Seorang warga negara Ukraina berusia 28 tahun telah dijatuhi hukuman empat tahun penjara karena menyedot ribuan kredensial login server dan menjualnya di web gelap untuk keuntungan moneter sebagai bagian dari skema pencurian kredensial.
Glib Oleksandr Ivanov-Tolpintsevyang mengaku bersalah atas pelanggarannya awal Februari ini, ditangkap di Polandia pada Oktober 2020, sebelum diekstradisi ke AS pada September 2021.
Penjualan ilegal melibatkan perdagangan kredensial login ke server yang berlokasi di seluruh dunia dan informasi pengenal pribadi seperti tanggal lahir dan nomor Jaminan Sosial milik penduduk AS di pasar darknet.
Situs yang tidak disebutkan namanya itu konon menawarkan lebih dari 700.000 server yang disusupi untuk dijual, termasuk setidaknya 150.000 di AS saja. Diyakini telah beroperasi sejak sekitar Oktober 2014, pasar bawah tanah disita oleh otoritas penegak hukum pada 24 Januari 2019, menurut dokumen pengadilan.
Ini persis bertepatan dengan pembongkaran xDedic Marketplace setelah penyelidikan selama setahun pada tanggal yang sama oleh agensi dari AS, Belgia, Ukraina, dan Jerman.
“Pasar xDedic menjual akses ke komputer yang disusupi di seluruh dunia serta data pribadi,” kata Europol saat itu, menambahkan, “pengguna xDedic dapat mencari kredensial komputer yang disusupi berdasarkan kriteria, seperti harga, lokasi geografis, dan sistem operasi.”
Korban tersebar di berbagai sektor seperti pemerintah, rumah sakit, layanan darurat, pusat panggilan, otoritas transit metropolitan, firma hukum, dana pensiun, dan universitas.
“Setelah dibeli, penjahat menggunakan server ini untuk memfasilitasi berbagai aktivitas ilegal termasuk serangan ransomware dan penipuan pajak,” kata Departemen Kehakiman AS (DoJ) dalam sebuah pernyataan pers.
Ivanov-Tolpintsev dikatakan telah memperoleh nama pengguna dan kata sandi server melalui botnet yang digunakan untuk serangan brute-force dan penyemprotan kata sandi, mencantumkan penjualan kredensial yang diretas ini di pasar dari 2017 hingga 2019 dan mendapatkan $82.648 sebagai imbalannya.
Hukuman itu dijatuhkan ketika DoJ memberikan hukuman penjara setidaknya lima tahun kepada trio penjahat dunia maya karena konspirasi untuk melakukan penipuan dan pencurian identitas yang diperparah.
“Setidaknya 2015 hingga 2020, [Jean Elie Doreus] Jovin, Alessandro Doreus, dan Djouman Doreus bersekongkol untuk secara sadar, dan dengan maksud untuk menipu, memiliki puluhan ribu perangkat akses palsu dan tidak sah—termasuk nama, nomor Jaminan Sosial, nomor akun, nama pengguna, dan kata sandi korban pencurian identitas,” kata departemen itu.
