Владимир Левин: История взлома Citibank и экстрадиции из России

Введение

Владимир Леонидович Левин (Владимир Леонидович Левин) — россиянин, получивший известность благодаря участию в хакерской попытке мошенническим путем перевести 10,7 миллиона долларов США через компьютеры Citibank.

Общеизвестная история

В то время средства массовой информации утверждали, что он был математиком и имел степень по биохимии, полученную в Санкт-Петербургском государственном технологическом институте. Согласно сообщениям в прессе, в 1994 году Левин получил доступ к счетам нескольких крупных корпоративных клиентов Citibank через их систему телефонных денежных переводов (Financial Institutions Citibank Cash Manager) и перевел средства на счета, открытые его сообщниками в Финляндии, Соединенных Штатах, Нидерландах, Германии и Израиле. Трое его сообщников были арестованы при попытке снять деньги в Тель-Авиве, Роттердаме и Сан-Франциско. Допрос сообщников привел следствие к Левину, который в то время работал программистом в петербургской компьютерной компании AO Saturn. Однако Конституция России запрещает экстрадицию своих граждан в иностранные государства. В марте 1995 года Левина выманили в Лондон и задержали в аэропорту Станстед сотрудниками Скотланд-Ярда во время пересадки рейса из Москвы. Адвокаты Левина боролись против экстрадиции в США, но их апелляция была отклонена Палатой лордов в июне 1997 года. В сентябре 1997 года Левин был передан американским властям и предстал перед судом в Окружном суде США по Южному округу Нью-Йорка. В рамках соглашения о признании вины он признал себя виновным лишь по одному пункту обвинения – в сговоре с целью мошенничества, а также в краже 3,7 миллиона долларов США. В феврале 1998 года он был признан виновным и приговорен к трем годам тюремного заключения, а также к выплате компенсации в размере 240 015 долларов США. Citibank заявил, что удалось вернуть все украденные средства, за исключением 400 000 долларов из похищенных 10,7 миллиона долларов. После взлома их системы Citibank обновил ее, внедрив карту динамического шифрования – физический токен аутентификации. Однако не было раскрыто, каким образом Левин получил доступ к данным для доступа к счетам. После его ареста в 1995 году анонимные члены хакерских группировок, базирующихся в Санкт-Петербурге, утверждали, что Левин не обладал техническими навыками, необходимыми для взлома систем Citibank, что они обеспечили доступ к системам, находящимся глубоко внутри банковской сети, и что эти данные доступа были проданы Левину за 100 долларов.

At the time, the mass media claimed he was a mathematician and had a degree in biochemistry from Saint Petersburg State Institute of Technology. According to the coverage, in 1994 Levin accessed the accounts of several large corporate customers of Citibank via their dial up wire transfer service (Financial Institutions Citibank Cash Manager) and transferred funds to accounts set up by accomplices in Finland, the United States, the Netherlands, Germany and Israel. Three of his accomplices were arrested attempting to withdraw funds in Tel Aviv, Rotterdam and San Francisco. Interrogation of his accomplices directed investigations to Levin, then working as a computer programmer for St. Petersburg based computer company AO Saturn. However, Russia's Constitution prohibits extradition of its citizens to foreign countries. In March 1995 Levin was lured to London and apprehended at London's Stansted Airport by Scotland Yard officers when making an interconnecting flight from Moscow. Levin's lawyers fought against extradition to the U. S., but their appeal was rejected by the House of Lords in June 1997. Levin was delivered into U. S. custody in September 1997, and was tried in the United States District Court for the Southern District of New York. In his plea agreement he admitted to only one count of conspiracy to defraud, and to stealing US$3.7 million. In February 1998 he was convicted and sentenced to three years in jail, and ordered to make restitution of US$240,015. Citibank claimed that all but US$400,000 of the stolen US$10.7 million had been recovered. After the compromise of their system, Citibank updated their systems to use Dynamic Encryption Card, a physical authentication token. However, it was not revealed how Levin had gained access to the relevant account access details. Following his arrest in 1995, anonymous members of hacking groups based in St. Petersburg claimed that Levin did not have the technical abilities to break into Citibank's systems, that they had cultivated access to systems deep within the bank's network, and that these access details had been sold to Levin for $100.

Откровение спустя десять лет

В 2005 году предполагаемый член бывшей петербургской хакерской группы, заявляя, что он был одним из первых, кто проник в Citibank, опубликовал под именем ArkanoiD меморандум на популярном сайте Provider.net.ru, посвященном рынку телекоммуникаций. По его словам, Левин на самом деле не был ученым (математиком, биологом или подобным), а скорее обычным системным администратором, которому удалось получить готовые данные о том, как проникнуть в системы Citibank и затем их эксплуатировать. ArkanoiD подчеркнул, что вся коммуникация осуществлялась по сети X.25, и Интернет в этом не участвовал. Группа ArkanoiD в 1994 году выяснила, что системы Citibank не защищены, и потратила несколько недель на удаленное изучение структуры банковских сетей в США. Члены группы экспериментировали с системными инструментами (например, устанавливали и запускали игры) и оставались незамеченными сотрудниками банка. Проникновение не планировалось с целью ограбления из соображений личной безопасности, и в какой-то момент было прекращено. Один из участников позже передал Левину ключевые данные доступа (согласно сообщениям, за 100 долларов).