Fridman wird der unrechtmäßige Umgang mit Computerinformationen vorgeworfen, die personenbezogene Daten enthalten. Er gilt als einer von vier mutmaßlichen Mitgliedern der finanziell motivierten Gruppe DataSuckers, die sich zu Angriffen auf große Unternehmen in Russland und der Ukraine bekannt hat. Nach Angaben der russischen Zeitung Kommersant und des Telegram-Nachrichtenkanals Baza wurden zwei weitere Verdächtige festgenommen, ein vierter ist weiterhin auf freiem Fuß. Unter den Verdächtigen sollen Staatsbürger Russlands, Kasachstans und Belarus’ sein.
Laut Baza kamen die Ermittler den mutmaßlichen Hackern auf die Spur, weil Fridman beim Zugriff auf die bei Dodo Pizza erbeuteten Daten versehentlich seine IP-Adresse preisgab. Darüber ließ er sich bis zu seiner Wohnung in der russischen Stadt Barnaul zurückverfolgen.
Der Angriff begann den Angaben zufolge damit, dass die Täter auf GitHub offenliegende Unternehmenszugangsdaten von Dodo Pizza entdeckten. Mit diesen Zugangsdaten verschafften sie sich mutmaßlich Zugriff auf miteinander verbundene Unternehmenssysteme, darunter Cloud-Speicher und Datenbanken sowie hinterlegte Passwörter.
Kommersant berichtete, die gestohlene Datenbank sei im Darknet zum Verkauf angeboten worden; für das Archiv hätten die Hacker 100.000 US-Dollar erhalten. Das Geld sei auf eine gemeinsam genutzte Kryptowährungs-Wallet geflossen, deren Passwort nach Fridmans Festnahme geändert worden sein soll. Die Umstände, die die russischen Strafverfolger zu den Verdächtigen führten, ließen sich nicht unabhängig überprüfen.
Dodo Pizza, eine russische Schnellrestaurantkette mit rund 1.500 Filialen in 28 Ländern, hatte zuvor eingeräumt, dass Angreifer möglicherweise auf Kundendaten zugegriffen haben – darunter Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geburtsdaten und Bestelldetails.
DataSuckers ist erst in den vergangenen Monaten in Erscheinung getreten. Im September bekannte sich die Gruppe zu einem Einbruch beim russischen Reiseveranstalter Tez Tour. Sie habe sich etwa zwei Wochen in den Systemen des Unternehmens aufgehalten und große Mengen an Kundendaten erbeutet. Zudem veränderten die Angreifer die Website des Unternehmens. Tez Tour bestätigte die Störung, bestritt jedoch, dass Kundendaten kompromittiert worden seien: Man habe die internen Systeme isoliert, bevor die Angreifer darauf zugreifen konnten. Nach Darstellung von Kommersant war Fridman an diesem Angriff beteiligt; er soll vor seinem Anschluss an DataSuckers ukrainische Websites attackiert haben.
Vor Kurzem reklamierte die Gruppe einen Angriff auf ATB für sich, die größte Lebensmittelhandelskette der Ukraine. Sie forderte 400.000 US-Dollar und drohte, Daten von Millionen Kunden zu veröffentlichen. Auf der Website des Händlers platzierten die Angreifer eine Erpressungsnachricht samt Countdown; die Seite war anschließend nicht mehr erreichbar. ATB bestritt eine Kompromittierung von Kundendaten und erklärte, einige Online-Dienste seien vorübergehend für technische Wartungsarbeiten abgeschaltet worden.
DataSuckers behauptet, Datensätze von 7,9 Millionen ATB-Kunden erbeutet zu haben – darunter Namen, Kontaktdaten, Adressen und Passwort-Hashes – sowie Passdaten von Beschäftigten und mehr als elf Millionen Bestelldatensätze. Diese Angaben sind nicht unabhängig bestätigt.
Die Gruppe bezeichnet sich selbst als finanziell motiviert und nicht politisch ausgerichtet. Sie kommuniziert überwiegend auf Russisch und nutzt einen öffentlichen Telegram-Kanal, um Angriffe anzukündigen, Details angeblicher Einbrüche zu veröffentlichen und Opfer, Journalisten sowie Strafverfolgungsbehörden zur Kontaktaufnahme einzuladen.
In einer Mitteilung am vergangenen Wochenende erklärte DataSuckers, man arbeite weiter, werde aber öffentlich weniger in Erscheinung treten: „Wir arbeiten wie gewohnt, aber ihr werdet weniger öffentliche Aktivität von uns sehen. Derzeit konzentrieren wir uns auf bestimmte Ziele und arbeiten an ihnen.“ Seitdem hat die Gruppe keine weiteren Nachrichten in ihrem Telegram-Kanal veröffentlicht.