Экс-вице-президент IBM обвинил компанию в сокрытии трёх взломов иностранными хакерами

Иск бывшего вице-президента IBM по киберразведке Уильяма Барлоу, поданный ещё в 2020 году и рассекреченный на этой неделе, ставит под сомнение репутацию одного из крупнейших поставщиков кибербезопасности для федерального правительства США. Барлоу утверждает, что в период с 2013 по 2016 год китайская хакерская группировка APT 10 взломала корпоративную сеть IBM, а компания намеренно скрыла факты взломов — ни от регуляторов, ни от государственных заказчиков информация так и не поступила.

Первой о судебном иске сообщила редакция Bloomberg. TechCrunch связался с IBM за комментарием, однако пресс-секретарь компании Мики Карвер уклонился от ответов на конкретные вопросы, ограничившись заявлением: «Этот иск был подан шесть лет назад, и Министерство юстиции США отказалось вмешиваться. IBM уверена, что наши действия соответствовали букве закона».

Кто такие APT 10 и как они проникли в IBM

APT 10 — хакерская группировка, связанная с китайским правительством. В 2018 году тогдашний директор ФБР Кристофер Рэй назвал её жертв «кто есть кто» мировой экономики, когда члены группы были преданы суду. По версии Барлоу, злоумышленники получили доступ не только к внутренней сети IBM, но и к данным, которые компания хранила совместно с AT&T.

В марте 2017 года разведывательные службы стран альянса Five Eyes — Австралии, Канады, Новой Зеландии, США и Великобритании — предупредили IBM о факте взлома. Это спровоцировало внутреннее расследование. Его результаты оказались удручающими: APT 10 потенциально проникала в сеть компании более 56 000 раз за трёхлетний период. При этом IBM заявила, что не может провести полноценное расследование — компания попросту не вела журналы доступа к сети, хотя это базовая практика информационной безопасности.

В тексте иска приводится выдержка из внутреннего отчёта IBM: злоумышленники скомпрометировали около 400 учётных записей и получили доступ к почти 200 системам и серверам во всех бизнес-подразделениях компании, охватив 18 стран и несколько продуктовых линеек. Четыре сервера были взломаны непосредственно в ходе кампании APT 10.

Дочерние компании и молчание перед клиентами

Помимо атак на корпоративную сеть, Барлоу указывает на взломы двух дочерних структур IBM. Первая — Trusteer, стартап в области кибербезопасности, приобретённый IBM в 2013 году: по словам истца, он был взломан в 2018 году. Вторая — Truven, стартап в сфере медицинских данных, купленный IBM в 2016 году: Барлоу утверждает, что после поглощения компания подвергалась взломам неоднократно. В обоих случаях IBM якобы не провела надлежащего расследования и не раскрыла информацию.

Адвокат Барлоу Джейсон Браун прокомментировал ситуацию жёстко: «Нельзя продавать кибербезопасность федеральному правительству, имея при этом подобные проблемы с безопасностью внутри собственной компании». По его словам, юридическая команда намерена «агрессивно отстаивать позицию в суде».

IBM занимает одно из ключевых мест среди поставщиков ИТ-решений для американских федеральных структур. Именно этот статус делает обвинения особенно болезненными: если факты подтвердятся, речь идёт не просто о корпоративном скандале, а о системном провале в защите государственной инфраструктуры.

Почему это важно за пределами США

История IBM наглядно демонстрирует: даже крупнейшие технологические корпорации с многомиллиардными бюджетами на безопасность могут годами скрывать инциденты. Иск был подан в 2020 году — спустя несколько лет после самих взломов — и рассекречен лишь сейчас. Это означает, что реальная картина угроз в отрасли может существенно отличаться от публично признанной.

Для белорусского IT-сектора этот кейс актуален сразу в нескольких измерениях. Компании-резиденты ПВТ, работающие с зарубежными корпоративными клиентами или государственными структурами, нередко берут на себя обязательства по информационной безопасности и уведомлению об инцидентах. Европейский регламент GDPR и ряд других юрисдикций, в которых работают белорусские аутсорсеры, предусматривают жёсткие сроки раскрытия данных о взломах — как правило, 72 часа. Молчание, которое инкриминируют IBM, в этих регуляторных рамках обошлось бы несравнимо дороже.

В последние годы сразу несколько стран ужесточили законодательство об обязательном раскрытии информации об утечках. США не стали исключением: именно для борьбы с подобными случаями замалчивания были приняты новые нормы об уведомлении о взломах. Дело Барлоу — живое свидетельство того, насколько долго компании могут уходить от ответственности при отсутствии эффективного контроля.

— По материалам TechCrunch: оригинальная статья. Перевод и адаптация — редакция Digital Business.