Российский хакер, которого задержали во время отдыха в Японии, оказался в центре расследования смерти пациента лондонской больницы. Немецкие следователи проверяют его возможную причастность к атаке Qilin, а британская полиция рассматривает уголовное дело о незаконном причинении смерти.
Новый поворот расследования связан с атакой на лабораторную службу Synnovis, которая в июне 2024 года парализовала работу нескольких больниц Лондона. Немецкие детективы включили взлом в число эпизодов, которые проверяют в отношении 28-летнего россиянина и его предполагаемых сообщников. Британская полиция отдельно выясняет, позволяют ли обстоятельства гибели пациента возбудить дело о незаконном причинении смерти. Подобное уголовное преследование стало бы редким прецедентом для киберпреступлений.
Подозреваемый, которого немецкие СМИ называют Владимиром К., уже находится под стражей в Германии. Ранее SecurityLab подробно рассказывал о задержании россиянина в Осаке во время туристической поездки. Японская полиция заранее узнала о его планах приехать в страну и совместно с немецкими коллегами подготовила операцию. Мужчину задержали в мае 2026 года в гостинице, а 2 октября передали Германии после решения Токийского высшего суда.
Российское гражданство задержанного официально подтвердила полиция Японии. Следователи считают мужчину одним из руководящих участников Qilin, но первоначальный ордер на арест не был связан с британскими больницами. Россиянина разыскивали по делу о взломе немецкой логистической компании в сентябре 2024 года. По версии следствия, преступники похитили и зашифровали корпоративные данные, после чего потребовали около 160–165 тысяч долларов в криптовалюте.
Немецкие правоохранители несколько месяцев проникали в инфраструктуру Qilin и наблюдали за деятельностью группировки. Министр внутренних дел Северного Рейна-Вестфалии Герберт Ройль назвал задержание одного из предполагаемых руководителей крупным успехом. Следствие получило возможность изучать другие атаки группировки, включая лондонский эпизод. Однако принадлежность подозреваемого к Qilin ещё не доказывает его личного участия во взломе Synnovis. Обвинений по этому делу пока не предъявлено.
Атака на Synnovis произошла 3 июня 2024 года. Компания обеспечивала лабораторные исследования для King's College Hospital, Guy's and St Thomas' и других медицинских учреждений Национальной службы здравоохранения Великобритании (NHS). Вымогатели нарушили работу компьютерных систем, через которые больницы заказывали анализы и получали результаты. Врачам пришлось переходить на ручные процедуры, откладывать операции и отправлять пациентов в другие учреждения.
Последствия оказались значительно серьёзнее обычного простоя серверов. По официальной статистике NHS, из-за атаки задержали более 11 тысяч амбулаторных приёмов и плановых медицинских процедур. Часть образцов крови пришлось выбросить, поскольку длительное хранение сделало их непригодными для исследования. Серьёзные трудности возникли и с переливаниями крови, когда лаборатории потеряли возможность быстро проверять совместимость донорского материала.
Из-за сбоя больницы чаще использовали универсальную донорскую кровь группы O, что усилило давление на национальные запасы. Медицинская система столкнулась с дефицитом, а служба крови призывала доноров срочно пополнить резервы. Даже после восстановления отдельных лабораторных процессов последствия атаки продолжали сказываться на лечении пациентов. Полностью вернуть доступные до взлома услуги Synnovis смогла только к декабрю 2024 года, спустя примерно полгода после нападения.
Самым тяжёлым последствием стала смерть пациента King's College Hospital. В июне 2025 года больница подтвердила гибель человека, который проходил лечение во время сбоев. Внутреннее расследование установило несколько факторов, повлиявших на исход. Среди них оказалось длительное ожидание результата анализа крови, вызванное кибератакой. Медики признали влияние задержки на смерть пациента, но не назвали взлом единственной причиной трагедии.
Личность погибшего и подробности заболевания не раскрывались. Представители больницы сообщили семье выводы медицинского расследования, а руководство Synnovis выразило соболезнования. Случай получил международный резонанс, поскольку медицинское учреждение официально признало связь между последствиями кибератаки и смертью человека. При этом медицинское заключение не устанавливает уголовную ответственность конкретных участников взлома.
Помимо нарушения лечения, злоумышленники похитили конфиденциальную информацию и потребовали выкуп. Synnovis отказалась платить, после чего группировка опубликовала украденные файлы в даркнете. Проверка показала, что преступники получили разрозненные документы из административного хранилища, а не полную лабораторную базу результатов анализов. Определение пострадавших заняло больше года. NHS продолжала работу с медицинскими организациями, чьи сведения могли оказаться среди похищенных материалов.
Qilin, ранее известная как Agenda, действует по модели «вымогательство как услуга» (RaaS). Организаторы разрабатывают шифровальщик и поддерживают криминальную инфраструктуру, а партнёры проникают в корпоративные сети и делятся выкупом. Группировка практикует многоступенчатое вымогательство, сочетая шифрование файлов, кражу информации, угрозы публикации и дополнительное давление на жертв. Такая структура затрудняет установление конкретных исполнителей отдельных атак.
По оценке немецких властей, с 2024 года Qilin атаковала почти четыре тысячи организаций по всему миру, включая около 150 немецких компаний. Общая сумма требований выкупа приближалась к трём миллиардам долларов, а фактические выплаты превысили 140 миллионов долларов. Среди известных жертв группировки также оказался японский производитель напитков Asahi Group Holdings. Однако финансовые показатели относятся ко всей криминальной сети, а не к деятельности одного задержанного россиянина.
История со смертью пациента после атаки вымогателей уже возникала в Германии. В сентябре 2020 года киберпреступники нарушили работу университетской клиники Дюссельдорфа. Больница временно перестала принимать экстренных пациентов, и машину скорой помощи с тяжёлой пациенткой направили в другое медицинское учреждение примерно в 30 километрах. Женщина умерла, а прокуратура начала расследовать возможное причинение смерти по неосторожности.
Однако немецкое расследование завершилось без обвинений в причинении смерти. Медицинская экспертиза не смогла установить, что задержка госпитализации стала причиной гибели женщины. Следователи пришли к выводу, что более раннее прибытие в больницу, вероятно, не изменило бы исход. Дюссельдорфский случай продемонстрировал главную юридическую сложность подобных дел. Между отказом компьютерных систем и смертью пациента необходимо доказать причинную связь, достаточную для уголовного преследования.
В лондонском эпизоде ситуация отличается тем, что больница уже признала влияние задержки анализов на исход лечения. Однако следователям всё равно потребуется выяснить, какие именно действия злоумышленников привели к нарушению медицинских процедур, кто участвовал во взломе и можно ли юридически связать поведение конкретного обвиняемого со смертью пациента. Для дела против российского подозреваемого понадобится отдельно доказать его причастность к нападению на Synnovis.
Пока британская полиция не объявляла о возбуждении уголовного дела по факту гибели пациента, а немецкие следователи не предъявляли Владимиру К. обвинений за атаку на лондонские больницы. Если расследование дойдёт до суда, вопрос выйдет далеко за пределы привычных обвинений во взломе и вымогательстве. Прокурорам придётся доказать ответственность конкретного киберпреступника за последствия компьютерной атаки, которые затронули не только инфраструктуру больницы, но и жизнь человека.
