146 milionów dolarów na kontach hakerów! Ale Sąd Okręgowy w Słupsku nie wydał Amerykanom „Lolka” z Kobylnicy

36-letni Artur G., mieszkaniec Kobylnicy pod Słupskiem, prowadzący firmę hostingową Lolek Hosted, został zatrzymany w sierpniu 2023 roku. W Polsce śledztwo przeciwko niemu prowadzi Prokuratura Regionalna w Katowicach. Jednak już 2 marca 2023 roku Artur G. został oskarżony przez Sąd Okręgowy Stanów Zjednoczonych Środkowy Okręg Florydy wydział w Tampie. Za zarzucane mu zmowy przestępcze i międzynarodowe pranie brudnych pieniędzy w Ameryce może spędzić za kratkami nawet 45 lat. Po decyzji Sądu Okręgowego w Słupsku, wykluczającej dopuszczalność ekstradycji, nie krył łez. Zostaje w Polsce.

Artur G. ma obywatelstwo wyłącznie polskie i jest narodowości polskiej. Te dane mają znaczenie w przypadku ekstradycji. Urodził się w Lęborku. Mieszka w Kobylnicy pod Słupskiem. Żona, troje dzieci, dom. Z pozoru zwyczajne życie.
- Prowadziłem działalność gospodarczą związaną z hostingiem stron internetowych – podał w sądzie.

Jego cały majątek został zabezpieczony, łącznie ze środkami w postaci kryptowaluty – około 120 tysięcy. Kilkanaście lat temu oszukał kogoś na Allegro. Odsiedział, bo nie naprawił szkody i kara została odwieszona, Dzisiaj fakt ten nie ma już prawnego znaczenia. Teraz problemy są o wiele większe, wręcz gigantyczne. Stany Zjednoczone oskarżają go o udział w zmowie w celu popełnienia trzech rodzajów przestępstw - komputerowych, telekomunikacyjnych oraz prania brudnych pieniędzy.

Wpadł, bo dał się podejść agentowi specjalnemu FBI, który nawiązał z nim kontakt, udając klienta. W ten sposób Amerykanie odkryli, w jaki sposób zniknęło 146 milionów dolarów! Gdy Artur G. został zatrzymany, domenę LolekHosted.net zamknęły amerykański Departament Sprawiedliwości i służby zwalczające cyberprzestępczość wraz z Prokuraturą Regionalną w Katowicach i Centralnym Biurem Zwalczania Cyberprzestępczości Zarząd w Krakowie.

W akcie oskarżenia Amerykanie zarzucają Arturowi G. udział w spisku dotyczącym oszustw komputerowych, oszustw elektronicznych oraz międzynarodowe pranie pieniędzy w związku ze świadczeniem „kuloodpornych” usług hostingowych, które ułatwiały hakerom przeprowadzanie ataków złośliwym oprogramowaniem, a następnie pranie pieniędzy z nielegalnych dochodów.

Z amerykańskich dokumentów sądowych wynika, że ​​36-letni Artur Karol G., właściciel firmy hostingowej LolekHosted świadczył usługi hostingu stron internetowych. Bezpiecznego dla klientów, bo zaprojektowanego w celu ułatwiania przestępczych działań, w tym oprogramowania ransomware, ataków brute-force, czy phishingu.

Artur G. miał ułatwiać przestępczą działalność klientom LolekHosted, umożliwiając im rejestrację kont przy użyciu fałszywych informacji, nie prowadząc logów adresowych protokołu internetowego (IP) serwerów klientów, często zmieniając adresy IP serwerów klientów, ignorując skargi składane na ich nadużycia. Powiadamiał także klientów o zapytaniach prawnych otrzymanych od organów ścigania. Artur G. zarejestrował domenę LolekHosted.net w 2014 roku. Reklamował, że jej usługi są "kuloodporne", co oznacza, że zapewniają stuprocentową prywatność i pozwalają na wszystko oprócz pornografii dziecięcej.

Ransomware NetWalker był jednym z wariantów oprogramowania ransomware udostępnianego przez LolekHosted. Oprogramowanie to zostało umieszczone w około 400 sieciach firm, które padły ofiarą hakerów - w tym w gminach, szpitalach, organach ścigania i służbach ratowniczych, okręgach szkolnych, szkołach wyższych i uniwersytetach. To z kolei spowodowało zapłatę okupu w wysokości ponad 5000 bitcoinów, obecnie wycenianych na około 146 milionów dolarów. Klienci LolekHosted wykorzystali usługi Artura G. do przeprowadzenia około 50 ataków ransomware NetWalker na całym świecie, w tym w Middle District na Florydzie. Serwery LolekHosted dla przestępców były więc pośrednikiem w uzyskiwaniu nieautoryzowanego dostępu do sieci ofiar, służyły przechowywaniu narzędzi hakerskich i danych skradzionych pokrzywdzonym.

Do 8 sierpnia 2023 roku, bo właśnie wtedy sąd na Florydzie wydał nakaz zajęcia używanej przez prawie dekadę LolekHosted.net.

Departament Sprawiedliwości poinformował wówczas, że jeśli Artur G. zostanie uznany winnym wszystkich zarzucanych mu przestępstw, grozi mu maksymalna kara 45 lat więzienia. Stany Zjednoczone ubiegają się też o wydanie nakazu przepadku kwoty 21,5 milionów dolarów, stanowiącej jego dochód. A przede wszystkim ekstradycji Polaka.

W tym czasie w Polsce pod nadzorem Prokuratury Regionalnej w Katowicach funkcjonariusze Centralnego Biura Zwalczania Cyberprzestępczości Zarządu w Krakowie po wielomiesięcznym śledztwie, koordynowanym przez Wspólną Grupę Zadaniową ds. Przeciwdziałania Cyberprzestępczości J-CAT, wspieranym przez Europejskie Centrum ds. Walki z Cyberprzestępczością (EC3) Europolu oraz przy aktywnej współpracy z FBI (Federalnym Biurem Śledczym) właśnie 8 sierpnia zatrzymali pięciu członków zorganizowanej grupy przestępczej, świadczącej usługi hostingu internetowego wykorzystywanego do nielegalnej działalności. Wśród zatrzymanych był Artur G.

Jak informowało CBZC, świadczona przez zatrzymanych usługa hostingowa o nazwie „bulletproof hosting” przeznaczona była dla cyberprzestępców z całego świata. Klienci mogli przesyłać, dystrybuować i posiadać to, na co inni dostawcy usług internetowych by im nie pozwolili. Tu mieli zapewnioną infrastrukturę sieciową umożliwiającą m.in. prowadzenie fikcyjnych sklepów internetowych, przeprowadzanie kampanii phishingowych, reklamowanie fałszywych inwestycji, rozsyłanie wiadomości spamowych, przeprowadzanie ataków DDoS (rozproszony atak odmowy dostępu do usługi), ransomware (oprogramowanie blokujące dostęp do danych zawartych w systemie komputerowym poprzez ich szyfrowanie w celu wyłudzenia okupu) oraz dystrybuowanie szkodliwego oprogramowania, a także do prowadzenia forów dyskusyjnych o tematykach przestępczych. Usługodawcy zapewniali klientów o ochronie przed organami ścigania z całego świata.

Swoją działalność reklamowali, posługując się hasłami: „Możesz udostępniać wszystko”, „Usługa zapewniająca 100% prywatności”, „Polityka braku logów”. Słowem: hostingowy „immunitet” i parasol ochronny dla cyberprzestępców.

Do dystrybucji złośliwego oprogramowania i ataków ransomware, skierowanych na użytkowników Internetu w skali globalnej, dochodziło m.in. w Stanach Zjednoczonych Ameryki, Republice Francuskiej, Republice Estonii, Republice Federalnej Niemiec, Konfederacji Szwajcarskiej, Republice Austrii, czy Księstwie Monako.

Zatrzymani instruowali też swoich klientów, w jaki sposób ukrywać swoją tożsamość oraz jakie usługi należy wykupić, by zapewnić sobie jak największe bezpieczeństwo podczas dokonywania określonych cyberprzestępstw. Opłaty za usługi dokonywane były w kryptowalutach, co miało utrudnić wykrycie nielegalnej działalności.

Podczas śledztwa przeanalizowano ogromne ilości zgromadzonych danych, w tym ruchu sieciowego, przepływów finansowych dotyczących portfeli kryptowalutowych, co pozwoliło na wykrycie i namierzenie sprawców. Zabezpieczono setki serwerów udostępnianych w ramach "kuloodpornego" hostingu z dziesiątkami terabajtów danych, liczny sprzęt komputerowy, telefony komórkowe, elektroniczne nośniki danych, a także kryptowaluty.

Polscy śledczy ustalili, że w wyniku przestępczej działalności, która odbywała się za pomocą wynajmowanych serwerów LolekHosted, pokrzywdzonych osób, podmiotów prywatnych i instytucji publicznych mogą być setki tysięcy, a poniesione straty sięgać milionów dolarów.

Arturowi G. zarzucono udział i kierowanie zorganizowaną grupą przestępczą, ułatwianie cyberprzestępstw m.in. przeciwko ochronie informacji, utrudnianiu dostępu do danych, przyjmowanie środków płatniczych pochodzących z przestępstw, oszust i ataków internetowych oraz pranie brudnych pieniędzy. On i jeszcze jeden z podejrzanych zostali aresztowani przez Sąd Rejonowy Katowice-Wschód w Katowicach. Wobec trzech osób zastosowano dozory policyjne, poręczenia majątkowe oraz zakazy opuszczania kraju.
Tego samego dnia - 8 sierpnia 2023 roku trwale odłączono od sieci wszystkie serwery zarządzane przez członków grupy. I w porozumieniu ze stroną amerykańską dokonano blokady przestępczej domeny.

Wróćmy jednak do Sądu Okręgowego w Słupsku, gdzie w piątek 3 listopada odbyło się posiedzenie. Do wniosku ekstradycyjnego zostały dołączone m.in.: akt oskarżenia wydany przez wielką ławę przysięgłych, nakaz aresztowania, oświadczenie złożone pod przysięgą agenta specjalnego FBI. Wniosek o wydanie postanowienia o prawnej dopuszczalności wydania organom Stanów Zjednoczonych obywatela Polski Artura G. przedstawiła prokurator Sylwia Knapik z Prokuratury Okręgowej w Słupsku. Jego podstawą były umowy zawarte między Polską a Stanami Zjednoczonymi Ameryki o ekstradycję, porozumienia między Unią Europejską a USA.

- Chciałem podkreślić, że w postępowaniu przygotowawczym współpracuję z prokuratorem w Katowicach – powiedział Artur G., który skorzystał z prawa składania wyjaśnień. - Cała moja działalność była prowadzona na terenie Polski, przede wszystkim u mnie w domu. Serwery, z których korzystałem, jak również sieć teleinformatyczna była w Polsce, wynajmowane w serwerowni w Olsztynie. Wszelka korespondencja z klientami oraz osobami, które są podejrzane o ataki, była również prowadzona z mojego domu w Kobylnicy. Nigdy nie było moim celem stworzenie grupy przestępczej. Nigdy bym nie pomyślał, że może dojść do takiego stanu. Bardzo proszę o niewydalanie mnie do Stanów Zjednoczonych.

- Czy kiedykolwiek był pan na terenie USA? Czy na terenie jakiegokolwiek innego kraju? Czy wykonywał pan jakiekolwiek czynności poza terytorium RP? - pytał adwokat Łukasz Isenko, obrońca ściganego.
- Nie – odparł na wszystkie pytania ścigany.

Posiedzenie było jawne z wyjątkiem części dotyczącej śledztwa katowickiego.

Prokuratura Okręgowa w Słupsku zgodziła się na wydanie Polaka jedynie co do dwóch zarzutów – przestępstw komputerowych i telekomunikacyjnych. W zakresie prania pieniędzy prokurator złożyła wniosek o niedopuszczenie do ekstradycji. Dlatego, że czyny te popełniono w Polsce. Natomiast obrońca dowodził, że wszystkie przestępstwa zarzucane przez Amerykanów Arturowi G. zostały popełnione w Polsce i nie ma podstaw, by polskiego obywatela, któremu Konstytucja RP nadaje specjalną ochronę, wydawać obcemu państwu. O to samo drżącym głosem poprosił ścigany.
- Chcę odpowiadać przed sądem polskim – powiedział.

- Zarzuty, które przedstawiła ściganemu strona amerykańska są tożsame z zarzutami przedstawionymi przez Prokuraturę Regionalną w Katowicach – mówił w rozmowie z „Głosem” adwokat Łukasz Isenko. - W naszej opinii ekstradycja jest niedopuszczalna z mocy prawa, ponieważ obywatela polskiego, który popełnił przestępstwa na terenie Polski nie można wydać do państwa obcego, tutaj też toczy się wobec niego postępowanie. W ogóle nie powinien odpowiadać w USA. Skutek tych przestępstw faktycznie miał miejsce na terenie USA, natomiast działanie - na terenie Polski. Amerykanie niezależnie od działań polskiej prokuratury wszczęli własne śledztwo i jego efektem jest przedstawienie zarzutów i wniosek ekstradycyjny. Za to samo.

Adwokat podkreśla, że Artur G. umożliwiał klientom zakładanie stron internetowych, ale nie miał świadomości, co klienci z nimi robią, że je wykorzystują do ataków hakerskich na banki, szpitale, policyjne bazy danych. Hakerzy, którzy stali za atakami, szantażowali te podmioty, że jeśli nie zapłacą okupu w kryptowalucie, to albo upublicznią dane, albo zablokują, albo je zniszczą.

Sąd zgodził się z obrońcą, stwierdzając prawną niedopuszczalność wydania Departamentowi Sprawiedliwości Stanów Zjednoczonych obywatela polskiego Artura G. Sędzia Agnieszka Niklas-Bibik, uzasadniła odmowę, wskazując szereg ustaw, traktatów i porozumień międzynarodowych, regulujących ekstradycję.
- Nie można nie pamiętać o przepisach Konstytucji, która sprzeciwia się wydaniu obywatela polskiego poza wyjątkami, między innymi jeśli przestępstwo zostało popełnione poza terytorium Polski. Konstytucja mówi też, że o dopuszczalności ekstradycji decyduje wyłącznie sąd, nie organ polityczny, nie minister sprawiedliwości. Sąd bada, czy ścigany jest Polakiem i gdzie zostały popełnione zarzucane mu przestępstwa, w jakim miejscu działał – mówiła sędzia.

Artur G. prowadził działalność w Kobylnicy. Klientom udostępniał serwery polskie. Zarzucane przestępstwa popełnił w Polsce, ale do ich skutków doszło także na Florydzie.
- Skutkami niewątpliwie są ataki hakerskie złośliwym oprogramowaniem z szyfrowaniem danych i z żądaniem okupu, które to środki finansowe znowu znalazły się w Polsce na serwerach udostępnianych przez ściganego – uzasadniała sędzia. - Nie mamy do czynienia z typowym miejscem przestępstwa, bo jest to przestępczość internetowa i miejsce zatraca byt fizyczny. Niemniej jednak według polskiego Kodeksu karnego miejscem przestępstwa jest miejsce działalności ściganego.

To nieprawomocne postanowienie Artur G. przyjął ze łzami w oczach.

W czwartek natomiast Sąd Okręgowy w Słupsku, który będzie rozpoznawał sprawę prowadzoną przez Prokuraturę Regionalną w Katowicach, przedłużył Arturowi G. tymczasowe aresztowanie o kolejne trzy miesiące. W Polsce grozi mu kara do 10 lat więzienia, w USA – do 45 lat.