Как Европол выявил сотни пользователей, удалив 373 000 сайтов даркнета

Краткое содержание

• Скоординированная полицейская акция 23 стран (операция «Алиса») прошла с 9 по 19 марта 2026 года при координации властей Германии и при поддержке Европола.
• Целью была платформа «Алиса с насилием CP», которая привела к удалению 373 000 доменов .onion.
• Сеть действовала как мошенничество, обещая материалы о сексуальном насилии над детьми (CSAM) и услуги по борьбе с киберпреступностью (CaaS) за оплату в криптовалюте, не передавая данные.
• Установлен менеджер: 35-летний мужчина из Китая, который заработал 345 000 евро, обманув 10 000 потенциальных покупателей.
• Власти захватили 105 серверов в Германии и приступили к выявлению 440 пользователей, пытавшихся приобрести нелегальные материалы.

Что такое операция «Алиса» и как она уничтожила 373 000 сайтов?

«Операция Алиса» — одна из них. скоординированная мировая полиция действие 23 стран при его технической поддержке Европолкоторый проходил с 9 по 19 марта 2026 года. Он атаковал и ликвидировал огромную сеть из 373 000 мошеннических доменов .onion в даркнете, захватив 105 серверов. При этом посредством анализа криптовалютных транзакций был выявлен основной оператор инфраструктуры, а также 440 покупателей нелегального материала по всему миру.

Сроки и структура исследования

Первоначальное расследование началось в середине 2021 года и было сосредоточено исключительно на платформе Dark Web под названием «Алиса с насилием CP“. Власти Германии, руководившие операцией, постепенно установили, что эта платформа была не единым объектом, а ядром чрезвычайно разветвленной сети. Администратор, 35-летний мужчина, базирующийся в Китае, создал сеть дезинформации и мошенничества промышленного масштаба.

За почти пять лет власти составили карту цифровой инфраструктуры сети. Было установлено, что на пике своей деятельности администратор контролировал до 287 серверов, из которых 105 находились на территории Германии. На этих серверах размещалось более 373 000 различных доменов .onion (адреса, которые доступны только через анонимизирующие сети, такие как Tor). Использование десятков тысяч «микромагазинов» было направлено на распространение риска. Даже если власти найдут и закроют несколько сотен сайтов, основная сеть останется нетронутой, что сделает поиск главного узла чрезвычайно сложным процессом.

Механизм мошенничества и приманка

Существенное отличие конкретного дела от аналогичных предприятий прошлого (таких как Операция Стрим) заключается в природе самой сети. 373 000 веб-сайтов рекламировали незначительные материалы сексуального насилия (CSAM), украденные данные кредитных карт, доступ к взломанным корпоративным сетям и различные услуги «Киберпреступность как услуга» (CaaS).

Однако сеть оказалась полностью обманчивой. Администратор установил цифровую сцену (приманка) с превью и фейковыми отзывами, чтобы убедить посетителей в подлинности своих услуг. Заинтересованные лица заплатили суммы от 17 до 215 евро в биткойнах и зарегистрировали адрес электронной почты для получения соответствующих «пакетов» данных (от нескольких гигабайт до терабайт). После завершения сделки они не получили ровным счетом ничего.

По оценкам, в период с февраля 2020 года по июль 2025 года 35-летний мужчина обманул около 10 000 «клиентов» по всему миру, получив незаконную прибыль, превышающую 345 000 евро. Ирония ситуации в том, что покупатели, будучи сами преступниками или людьми, ищущими нелегальные материалы, конечно же, не могли обратиться к властям и сообщить о мошенничестве.

Технологический вклад Европола и отслеживание криптовалют

Успех операции «Алиса» во многом был основан на опыте Европола в анализе блокчейнов и отслеживании криптовалют. Хотя сеть Tor скрывает IP-адрес пользователя, транзакции в блокчейне Биткойна остаются общедоступными. Его аналитики Европол они отслеживали потоки денег с кошельков жертв-покупателей на центральные кошельки администратора.

Объединив эти данные с данными, полученными со 105 захваченных серверов в Германии, власти получили доступ к цифровым следам клиентов. На данный момент анализ этих данных привел к полной идентификации 440 пользователей. Стоит отметить, что с юридической точки зрения попытка приобретения материалов CSAM является уголовным преступлением, независимо от того, получит ли покупатель в конечном итоге материал. Расследование продолжается с целью выявить еще больше причастных лиц, а на администратора уже выдан международный ордер на арест.

Влияние на европейский регион

Нарушение работы сети подчеркивает масштаб проблемы в европейском цифровом пространстве. Размещение почти 1/3 всех серверов в ЕС (Германия) показывает, что киберпреступники продолжают эксплуатировать европейские инфраструктуры хостинга данных, потенциально делая ставку на сложность правовых рамок для трансграничного лишения конфиденциальности.

В Греции и местных управлениях электронного преследования преступлений такие дела, как Операция Алиса они предоставляют чрезвычайно полезные данные (информация об угрозах). Обнаружение местных IP-адресов или кошельков, связанных с греческой банковской системой, через пул из 10 000 обманутых покупателей также может привести к целевому бизнесу на территории Греции. Доступ к сервисам CaaS представляет собой прямую угрозу для местного бизнеса, поскольку многие инструменты, продаваемые в даркнете, используются для целевых атак с использованием программ-вымогателей или перехвата корпоративных данных на греческом рынке.

Взгляд Techgear

Операция «Алиса» — отличный пример современной киберполиции. Тот факт, что власти позволили сети работать в качестве огромной приманки в течение почти пяти лет, систематически собирая данные о тысячах потенциальных преступников, свидетельствует о зрелости тактического подхода. Абсолютная анонимность в даркнете в очередной раз оказывается технологическим мифом.

Когда криминалистика блокчейна (криптоотслеживание) сочетается с традиционным трансграничным сотрудничеством (OSINT, захват физического сервера), стена Tor рушится. Более того, тот факт, что создатель платформы сам использовал CaaS для обмана своих «коллег», подтверждает полную коммерциализацию (и отсутствие какого-либо «кода цен») на его подпольном рынке. Интернет.

Окончательный переход правоохранительных органов от простого захвата доменов к поведенческому анализу и анализу потоков капитала — единственный реальный ответ на современную киберпреступность.