Поне 50 души са знаели как да получат достъп до информационните системи на НАП няколко месеца преди да бъдат разпространени личните данни на над 5 млн. български граждани в мрежата след хакерската атака срещу приходната агенция. Това разкри адвокатът на 20-годишния Кристиян Бойков, обвинен в кибертероризъм, в ефира на bTV в четвъртък.

Адвокат Любен Казанлиев показа снимка от публичен чат в приложението „Телеграм“, в който над 50 души програмисти обсъждат професионални теми от IT сферата. На 14 април, точно 3 месеца преди теча на личните данни, неизвестно лице пише в чата, че е установило конкретна уязвимост в сайта на НАП и е дало връзка към сървър на приходната агенция. „Един от участниците се е похвалил, че е хакнал сървър на НАП, чийто адрес е изписал. Той е написал, че потребителското име за влизане е admin, паролата е admin, като те се използват за достъп до панела, в който данъците могат да се променят“, обясни адвокатът. Той добави, че всеки един от участниците в чата е имал възможността да използва този пробив и да влезе в информационните системи на приходната агенция, което индиректно оневинявало Кристиян Бойков. Въпреки това обаче прокуратурата не е взела предвид това доказателство, а избирателно е отсяла реплика на Бойков, изпратена няколко часа по-късно до шефа му Иван Тодоров – „Довечера НАП си заминава“.

В тази връзка адв. Казанлиев изтъкна, че държавното обвинение трябва да събира всякакви доказателства, а не единствено тези, които подкрепят тезата му. „Аз като адвокат не съм длъжен да казвам истината, аз съм длъжен да защитя клиента си, но прокуратурата е длъжна по закон да събира оневиняващи доказателства и такива, които доказват вината. Много е интересно защо прокуратурата показва манипулирани доказателства“, отбеляза защитникът на Кристиян Бойков. „Тези реплики така, както са подредени от прокуратурата, не са се случили нито в един и същ чат, нито с едни и същи участници. Когато подредите едни реплики, извадени от контекст, от различни чатове, е нормално да получите краен резултат, който няма нищо общо с първоначално замисления от този, който ги е писал“, заяви още адв. Казанлиев.

Той коментира и твърденията на ГДБОП, че на служебния компютър на Бойков е открит имейлът от „анонимния руснак“, изпратен до медиите след хакерската атака срещу приходната агенция. „Няма как да знаем дали това е така, тъй като техниката беше иззета. Въпросът е кой го е поставил и кога го е поставил там. Защото техниката беше иззета и запечатана, но информацията на дисковете не беше фиксирана пред нас. Когато са декриптирали компютъра, нас не ни извикаха, за да видим какво правят“, каза адвокатът. Според него свидетелските показания, в които се казва, че Кристиян Бойков е търсил помощ за хакването на НАП, могат да се окажат субективни и недостоверни. „Тук трябва да се има предвид, че става дума за бивши служители на „Тад груп“, единият от които е освободен поради несправяне с работата, а друг е отишъл при конкурентна фирма. Не мога да кажа доколко тези свидетели са обективни“, посочи Казанлиев.

Защитата на Кристиян Бойков е поискала той да бъде разпитан от ГДБОП. „Те ни отговориха: „Пуснете молба и ще преценим“. Ако те искат той да свидетелства, той е готов да го направи. Но ще свидетелства не в ползва или във вреда на конкретно лице, а в полза на истината“, отбеляза адв. Казанлиев.

Пред „Ню Йорк таймс“ Кристиян Бойков отхвърля всички обвинения, а изданието цитира официални американски източници, според които хакерската атака срещу НАП прилича на операция на руското военно разузнаване ГРУ. ”Макар да е ентусиазиран член на НАТО, България има слаба киберзащита, вероятно най-слабата в алианса”, коментира пред изданието адмирал Джеймс Ставридис, бивш военен командир в Северноатлантическия пакт.

Прокуратурата предприе ударен PR по разследването за „НАПлийкс“ в четвъртък. Безпрецедентно от държавното обвинение изпратиха до медиите извадки от доказателства от разследването, за да подкрепят тезата си. Явно в бързането си от прокуратурата публикуваха ЕГН-тата на Бойко Борисов, Делян Пеевски и адвоката му Александър Ангелов и главния прокурор Сотир Цацаров. Освен това в прессъобщението на държавното обвинение се споменава името на файл, който е общодостъпен в интернет, който съдържа трите имена и ЕГН на хиляди прокурори и следователи. Въпросните данни най-вероятно са взети от един от файловете от пакета бази данни, източени от НАП и изпратени до медиите.

Няколко часа по-късно от прокуратурата съобщиха, че са издали европейска заповед за разследване срещу главния редактор на „Биволъ“ Атанас Чобанов, според която френските власти ще трябва да го разпитат за връзките му с TAD Group.

Свърхактивността на държавното обвинение идва след два откровени гафа по разследването „НАПлийкс“.

Вчера единият от наблюдаващите прокурори по делото – Евгения Станкова, заяви, че е „осъществено посегателство върху сървъра на „Поливни системи“, които се намират пред парламента, като в данните, които се съдържат в материалите по делото, става въпрос, че е имало такова желание, евентуално при преминаването на автомобили на… различни, може би държавен глава или гости на нашето Народно събрание, евентуално да бъде активирана поливната част пред парламента, с което да се създаде някакво затруднение при придвижването, което пък от своя страна може, и за нас като прокурори е важно да направим своя извод, че, създавайки такава нестабилност, води след себе си веднага знаете какво – това е нестабилност въобще на цялата ни политическа система и т.н.“.

Изказването на Станкова, за което прокуратурата не представи доказателства и беше опровергано от Столичната община и Народното събрание (които обясниха, че няма такива сървъри, а поливането става ръчно), предизвика вълна от подигравки.

Няколко часа по-късно специализираният съд отхвърли искането на прокуратурата да задържи за постоянно собственика на TAD Group Иван Тодоров, като прие, че няма обосновано предположение, че той е извършил престъплението тероризъм, както и няма опасност да се укрие или извърши друго престъпление. Въпреки това съдът му наложи гаранция от 100 хил. лв.

Какво изпрати прокуратурата до медиите

От пресцентъра на държавното обвинение изпратиха 13 pdf файла от по една страница, които съдържат различни скрийншотове – от камерите за видеонаблюдение във фирмата, чатове, различни файлове и компютърни логове. От тях може да се предположи, че основното доказателство на разследващите са записите от охранителните камери в офиса на фирмата. Очевидно те са във висока резолюция и включват и звук, тъй като именно от тях разследващите са хванали между обвиняемите и телефонни разговори, които те водят. Пак от записите разследването е успяло да установи точния час и дата, на които Кристиян Бойков е влиза в определени сайтове, в това число и този, на който са качени изтеклите от НАП данни.

Часове след като на 17 юли данните от НАП са изпратени до медиите, търговският директор на фирмата Георги Янков провежда телефонен разговор с непознат събеседник, на който е записан да казва: „Да не говорим, че „Биволъ“ разполагат с информацията от две седмици… директно с Атанас Чобанов от „Биволъ“ се говори… имай предвид, че те не са пуснати всички… те са пуснати точно на медиите, за да ги верифицират, за да ги видят, че са верни и да видят за какво става въпрос… правителството трябва да си замине със всички… със всички.“

Вероятно на този разговор се базират обвиненията за тероризъм, който според прокуратурата доказва от репликата, че „правителственото трябва да замине със всички“.
Факт е, че разгласяването на слабост в информационната сигурност на държавна институция може действително да доведе до недоверие и да стане причина за оставката му, но е твърде пресилено подобно действие да бъде квалифицирано като целящо „да създаде смут и страх в населението или да заплаши, или да принуди орган на властта, представител на обществеността или представител на чужда държава или на международна организация да извърши или да пропусне нещо“.

Инкриминирайки подобна реплика (която между другото е извадена от контекст, защото от записа не става ясно какво казва другият събеседник), прокуратурата създава опасен прецедент, който може да превърне в обвиняем всеки, който изразява надежда, че правителството ще падне при едно или друго събитие.

За да подсилят тезата си, от държавното обвинение акцентират върху факта, че данните са изпратени и до международни медии.

Конкретно доказателство, че данните са изпратени предварително и до сайта „Биволъ“, обаче няма. В телефона на Бойков има данни, че е водил чат през приложението телеграм с потребител с име „Бивол“ (за който прокуратурата вчера твърдеше, че е собственикът на сайта Асен Йорданов, а днес, че е главният редактор Атанас Чобанов), но тъй като комуникацията е ставала в секретен режим, съобщенията са били изтрити. Между другото с това съобщение прокуратурата публикува и други, някои от които явно от личен характер и нямащи отношение към разследването.

От публикациите на сайта „Биволъ“ не личи те да са имали информацията преждевременно, т.е. е възможно Георги Янков да е имал предвид, че Бойков е споделил, че разполага с подобни данни, без да им ги изпраща.

Дори и „Биволъ“ да е получил данните по-рано, това не превръща сайта в съучастник, както се опитва да внуши прокуратурата от самото начало на скандала. В крайна сметка журналистите работят с информация, а едни от най-силните разследвания през последните години се базират на изтекли нерегламентирано данни.

В сряда Асен Йорданов и Атанас Чобанов отрекоха публично да са получавали данните или да са били във връзка. На позицията им от държавното обвинение отговориха с новината, че са издали европейска заповед за разследване срещу Атанас Чобанов, която ще бъде изпратена до френските власти, тъй като той живее в Париж.

Фиксацията на държавното обвинени към „Биволъ“ се засили в края на май, когато сайтът публикува разследване за закупен имот – вила над Пещера, от главния прокурор Сотир Цацаров. Тогава нито една от компетентните институции не започна проверка на разкритията, които поставяха въпроса дали платената за вилата цена е реално договорената. Малко след това по анонимен сигнал във Върховната касационна прокуратура започна разследване срещу Асен Йорданов и Атанас Чобанов.

Френските власти имат право да не изпълнят европейската заповед за разследване, ако това може да доведе до нарушаване правата на Чобанов, гарантирани от френската конституция и европейското право.

От другите представени от прокуратурата доказателства може да се види, че най-вероятно Кристиян Бойков действително е разполагал с файловете преди изпращането им до медиите. От публикувани логове се вижда, че са правени търсения с ЕГН-тата на Бойко Борисов, Делян Пеевски и неговия адвокат Александър Ангелов и главния прокурор Сотир Цацров.

От публикуван вътрешен чат между служителите на фирмата се вижда, че Иван Тодоров е давал инструкции да се пробва ИТ сигурността на различни фирми, които впоследствие да бъдат търсени за клиенти. Най-вероятно на това се основава и твърдението на зам. главния прокурор Иван Гешев, че фирмата се е занимавала с киберрекет.

От другите публикувани доказателства може да се види, че според държавното обвинение Кристиян Бойков е хакнал страницата на Агенция „Митници“ и тази на неназован съд.

Папката с онова име

В прессъобщението на прокуратурата е записано, че „относно личните данни на магистрати, такива са събирани основно за прокурори и следователи, а папката е със заглавие „Ne se chistiiiii“. Именно такава отметка беше записана във файла с декларацията на съдия Мирослав Тодорова, който Инспекторатът към ВСС публикува и съдържаше личните ѝ данни и тези на семейството ѝ.

В приложения файл към прессъобщението обаче се твърди друго: „На личния телефон на Кристиян Бойков е намерен файл, съдържащ лични данни на лица, заемащи висши държавни и публични длъжности – народни представители, съдии, прокурори, следователи, областни управители, кметове.“

Към това изречение е приложен скрийншот от сайта pastebin, който най-често се използва от програмисти за бърза обмяна на кодове. В случая се вижда, че е пейстнат файл „NE SE CHISTIIII“, в който има цитат на ръководителя на отдел „Киберпрестъпност“ Явор Колев, че личните данни, достъпни в интернет, не са опасни, а след това и три имена, длъжност и ЕГН на прокурори и следователи. Такъв файл има и в изпратените до медиите хакнати масиви на НАП. Файлът, чийто адрес прокуратурата публикува, е изтрит, но може лесно да се открие в кеша на google.

Интересното е, че от скрийншота, изпратен от прокуратурата, има дата 18 юли – към която Кристиян Бойков е бил задържан или току-що освободен, но със сигурност не е имал достъп до телефона си (за да създаде този файл), който е бил иззет от разследващите. Скандалът с декларацията на съдия Мирослава Тодорова избухна именно на 18 юли.