos įsigytu programiniu kodu, nusitaikė į Indijos bendrovę „Neuroglia Health Private“.

Ši kompanija priklauso vienam didžiausių pasaulyje japonų sveikatos technologijų koncernui „M3“. Korporacija valdo itin populiarią mokymosi platformą „Marrow“ (medicinos esmė), gyvybiškai svarbią būsimiems Indijos medikams ir chirurgams, besiruošiantiems sudėtingiems egzaminams.

[[ge:lrytas:lrytas:43719409]]

Platformoje yra apie 700 valandų trukmės paskaitų ir 261 testas. Oficiali metinė jos prenumerata kainuoja per 400 eurų. Daugeliui Indijos studentų tai – didžiuliai pinigai.

Jaunasis lietuvis įsilaužėlis meistriškai apėjo informacines apsaugos sistemas, pašalino autorines teises saugančius vadinamuosius vandens ženklus ir į savo kompiuterio kietuosius diskus parsisiuntė per 1000 aukštos kokybės medicininių vaizdo paskaitų.

[[ge:lrytas:lrytas:43387956]][[ge:lrytas:lrytas:43392520]][[ge:lrytas:lrytas:43387592]]

Ilgai nelaukęs paauglys pradėjo savo nelegalų verslą. Sukūręs uždarus kanalus socialiniame tinkle „Telegram“ jis vogtą medžiagą ėmė siūlyti Indijos studentams už simbolinę kainą – nuo 4 iki 30 eurų.

Žinia sklido žaibiškai, o moksleivio kišenės pasipildė pirmaisiais šimtais eurų.

„Bendraudamas internete susipažinau su vaikinu, pasivadinusiu Zoro.

Jis man papasakojo, kad skurdžiai gyvenantys Indijos medicinos studentai sunkiai gali įpirkti „Marrow“, be kurios baigti bakalauro studijų faktiškai neįmanoma“, – vėliau teisme pasakojo J.Vaitkus.

Vaikinas teigė, kad tuomet jam ir kilo mintis padėti Indijos studentams, o sykiu ir pačiam šiek tiek užsidirbti.

Vietoj taikos – šantažas

Indijos kompanija greitai pastebėjo, kad jos intelektinė nuosavybė masiškai ir nelegaliai plinta internete.

Tačiau įmonės atstovai iš pradžių pasirinko ne karo, o diplomatijos kelią. Jie susisiekė su paslaptingu programišiumi ir pasiūlė jam dalyvauti oficialioje klaidų atlyginimo programoje.

Lietuviui buvo siūloma legali kompensacija mainais į tai, kad jis atskleistų saugumo spragas ir nutrauktų nelegalią veiklą.

Tačiau jaunuolis pasijuto padėties šeimininkas ir šio viliojančio pasiūlymo atsisakė.

Maža to, jis griebėsi atviro šantažo. Iš pradžių programišius pareikalavo jam į bitkoinų piniginę pervesti 500 tūkst. rupijų (apie 5,5 tūkst. eurų). Korporacijai nesutikus moksleivio apetitas išaugo – jis panoro 25 000 JAV dolerių, o galiausiai suma pasiekė beveik 30 000 eurų.

Jei negautų reikalaujamų pinigų, vaikinas pagrasino juodojoje rinkoje parduoti arba nemokamai paviešinti visą platformos vartotojų duomenų bazę: jautrius asmens duomenis, el.pašto adresus bei prisijungimo slaptažodžius.

Agentas apsimetė studentu

Supratusi, kad gražiuoju susitarti nepavyks, Indijos įmonė metė didžiulius resursus į kovą su Lietuvos moksleiviu.

Bendrovė pasamdė specializuotas kibernetinio saugumo ir interneto turinio šalinimo agentūras, kurios nuolat medžiojo ir trynė lietuvio kuriamus nelegalaus turinio kanalus. Teigiama, jog vien šis interneto valymas korporacijai atsiėjo beveik 24 000 eurų.

Tuo pat metu įmonė paspendė spąstus. Vienas Indijos korporacijos atstovų, apsimetęs eiliniu medicinos studentu, infiltravosi į J.Vaitkaus administruojamą „Telegram“ grupę. Nors įtarus lietuvis ir reikalavo naujoko pateikti įrodymus – universiteto studento pažymėjimą, agentui pavyko įsilieti į pirkėjų gretas ir surinkti daug tyrimui reikalingų įrodymų.

Tuomet Indijos bendrovės specialistai pasamdė Lietuvos advokatą Mindaugą Bliuvą, buvusį prokurorą. Jis toliau tęsė tyrimą ir surinko daug papildomų duomenų.

Kai visas įrodymų paketas buvo parengtas, advokatas jį perdavė policijai. Pareiškime buvo nurodyta, kas konkrečiai įvykdė nusikaltimą, pateiktas konkretus IP adresas, iš kurio buvo jungtasi, taip pat perduoti vaizdo įrašai ir kiti kaltę pagrindžiantys įrodymai.

Pareiškimą perskaitę pareigūnai net žagtelėjo – viskas jiems buvo sudėta ant lėkštutės. Nieko daugiau nereikėjo daryti, tik važiuoti tiesiai į įtariamojo namus ir uždėti jam antrankius.

Atlikę kratą moksleivio tėvų namuose pareigūnai surado visus likusius įkalčius.

Paties vaikino iš atskirų detalių surinktame kompiuteryje liko visa informacija, kaip jis įsilaužė į Indijos bendrovę. Be to, ir pats vaikinas nieko neslėpė. Jis prisipažino įvykdęs nusikaltimą ir smulkiai papasakojo, kaip apėjo tarptautinės korporacijos saugos sistemas.

Pasiūlymą atmetė

Netrukus Indijos bendrovė lietuviui pateikė pasiūlymą – jei padės ištaisyti spragas ir sumokės 20 000 eurų, daugiau jokių pretenzijų jam nereikš. Tačiau vaikinui ir tai buvo per dideli pinigai, tiek sumokėti neišgalėjo ir jo tėvai.

Ikiteisminis tyrimas buvo greitai baigtas ir byla perduota Šiaulių apygardos teismui.

Pirmosios instancijos teismas pripažino J.Vaitkų kaltu dėl neteisėto prisijungimo prie informacinės sistemos, intelektinės nuosavybės vagystės, platinimo bei turto prievartavimo. Kadangi vaikinas nusikalto būdamas nepilnametis ir dar mokėsi, teismas skyrė jam lygtinę 8 mėnesių laisvės atėmimo bausmę.

Tačiau finansinis smūgis buvo negailestingas: teismas priteisė jaunuoliui atlyginti beveik 60 000 eurų turtinės žalos ir padengti 9000 eurų išlaidas advokatui.

[[ge:lrytas:lrytas:43742517]]

Priteista suma galėjo būti dar didesnė, nes Indijos bendrovė advokato M.Bliuvo kontorai „Cobalt“ iš viso buvo sumokėjusi beveik 30 tūkstančių eurų. Tačiau, teismo nuomone, kai kurios sąskaitos buvo išpūstos. Pavyzdžiui, vien už tai, kad advokatas pabendravo su tyrėju, indai mokėjo 200 eurų.

Buhalterijos pamoka

Nenorėdamas suaugusiųjų gyvenimo pradėti su tokia skola vaikinas nuosprendį apskundė Lietuvos apeliaciniam teismui.

Nuteistojo pagrindinis argumentas skambėjo logiškai: tie neturtingi Indijos studentai, kurie iš jo pirko pavogtas paskaitas už kelis eurus, niekada nebūtų jų įpirkę už oficialią 400 eurų kainą. Todėl įmonė esą realiai neprarado 35 000 eurų pajamų.

Nors teismas šį savotišką „Robino Hudo“ argumentą atmetė, teisėjų kolegija atliko įdomų buhalterijos tyrimą.

Teismas pastebėjo kuriozišką detalę: iš 89 asmenų, įsigijusių vogtą medžiagą „Telegram“ grupėje, vienas buvo pats korporacijos agentas po priedanga.

Vadinasi, materiali žala galėjo būti padaryta pardavus turinį tik 88 asmenims, o ne 89, kaip buvo teigiama kaltinamajame akte.

Be to, teismas priminė, kad prarastos pajamos reiškia grynąjį pelną, o ne bendrą apyvartą.

Apeliacinis teismas privertė Indijos įmonę pateikti detalius buhalterinius skaičiavimus.

Paaiškėjo, kad nuo teorinių 35 tūkst. eurų pajamų atėmus įmonės veiklos sąnaudas ir Indijos valstybei mokamus mokesčius, realus korporacijos negautas grynasis pelnas tėra 7637 eurai.

Pritaikęs šią mokestinę matematiką Apeliacinis teismas drastiškai sumažino jaunuoliui priteistą sumą, atimdamas ir tuos 500 eurų, kuriuos paauglys jau buvo savanoriškai atlyginęs tyrimo metu.

Nepaisant to, J.Vaitkus privalės atlyginti 31 080 eurų turtinę žalą ir sumokėti 9000 eurų už advokato M.Bliuvo darbą. Taigi iš viso ši paauglystės avantiūra dabar jau 19- mečiam vaikinui atsieis per 40 tūkstančių eurų.

[[ge:lrytas:lrytas:43738410]]

Teisme jaunuolis tikino nuoširdžiai besigailintis dėl savo godumo. Būdamas neabejotinai talentingas informacinių technologijų (IT) srityje jis teigė sieksiantis ateityje savo įgūdžius naudoti legaliai ir galbūt prisidėti prie Lietuvos kibernetinio saugumo gerinimo.

Į priekį vedė smalsumas

J.Vaitkaus teisme pasakyta kalba, kad jis sieks savo žinias panaudoti Lietuvos labui, pasirodo, buvo ne iš piršto laužta.

Dar vykstant teismo procesui vaikinas buvo susidomėjęs Žemės ūkio ministerijos duomenų centro skelbimu, kad ieškomas kibernetinio saugumo vadovas. Į šį skelbimą sureagavo ir J.Vaitkus, parašęs: „Geras, tik turbūt su teistumu kibernetiniu nepriimat.“

Šioje ministerijoje J.Vaitkus nepradėjo dirbti, tačiau įsiliejo į Vilniuje veikiančią kibernetinio saugumo ir IT konsultacijų grupę „Thalnor“.

Ją sudaro asmenys, kurie praeityje buvo nelegalūs įsilaužėliai, o dabar savo žinias siekia panaudoti kibernetiniam saugumui užtikrinti.

Savo praeities nebeslepia ir J.Vaitkus, kuris sutiko atsakyti į „Lietuvos ryto“ klausimus.

– Kaip susidomėjote kompiuteriniais dalykais, kibernetiniu saugumu, kas buvo jūsų mokytojai? Ar turite savo programišiaus idealą? Kokiu savo laimėjimu kompiuterijos srityje labiausiai didžiuojatės?

– Kompiuteriniais dalykais susidomėjau dar vaikystėje. Nuo mažens praleisdavau prie kompiuterio itin daug laiko ir palaipsniui šis susidomėjimas virto kažkuo gilesniu – pradėjo traukti tai, kas vyksta „už uždangos“: kaip veikia serveriai, kaip sudarytos sistemos, kokia logika slypi už kiekvieno mygtuko ar programos.

Būtent iš šio smalsumo atsirado noras susikurti savo pirmąjį internetinį forumą.

Žaisdavau įvairius mobiliuosius žaidimus ir norėdavosi rasti greitesnių bei paprastesnių būdų tikslui pasiekti. Ieškodamas tokių sprendimų netiesiogiai mokiausi analitinio mąstymo, kuris vėliau labai pravertė.

Kibernetinis saugumas į mano gyvenimą atėjo savaime. Netyčia užtikau forumą, skirtą programišiams. Ten žmonės atvirai dalydavosi savo metodais, patirtimi ir informacija. Tai ir tapo atspirties tašku.

Formalaus mokytojo neturėjau – beveik visko išmokau savarankiškai, bandymų ir klaidų būdu. Aišku, padėjo įvairaus turinio kūrėjų medžiaga internete.

Konkretaus vieno idealo neturiu. Tačiau žmogus, kuris man kelia didžiausią pagarbą, yra tas, kuris pasižymi neribotu smalsumu, tiki laisvos informacijos idėja ir sugeba rasti kūrybiškus sprendimus ten, kur dauguma mato tik neįveikiamą kliūtį.

Kalbant apie laimėjimus – man sunku išskirti vieną dalyką, kuriuo galėčiau ypač didžiuotis. Greičiau vertinu patį procesą – nuolatinį mokymąsi ir gebėjimą prisitaikyti prie naujų iššūkių.

– Byloje rašoma, kad savo kompiuterį surinkote iš atskirų detalių. Kaip to išmokote? Ar tai buvo pirmas jūsų surinktas kompiuteris?

– Mano atveju viskas prasidėjo nuo paprasto poreikio – norėjau galingesnio, greitesnio kompiuterio, kuris atlaikytų didesnius krūvius.

Pradėjau nuodugniai nagrinėti atskirus komponentus. Didžiąją dalį žinių sėmiausi iš mokomosios medžiagos internete.

Vėliau ne kartą teko remontuoti kompiuterius savo pažįstamiems ar jų šeimos nariams.

Būtent šis praktinis darbas prisidėjo prie gilesnio techninio mąstymo formavimosi – išmokau ne tiktai surinkti sistemą, bet ir savarankiškai diagnozuoti ir spręsti problemas.

Tai nebuvo pirmasis mano surinktas kompiuteris. Iki jo jau buvau įgijęs nemažai praktinės patirties.

[[ge:lrytas:lrytas:43738409]]

– Ar įėjęs į kokios nors rimtos įstaigos svetainę iš karto galite pastebėti jos kibernetinio saugumo trūkumus? Ar, jūsų nuomone, Lietuvos strateginės įmonės įsilaužimo atžvilgiu yra saugios? Ar galėtumėte duoti joms patarimų? Ar galėtumėte įsilaužti, pavyzdžiui, į Vidaus reikalų ministerijos (VRM) duomenų bazes?

– Ne, ne visada. Kalbant apie valstybines arba kitas rimtas įstaigas, vien apžiūrėjęs svetainę iš išorės pažeidžiamumų dažniausiai nepastebėsi.

Šiuolaikinės svetainės kuriamos laikantis nemažai saugumo standartų. Norint iš tikrųjų įvertinti saugumą, reikėtų specializuotų techninių įrankių. Vis dėlto egzistuoja ir kita tikrovė – pasitaiko svetainių, kurios yra retai atnaujinamos. Tokiais atvejais teoriškai galima aptikti tam tikrų trūkumų.

Žinau, kad Lietuvoje yra programišių bendruomenės narių, kurie aptikę pažeidžiamumų valstybinėse ar strateginėse sistemose tai atsakingai perduoda Nacionaliniam kibernetinio saugumo centrui, bet nenaudoja piktavališkai. Man pačiam yra tekę taip elgtis.

Mano subjektyvia nuomone, Lietuvos valstybinių įstaigų svetainės apskritai yra gana neblogai apsaugotos. Rekomenduočiau institucijoms griežčiau laikytis vidinių saugumo protokolų ir reguliariai atlikti nepriklausomus saugumo auditus.

Įsilaužti į tokias sistemas kaip VRM duomenų bazės niekada nesu bandęs ir savo iniciatyva neplanuoju bandyti, nes tai būtų aiškiai neteisėta veika.

– Ar buvo netikėta, kai, įsilaužus į Indijos bendrovės platformą, jūsų tėvų namuose apsilankė pareigūnai? Kaip jie elgėsi, ar buvo mandagūs? Ar jie patys ką nors išmanė apie IT?

– Tai nebuvo visiškai netikėta. Tam tikra prasme pats jaučiau, kad panašus scenarijus anksčiau ar vėliau gali įvykti. Visi žmonės klysta, o programišiai tikrai nėra išimtis – bet koks veiksmas tinkle palieka pėdsaką ir anksčiau ar vėliau jį galima atsekti.

Tyrėjas, kuris atvyko, elgėsi mandagiai ir profesionaliai. Jokių didesnių konfliktų nekilo, viskas vyko ramiai ir tvarkingai. Galiu patvirtinti, kad tyrėjas tikrai gerai išmanė informacines technologijas, – tai buvo aiškiai matoma iš klausimų.

– Siūlėte Indijos kompanijai, kad priteistą ieškinį galėtumėte atlyginti jiems dirbdamas. Ar jie svarstė tokį pasiūlymą?

– Mano pasiūlymą kompanija atmetė ir nesvarstė jo rimtai. Nepaisydamas to, ir šiandien tokio pasiūlymo neatsisakyčiau.

Per tą laiką aš pats gerokai pasikeičiau, todėl jokio priešiškumo ar neigiamų jausmų tai kompanijai nejaučiu. Esu pasiruošęs prisidėti ir atlyginti tai, kas buvo padaryta, konstruktyviu būdu.

– Ar bylos nagrinėjimo metu kas nors pasiūlė įsidarbinti?

– Ne. Šiuo metu pats aktyviai ieškau darbo informacinių technologijų srityje, bet Lietuvos IT darbo rinka dabar yra gerokai perpildyta.

Darbdaviai dažniausiai kelia gana aukštus reikalavimus – ieškoma patyrusių žmonių, su formaliais sertifikatais, o jaunam specialistui tai gali būti sunkiai pasiekiama.

Būtų išties malonu ir naudinga, jei kas nors susisiektų su konkrečiu pasiūlymu.

– Apie „Thalnor“ rašoma, kad tai yra grupė buvusių juodųjų programišių, kurie dabar yra nusprendę savo žinias panaudoti visuomenės labui. Papasakokite apie šią grupę daugiau, gal kokių gerų darbų esate nuveikę?

– Panašu, kad radote gerokai pasenusį aprašymą, nes nuo tada mūsų kryptis pasikeitė iš esmės.

Iš pradžių „Thalnor“ veikė kaip kibernetinio saugumo konsultacijų grupė, tačiau pastaruoju metu perorientavome veiklą į fizinių prietaisų kūrimą ir gamybą. Šie prietaisai bus skirti padėti organizacijų darbuotojams apsisaugoti nuo tokių grėsmių kaip tikslinis sukčiavimas bei kitos panašios socialinės inžinerijos atakos.

Idėja kilo iš supratimo, kad didžiausia daugelio organizacijų silpnoji vieta – ne technologijos, o žmogiškasis faktorius.

Šiuo metu kuriame produktą, todėl kaip tik aktyviai ieškome investicijų, kurios leistų mums šį projektą plėtoti toliau.

Lietuvis moksleivis atskleidė, kaip apšvarino galingą Indijos kompaniją: nuskambėjo visame pasaulyje