Видавець Elsevier зазнав атаки LAPSUS$: відвідувачів вели на сторінку витоку

Академічний видавець Elsevier підтвердив, що цього тижня зазнав нетривалої компрометації — студенти помітили, що одна з платформ компанії перенаправляє користувачів на сторінку витоку, яку веде кіберзлочинне угруповання LAPSUS$.

Користувач Reddit, який називає себе студентом медсестринської справи, повідомив про проблему 22 вересня, опублікувавши скриншот сайту витоку LAPSUS$ після спроби відкрити «домашні завдання та підручники». «Щоразу, коли я намагаюся відкрити сайт Elsevier, я бачу це», — написав він.

Що сталося

Розташована в Амстердамі Elsevier повідомила The Register, що після понеділкової атаки зазнала нетривалої компрометації, але применшила ширші наслідки. «21 вересня Elsevier виявила, що відвідувачів окремих платформ перенаправляють на сторонню сторінку», — заявив представник компанії. «Наша команда з кібербезпеки відреагувала негайно й відновила нормальну роботу».

Компанія назвала інцидент вузько окресленим і нетривалим та заявила, що немає ознак компрометації основних платформ, даних клієнтів, дослідницького контенту чи операційних систем. На додаткові запитання про постраждалі платформи та тривалість перенаправлення вона не відповіла.

За даними видання з кібербезпеки Help Net Security, яке посилається на дослідників Cloudskope, йшлося про три домени Elsevier: Elsevier.com, портал входу й навчання Evolve для медсестринства та медичних професій і Submit.elsevier.com, куди дослідники завантажують рукописи для рецензування. Перенаправлення тривало щонайменше 78 хвилин і вело відвідувачів на сторінку з написом «LAPSUS$ GROUP, Chapter II», що містила підписану заяву з насмішками на адресу ФБР.

Чому ця ціль важлива

Elsevier найбільше відома платформою ScienceDirect, де розміщені наукові, технічні та медичні журнальні статті. Компанія також керує ClinicalKey — платформою на базі штучного інтелекту, що дає медикам швидкі відповіді на клінічні запитання, — і LeapSpace, робочим простором для академічних дослідників із підтримкою ШІ. Цими сервісами щодня користуються лікарні та університети, тож перехоплення вебтрафіку стає помітною подією.

Знайома назва повертається

LAPSUS$ відоміша кримінальними справами, зокрема гучною атакою на Rockstar Games, що призвела до найперших витоків Grand Theft Auto VI, а нещодавно — нападами на Adidas і GitHub. Злам Rockstar був частиною ширшої серії атак 2020–2022 років, жертвами якої стали також BT, Microsoft, Okta, Samsung і Vodafone, що спричинило скоординовану операцію правоохоронців.

Після тривалої паузи назва LAPSUS$ повернулася 2025 року: угруповання разом із Scattered Spider і ShinyHunters здійснило ще одну серію атак на відомі компанії, згодом розкололося, і активність упала до приблизно шести атак на місяць за даними SOCRadar.