Разследването обхваща неправомерен достъп до системи на държавни и общински институции, медии и около дузина компании. Според ГДБОП извлечените лични данни и електронна кореспонденция са предлагани за продажба в интернет, а в дейността е използван и изкуствен интелект.

ГДБОП задържа 19-годишен български гражданин, разследван за серия от кибератаки срещу информационни системи на държавни и общински институции, национални медии и търговски дружества. Специализираната операция на дирекция „Киберпрестъпност“ е проведена на 28 октомври 2026 г. в София под надзора на Софийската градска прокуратура (СГП).

Според официалната информация на МВР и прокуратурата разследването обхваща около дузина компании и хиляди техни клиенти и потребители. Сред организациите, чиито интернет страници са били обект на неправомерен достъп, са Българската национална телевизия (БНТ) и Българското национално радио (БНР).

По данни на разследващите извлечената информация включва имена, телефонни номера, единни граждански номера, физически и електронни адреси, история на онлайн покупки и електронна кореспонденция. Придобитите данни са били предлагани за продажба чрез интернет канали и специализирани хакерски форуми.

От неправомерен достъп до търговия с лични данни

Описаният от разследващите модел не се ограничава до проникване в интернет страници или демонстративно нарушаване на работата им. Според събраните доказателства задържаният е извличал информация от компрометирани системи, след което я е предлагал срещу заплащане.

Това превръща случая в проблем с по-широки последици за засегнатите организации. Компрометирането на клиентски бази данни може да изложи хиляди физически лица на последващи измами, целенасочен фишинг и опити за злоупотреба с открадната самоличност. Данните за покупки, контактите и електронната кореспонденция могат да бъдат използвани за създаване на убедителни измамни съобщения, съобразени с реалните отношения между потребители и компании.

За бизнеса рискът не приключва с установяването на неоторизирания достъп. Необходимо е да бъдат идентифицирани засегнатите информационни активи, да се оцени какви категории данни са изложени и дали има признаци за последващо използване на информацията. При установено нарушение организациите трябва да преценят и приложимите си задължения за уведомяване на компетентните органи и засегнатите лица.

Изкуственият интелект като инструмент в престъпната дейност

Един от по-интересните елементи в случая е използването на изкуствен интелект (ИИ). Според съобщението на МВР задържаният е използвал възможностите на ИИ при осъществяването на престъпната дейност.

Институциите обаче не посочват конкретни модели, платформи или технически операции, при които е приложена технологията. Не е уточнено дали тя е подпомагала анализа на уязвимости, автоматизацията на действия, обработката на извлечени данни или други етапи от операциите.

Това разграничение е важно. Самото използване на ИИ не доказва наличие на автономна атака или разработен от извършителя сложен инструментариум. По-скоро случаят поставя въпроса как достъпните технологии могат да бъдат използвани за подпомагане на дейности, които традиционно изискват технически познания и значителен човешки ресурс.

Разследващите съобщават и че младежът се е идентифицирал с два псевдонима в интернет и социалните мрежи и е използвал анонимизиращи услуги, за да прикрива цифровите си следи.

Cobra Stealer и разпространението на зловреден софтуер

Друг елемент от разследването е свързан със зловредния софтуер Cobra Stealer. Според ГДБОП са събрани данни, че обвиняемият е отправял призиви за разпространението му. Софтуерът е предназначен за кражба на информация.

Тук е важно да се направи разграничение между установените от разследването данни за призиви за разпространение и доказателства за реално разработване, разпространение или използване на програмата от задържания. Официалното съобщение не дава подробности за броя на потенциалните заразени устройства или за конкретни жертви на Cobra Stealer.

Въпреки това присъствието на подобен елемент в разследването показва, че проверката не се ограничава само до достъпа до компрометирани информационни системи, а обхваща и възможна дейност около инструменти за кражба на данни.

Разследването продължава

При процесуално-следствените действия са иззети електронни устройства, носители на информация и документи, които имат отношение към разследваната дейност.

На 29 октомври Софийската градска прокуратура е привлякла 19-годишния български гражданин с инициали М. П. като обвиняем за неправомерен достъп до информационни системи, копиране на бази данни с лична информация с цел имотна облага и неправомерно променяне на компютърни данни.

С постановление на наблюдаващия прокурор задържането му е продължено до 72 часа. За престъплението, за което е привлечен като обвиняем, прокуратурата посочва предвидено наказание от пет до седем години лишаване от свобода.

Разследването продължава, като ГДБОП и прокуратурата установяват пълния обхват на засегнатите информационни системи и неправомерно придобитите данни. Предстои съдебно произнасяне по искането за мярка за неотклонение.

Случаят показва, че компрометирането на една организация може да има отражение върху значително по-широк кръг от хора и бизнеси, когато атакуващите получат достъп до клиентски бази данни и търговска кореспонденция. За организациите това е още едно напомняне, че защитата на информационните системи трябва да включва не само предотвратяване на проникването, но и ограничаване на достъпа до чувствителна информация, наблюдение на подозрителната активност и готовност за реакция при инцидент.

Редакционна бележка: В официалното съобщение на прокуратурата е посочено, че днес, 31 октомври, предстои внасяне на искане за постоянна мярка за неотклонение.

Източници:

• МВР – ГДБОП задържа 19-годишен за атаки срещу институции, медии и компании
• Софийска градска прокуратура – Обвинение за компютърни престъпления
• БНР – Антимафиотите от ГДБОП задържаха хакера, ударил и сайта на БНР