Группа ImNotAVillain шантажирует организации угрозами раскрытия данных

ImNotAVillain, формирующаяся группа, специализирующаяся на шантаже данными, впервые зафиксирована 24 сентября 2026 года. В списке её жертв указаны цифровой банк из Великобритании и структура государственного управления и обороны Италии. В случае британского банка не зафиксировали шифрования файлов, активности вредоносного ПО или нарушения внутренней инфраструктуры. Давление на жертв группа строит на получении персональных и финансовых данных и угрозах продать или раскрыть их.

Заявления о данных клиентов и сотрудников

По делу британского банка ImNotAVillain утверждает, что располагает записями 680 ценных для неё клиентов. По заявлению группы, данные включают документы KYC, изображения для проверки личности, контактную и банковскую информацию, а также историю транзакций в фиатных и криптовалютах.

По имеющимся данным, сбор информации был основан на социальной инженерии, а не на технической эксфильтрации. Банк сообщил, что мошеннические запросы поступали через легитимный правительственный домен и проходили внутренние проверки. Согласно имеющимся сведениям, группа отбирала клиентов с помощью анализа блокчейна, а затем получала их данные посредством повторных запросов. Не подтверждено, была ли соответствующая правительственная учётная запись электронной почты скомпрометирована или клонирована.

На странице ImNotAVillain, посвящённой Италии, заявлено, что набор данных содержит более 85 000 файлов общим объёмом 150 ГБ и персональные данные более 130 000 федеральных сотрудников. Группа также утверждает, что в официальных почтовых ящиках находились незащищённые документы, удостоверяющие личность. Заявленные объём файлов и количество затронутых людей представляют собой разные показатели; независимо их не подтверждали.

Публикация утечек и меры защиты

ImNotAVillain использует сайт в сети Tor для публикации утечек данных. Для связи группа применяла домен в открытом интернете iamnotavillain.xyz, Telegram и Session. По имеющимся данным, она требует оплату в Monero и предлагает физическим лицам платное исключение из будущих продаж данных.

Атрибуцию осложняют конкурирующие заявления об утечках. ImNotAVillain оспаривает утверждения предыдущего заявителя, а отдельный сайт revoloot.lol также связывали с другим актором. Ответственность за получение записей и контроль над ними остаются неясными. Банк заблокировал адрес, с которого отправляли запросы, и уведомил соответствующие органы.

Авторы отчёта рекомендуют:

• независимо проверять запросы государственных и правоохранительных органов на предоставление данных через каналы, не связанные с основной перепиской;
• анализировать прошлые запросы;
• отслеживать попытки выдавать себя за сотрудников организаций в процедурах восстановления доступа к учётным записям и поддержки, направленных на затронутых клиентов.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.