来QCon北京,现场感受“纯血鸿蒙”的魅力!席位有限,抓紧报名 了解详情
写点什么

因低薪、高强度工作感到被公司“虐待”,一程序员跳槽前炮制惊天数据窃取案,勒索上千万终获刑

  • 2023-05-12
    北京
  • 本文字数:2400 字

    阅读完需:约 8 分钟

因低薪、高强度工作感到被公司“虐待”,一程序员跳槽前炮制惊天数据窃取案,勒索上千万终获刑

该名工程师试图将这次黑客攻击解释成“未经批准的安全演习”。


日前,一名前 Ubiquiti 工程师 Nickolas Sharp 在纽约法院承认自己窃取了数十 GB 机密数据并要求前雇主支付 190 万美元(约 1320 万元人民币)赎金,最终在要求被拒绝后愤然将数据公开。根据案情,院方决定对其判处六年徒刑。


Ubiquiti Networks(优比快科技有限公司,是一家于 2003 年在美国硅谷成立的高科技跨国公司(美国纳斯达克上市股票代码:UBNT)。公司主要为边远地区和新兴地区提供无线通讯产品。


一高级工程师盗窃数据,并向雇主勒索近 200 万美元


彭博社报道称,Sharp 向美国地方法官 Katherine Polk Failla 强调,这次网络攻击实际只是“未经批准的安全演习” ,目的是让 Ubiquiti 成为“对自身和客户而言都安全的地方”。


从法庭文件来看,Sharp 声称,Ubiquiti 公司 CEO Robert Pera 不允许他“解决已经非常严重的安全问题”。Sharp 告诉法官,他做出这些“愚蠢且过激的举动”完全为了修复这些安全漏洞。


但即使 Sharp 的出发点确实如此,法官 Failla 仍拒绝将此作为罪行的辩护理由,毕竟被告的电汇欺诈、故意入侵受保护计算机和向 FBI 说谎等行为很难做出合理的解释。


Failla 法官认为,“即使在这种情况下,Sharp 先生也无权扮演上帝的角色。”


美国纽约南区检察官 Damian Williams 也宣称,Sharp 并非“网络安全义警”,而是“顽固的说谎者和数据大盗”,他“故意向法院说谎,坚称整个罪行只是一次出了偏差的安全演习。”


Williams 坚持认为,Sharp 做出了“几十个、甚至上百个犯罪决定”,还牵连无辜同事帮助自己“洗脱嫌疑”。Sharp 在宣判前也已承认,这次网络攻击就是出于“经济利益”而策划。


因此在 Williams 看来,Sharp 的行为似乎 “单纯出于贪婪”和自负,理由是高强度工作和有限的薪酬让 Sharp“感到自己被公司虐待”。


法庭文件显示,Ubiquiti 公司投入了“远超 150 万美元的资金和数百小时的员工/咨询工时”,为的就是对 Williams 口中的“惊天”数据劫案施以补救。


但为了掩盖自己的罪行,Sharp 通过一系列手段放大了公司损失——包括冒充举报人、编造虚假媒体报道,甚至联系美国和国外监管机构调查 Ubiquiti 是否存在故意淡化数据泄露的行为。法庭文件显示,在 Sharp 编造虚假报告的一天之内,Ubiquiti 公司股价暴跌,市值损失一度超过 40 亿美元。


Ubiquiti 公司和 Sharp 的辩护律师 Matthew Myers 均未就此事回应置评请求。


Williams 曾向院方要求判处 8 至 10 年有期徒刑,理由是任何再短的刑期都会被公众理解为“轻判”。但从最终结果看,Sharp 只需要入狱 6 年,并没有达到检方的最初目标。但在新闻稿中,Williams 还是强调这一判决是对 Sharp“无情罪行”的“严厉惩罚”。


Williams 在量刑备忘录中写道,“他对雇主抱有不满,打算离开公司,意图在离开前勒索数百万美元并造成巨额损失。”

因互联网短暂中断而被捕


在量刑备忘录中,Williams 提到 Sharp 坚持将此次网络攻击解释成安全演习,但这种说法与他 2021 年 12 月被捕时的情况有所冲突。


从当时的时间线来看,Sharp 似乎在刻意隐瞒自己盗窃数据、向 Ubiquiti 勒索近 200 万美元的邪恶计划。


Sharp 从 2018 年起担任 Ubiquiti 公司高级软件工程师兼云负责人,年薪 25 万美元,工作内容包括软件开发和云基础设施安全。


在工作约两年之后,Sharp 于 2020 年 7 月购买了 Surfshark 的 VPN 服务,之后似乎开始考虑跳槽。2020 年 12 月 9 日,他已经拿到新 offer,次日开始用自己的 Ubiquiti 安全凭证尝试复制公司的数据仓库,同时配合 Surfshark 掩盖自己的真实 IP 地址。


不到两周后,Sharp 的计划基本完成,只是期间发生了一点预料之外的“失误”。在复制了约 155 个数据仓库之后,偶发的互联网中断导致他的 VPN 暂时失效。


在互联网服务恢复之后,Ubiquiti 在 Sharp 毫不知情的情况下记录了未及时得到 VPN 保护的家庭 IP 地址。


两天之后,Sharp 大胆向一位高级网络安全员工咨询,称如果他向公司的 HackerOne 漏洞奖励计划提交漏洞,能不能同样拿到报酬。法庭文件认为此举非常可疑。


而且直到 2020 年 12 月 26 日,Sharp 仍未意识到自己行动中的“瑕疵”,继续用 Surfshark 访问公司数据,在一天之内就删除了自己的活动证据,并修改记录使得他在攻击期间用到的凭证似乎是由其他同事所使用。


2020 年 12 月 28 日,直到其他员工发现了攻击证据,Sharp 才最终停止访问数据。Sharp 似乎对自己的计划信心满满,甚至在 2021 年 1 月 7 日发出勒索邮件前加入了公司的攻击调查团队。


Ubiquiti 决定不支付赎金,而是让 FBI 介入调查。不久之后,Sharp 的失误被发现,FBI 根据家庭 IP 盯上了他。期间,Sharp 坚称攻击者登录他的家庭 IP 是想栽赃,并告诉同事“如果我在请求、下载和上传数据时还能留下自己的 IP,那我也太废物了”,堪称“有史以来最差劲的掩饰行为”。


在 FBI 分析 Sharp 的工作设备时,此人擦除并重置了自己在攻击中使用的笔记本电脑,但却偷偷把机器带回了家中。2021 年 3 月,FBI 在搜查中没收了作案设备。


在 FBI 开展搜查之后,Sharp 开始冒充举报人,联系记者和监管机构谎称 Ubiquiti 的公开披露和对网络攻击的反应都不够充分。他说该公司存在客户欺骗,还故意淡化了违规事件的严重性,实际上此事已经引发“灾难性”后果。Williams 在量型备忘录中认为,自始至终,Sharp 都很清楚这次攻击是利用他自己的员工凭证完成的。


在 Williams 看来,“这绝不是针对开放漏洞的黑客攻击。Sharp 是在利用公司合法委托给他的凭证来窃取数据,并尝试掩盖自己的行踪。”


“Sharp 始终坚信自己的老练和狡猾能帮助他骗过他人、掩盖罪行。”


Sharp“提出的陈述”称他所犯下的罪行只是一次偏离轨道的安全演习,检方“严重怀疑”Sharp 是否“真的在为自己的罪行承担责任”。


Williams 在新闻稿中做出总结,“Nickolas Sharp 每年领取近 25 万美元的报酬,负责帮助雇主保持安全。然而,他勒索雇主、妨碍执法、散布虚假新闻、伤害公司自身和投资方的利益。 Sharp 如今因其无情罪行而面临着严厉惩罚。”


原文链接:


https://arstechnica.com/tech-policy/2023/05/ex-ubiquiti-engineer-behind-breathtaking-data-theft-gets-6-year-prison-term/

公众号推荐:

2024 年 1 月,InfoQ 研究中心重磅发布《大语言模型综合能力测评报告 2024》,揭示了 10 个大模型在语义理解、文学创作、知识问答等领域的卓越表现。ChatGPT-4、文心一言等领先模型在编程、逻辑推理等方面展现出惊人的进步,预示着大模型将在 2024 年迎来更广泛的应用和创新。关注公众号「AI 前线」,回复「大模型报告」免费获取电子版研究报告。

AI 前线公众号
2023-05-12 11:568306
用户头像
刘燕 InfoQ高级技术编辑

发布了 1112 篇内容, 共 491.7 次阅读, 收获喜欢 1966 次。

关注

评论

发布
暂无评论
发现更多内容

辗转相除法求最大公约数(C语言实现)

InfoQ_3f366696ed0c

C语言

Apache Pulsar 社区周报:08-08 ~ 08-14

Apache Pulsar

Apache Apache Pulsar 消息系统

区块链在新冠病毒爆发中将加速发展

CECBC

区块链技术 供应链 食品追溯

对于结果不同程度的追求,决定了这个人的身价

非著名程序员

程序员 个人成长 思维模型 结果思维

Week 11 学习总结

Jeremy

局域网文件共享

冰糖雪梨多冰少糖

局域网共享 iPad air3 文件传输

特性预览:Apache 顶级项目 Apache Pulsar 2.6.1 版本即将发布

Apache Pulsar

Apache Apache Pulsar 消息系统

免费开源看板软件Wekan安装与使用记录

emuqi

Docker 效率工具 wekan 看板 任务管理

CentOS7 开启3306端口

暴躁小李K

Centos 7 Firewalld防火墙 Liunx

数据库快速迁移10亿级数据

架构师修行之路

高并发系统设计 数据库优化

Python中的bytes、str以及unicode区别

王坤祥

Python Python PEP

公司想要大龄程序员么?

escray

学习 面试

究竟要找什么样的工作?

escray

学习 面试

用python给女朋友做一个歌曲词云图

我是程序员小贱

Flink的2种部署模式-2

小知识点

scala 大数据 flink

兄弟,不要偷看人家摄像头

我是程序员小贱

搞一搞Elasticsearch

北漂码农有话说

Week 11命题作业

Jeremy

如何通过技术面试?

escray

学习 面试

我是合适的人选么?

escray

学习 面试

简单交互式页面的思考(C)

Alex

指针 C语言 交互设计

为什么考研,考研能给你带来什么?说说我的感受!

我是程序员小贱

企业品尝新基建的美酒前,需要名为NetEngine 8000的酒杯

脑极体

区块链政策区域特征分明 产业园区渐成聚集效应

CECBC

区块链 新基建

架构设计篇之云计算服务设计与决策

小诚信驿站

云计算 刘晓成 企业架构和云服务 SaaS/IaaS/PaaS

四十不惑,准备面试

escray

学习 面试

全站加速在互联网媒体应用上的最佳实践

阿里云Edge Plus

CDN

firewalld 常用指令

wong

Firewalld

小白程序员成长之路-准备篇

Mr.Cactus

盲打练习 在线打字

我喜欢的工作,喜欢我么?

escray

学习 面试

DB-Engines 8 月数据库排名:Redis悄悄拔高,猛超Elasticsearch

华章IT

MySQL 数据库 redis Clickhouse SQL优化

因低薪、高强度工作感到被公司“虐待”,一程序员跳槽前炮制惊天数据窃取案,勒索上千万终获刑_AI&大模型_刘燕_InfoQ精选文章