01.11.2024
1 хв
1321
Олексій Михайлович Яковцев проживає у Санкт-Петербурзі. Він має ступінь магістра в галузі обчислювальної техніки та інформаційних систем. Раніше займався шахрайством із кредитними картками, а тепер, за даними дослідників, керує Qilin, одним із найвідоміших у світі кіберзлочинних угруповань.
російське угруповання Qilin, яке поширює програми-вимагачі, вважається одним із найуспішніших операторів моделі Ransomware-as-a-Service (RaaS). Лише за останні три місяці воно заявило про атаки щонайменше на 365 організацій. Зазвичай Qilin та його партнери, яким пропонують близько 80% викупу, отриманого від жертв, використовують модель подвійного вимагання. Спочатку зловмисники викрадають конфіденційні дані, а потім шифрують системи постраждалих організацій.
Оскільки кібератаки завдають компаніям та організаціям величезних фінансових збитків, слідчі в усьому світі активно розшукують учасників Qilin. Однак поки їхні зусилля не принесли значних результатів.
У жовтні минулого року японська поліція заарештувала одного з імовірних учасників угруповання Qilin та екстрадувала його до Німеччини. Проте більшість членів групи перебувають у росії, а оскільки москва активно використовує хакерів у власних інтересах, домогтися співпраці від російської влади практично неможливо.
Тепер у розслідуванні, ймовірно, стався важливий прорив. Експерти з кібербезпеки стверджують, що їм вдалося встановити особу адміністратора Qilin. За їхніми даними, ним може бути 36-річний Олексій Михайлович Яковцев, який проживає у Санкт-Петербурзі.
Яковцев, який має ступінь магістра в галузі обчислювальної техніки та інформаційних систем, імовірно, пройшов шлях від шахрайства з кредитними картками до керування складними ботнетами та операціями з вимагання викупу.
‼️ BREAKING: Security journalist Brian Krebs says the man running Qilin, the world's most active ransomware gang, is 36-year-old Aleksey Yakovtsev of St. Petersburg.
Researchers traced the boss's handle "Haise" through old forum names to a mail[.]ru address whose password was… pic.twitter.com/vjqV4TuuUj
— International Cyber Digest (@IntCyberDigest) November 12, 2026
За даними компаній Intel 471, Flashpoint та IntelHawk, які спеціалізуються на кібербезпеці, Яковцев, схоже, припустився кількох ключових помилок, що дозволили дослідникам встановити його ймовірну особу.
Наразі адміністратор Qilin використовує псевдонім Haise. Раніше він діяв під іншими іменами, оскільки кіберзлочинці часто змінюють нікнейми з міркувань безпеки. Однак під час реєстрації на нових закритих форумах їм іноді доводиться посилатися на свої попередні акаунти. Якщо такі форуми зламують або захоплюють правоохоронці, ці дані дозволяють пов’язати між собою різні облікові записи. Саме це й сталося з Haise. У червні 2022 року користувач із таким псевдонімом подав заявку на вступ до RAMP, закритого російського кіберзлочинного форуму, який ФБР захопило у січні 2026 року.
Співробітник Intel 471 проіндексував приватні повідомлення з форуму RAMP. Серед них виявилося листування, у якому адміністратор форуму схвалював заявку Haise, називаючи його не лише цим псевдонімом, а й ім’ям користувача в Telegram, Alexbigboss44. Після перевірки бази даних Intel 471 журналісти KrebsOnSecurity встановили, що той самий Telegram-псевдонім використовував учасник під ніком Rjun на російських кіберзлочинних форумах Exploit та XSS.
За інформацією компанії Flashpoint, користувач Alexbigboss44 був дуже активним на цих майданчиках. Імовірно, він займався масовим збором викрадених даних Facebook та облікових записів Google Ads, які використовувалися для шахрайських рекламних кампаній і схем, пов’язаних з азартними іграми.
Аналітики IntelHawk, платформи кібербезпеки, що спеціалізується на деанонімізації зловмисників, простежили розвиток його діяльності. У 2018–2019 роках він, імовірно, займався арбітражем і шахрайством із кредитними картками, а протягом 2020–2023 років перетворився на досвідченого учасника та організатора складних кіберзлочинних операцій. Його діяльність дедалі більше зосереджувалася на шкідливому програмному забезпеченні, ботнетах і платіжній інфраструктурі.
На момент подання заявки Alexbigboss44 на вступ до RAMP користувач Rjun уже мав облікові записи на інших російських форумах. Для реєстрації на всіх цих майданчиках він використовував одну електронну адресу: [email protected]. Перевірка цієї адреси через сервіс моніторингу витоків даних Constella Intelligence показала, що вона фігурує в записах, пов’язаних із gosuslugi.ru, офіційним російським порталом державних і муніципальних послуг.
Витік даних із «Госуслуг» стався наприкінці 2025 року. За повідомленнями, тоді було розкрито понад 20 мільйонів записів, що містили повні імена користувачів, дати народження та номери мобільних телефонів. Згідно з даними з витоку, електронна адреса [email protected] належить 36-річному Олексію Яковцеву із Санкт-Петербурга. Крім того, записи російського наглядового органу у сфері освіти, рособрнагляду, свідчать, що Яковцев навчався у школі в Мурманську та має ступінь магістра в галузі обчислювальної техніки й інформаційних систем.
Варто зазначити, що жоден правоохоронний орган поки офіційно не підтвердив ці висновки. Навіть якщо виявлені цифрові сліди допоможуть остаточно встановити особу адміністратора Qilin, його затримання залишатиметься складним завданням. За наявними даними, Яковцев ніколи не здійснював авіаперельотів за межі росії, а домогтися його арешту на території країни практично неможливо.
