Исландская лазейка: как либеральные законы о защите данных превратились в инструмент киберпреступников

Современное офисное здание рядом с гаванью в столице Исландии, Рейкьявике, больше известно как дом Исландского фаллологического музея , в котором выставлено 320 экземпляров пенисов млекопитающих.

Однако для тех, кто отслеживает киберпреступления, это здание также стало виртуальным офшорным убежищем для некоторых из самых известных мировых нарушителей: кража личных данных, программы-вымогатели, дезинформация, мошенничество и другие преступления.

Причина в том, что по тому же адресу — Калкофнсвегур 2 — зарегистрирована компания Withheld for Privacy, которая является частью быстро растущей и в значительной степени нерегулируемой индустрии в Исландии и других странах, позволяющей операторам интернет-доменов скрывать свою личность.

Хотя практика стала обычным явлением для владельцев сайтов, стремящихся защитить себя от преследований или спама, она также помогает скрываться от регулирующих органов, правоохранительных органов или жертв.

Withheld for Privacy и другие подобные сервисы превратили Исландию в глобальный центр нелегальной деятельности, непропорциональной размеру страны. Компания, созданная в 2021 году Namecheap — одним из крупнейших мировых провайдеров веб-сайтов — фактически скрыла десятки тысяч сомнительных интернет-сайтов. Местные власти сообщили, что даже пытались связаться с представителями компании, но безуспешно.

Исследователи из Сиракузского университета, изучая обманную политическую рекламу на Facebook и Instagram, случайно наткнулись на этот музей, когда пытались отследить владельцев сайта, потратившего 1,3 миллиона долларов на мошеннические объявления, нацеленные на сторонников бывшего президента США Дональда Трампа.

Эта афера пыталась обманом заставить жертв предоставить данные кредитных карт и, не осознавая этого, подписаться на дорогие ежемесячные платежи, прежде чем Meta, владелец Facebook, закрыла рекламу и заблокировала домен за это в этом году.

Интернет полон подобных сайтов, которые пытаются обмануть доверчивых пользователей, а услуги прокси, когда они используются неправильно, делают еще труднее найти или идентифицировать преступников.

Поскольку Withheld for Privacy использует адрес здания по умолчанию для своих клиентов, Калкофнсвегур 2 был связан с онлайн-форумами, которые использовались группой белых супрематистов из США, Patriot Front , для продажи поддельных гормональных препаратов транс-женщинам, а также с фишинговыми сайтами, которые маскировались под компании, такие как Amazon, Coinbase и Spotify, чтобы украсть деньги и личную информацию посетителей, а также с кампаниями влияния, направленными на распространение ложных нарративов среди ничего не подозревающих американцев.

Исландия привлекает прокси-сервисы в первую очередь благодаря своим строгим законам о конфиденциальности, которые, по словам чиновников, были разработаны для защиты обычных пользователей от авторитарных правительств, а не для укрытия мошенников и преступников.

Бывший член парламента Исландии, Мордур Ингольфссон, который принимал участие в разработке первых интернет-законов страны, объясняет: «Мы стремились создать то, что называли Швейцарией байтов». Однако, по его словам, эта работа была злоупотреблена.

Ни Withheld for Privacy, ни Namecheap не ответили на многочисленные запросы о комментариях. Руководитель надзора Управления по защите данных Исландии Вальборг Стейнгримсдоттир заявила, что сервисы компании используются только для того, чтобы скрыть настоящего владельца.

Управление защиты данных Исландии вместе с прокуратурой и министерством телекоммуникаций пытаются принять закон, который фактически запретит работу таких сервисов, как Withheld for Privacy, в стране.

Согласно налоговым документам Рейкьявика, Withheld for Privacy зарегистрирована по адресу Калкофнсвегур 2, но нет никаких признаков, что она занимает помещение в шестэтажном здании. В подвале находится Исландский

Директор Withheld for Privacy, Серхио Райгоза Эрнандес, по данным налогового департамента Исландии, является гражданином Мексики, но связаться с ним или кем-либо другим по указанным контактам на сайте компании не удалось.

Почти сразу после регистрации Withheld for Privacy в 2021 году мировые органы начали отслеживать подозрительную активность, связанную с этим адресом. Так, Совет по ценным бумагам штата Техас в том же году направил приказ о прекращении и воздержании против сайта, зарегистрированного там, который обманывал инвесторов.

Кроме того, агентство CISA в США выпустило предупреждение о двух сайтах, связанных с программами-вымогателями, расположенными по тому же адресу.