Варшавская фондовая биржа, также известная как Атака под ложным флагом Киберхалифата №1: 24 октября 2014 г.
После того, как веб-сайт Варшавской фондовой биржи был отключен на два часа, сообщение Pastebin кричало всему миру: «Сегодня мы взломали Варшавскую фондовую биржу!» и «Продолжение следует! Аллах акбар!" Власти изначально приписывали кибер-халифату, хакерской группе, которая заявляет о своей преданности ИГИЛ и работает в сотрудничестве с группами Объединенного кибер-халифата. В сообщении, размещенном на электронной доске объявлений Pastebin, говорилось, что взлом совершил возмездие за бомбардировку «Исламского государства» Польшей.
Первоначально многие признали ответственность хакеров, связанных с ИГИЛ, но методы, инструменты и, что более важно, цифровые следы предполагали, что злоумышленники прибыли из России. Это старая техника шпионажа, называемая «операцией ложного флага»: обман, при котором одна сущность обвиняется в действиях другой. Прикрытие под ложным флагом длилось недолго, поскольку судебные аналитики продемонстрировали, что российские хакеры выдавали себя за ИГИЛ и позволили им взять на себя вину46. Позже выяснилось, что хакеры украли данные об инвесторах и сети фондовой биржи, включая учетные данные для авторизации доступ к счетам клиентов.47
Атака TV5 Monde, также известная как The Cyber Caliphate False Flag # 2
Вечером 9 апреля 2015 года в 22:00 французский телеканал TV5 Monde подвергся кибератаке, в результате которой его трансляция была приостановлена, поскольку хакеры проникли в их внутренние системы и профили в социальных сетях. Сначала произошел сбой веб-сайта, затем перестали поступать электронные письма48. Хелен Земмур, директор по цифровым технологиям станции, сказала, что все произошло «синхронно». CNN сообщил: «Вскоре после начала атаки наша внутренняя компьютерная система вышла из строя, и за ней последовали другие программы».
Кибер-халифат переименовал испорченные страницы с пометкой «Je Suis ISIS», напоминая протестующий митинг сторонников Charlie Hebdo «Je Suis Charlie». Однако поддельный веб-сайт Cyber Caliphate на самом деле находился на сервере с IP-адресом APT28. Охранные фирмы уловили это, и начал формироваться консенсус, согласно которому нападение было совершено субъектом национального государства. Из-за сочетания заметного сходства с APT28 Cyber Caliphate был исключен как злоумышленник. Угроза была вне возможностей подражателей хакеров ИГИЛ.
Говоря более практическим языком, Вассим Наср на France24 заметил, что арабский язык утверждений едва ли соответствует настоящему арабскому. На France 24 он указал на неправильное использование языка в нескольких областях, в частности в фразах бисмиллах, распространенных в ИГИЛ, где «и» использовалось в манере, которую не использовал бы ни один арабский говорящий49. Скорее всего, они пришли из Google Translate. Неумышленные группы, связанные с ИГИЛ, по-прежнему взяли на себя ответственность за атаку, а их фанаты приписывают ее кибер-халифатской армии.
К следующему обеду канал и аккаунты в социальных сетях были восстановлены. Директор TV5 Ив Биго сказал, что безопасность недавно была проверена. Один ведущий CNN даже сказал: «Терроризм снова нацелен на свободу слова».
Никто не застрахован
20 мая 2015 года APT28 попал в Бундестаг Германии и начал кражу данных с серверов после запуска вредоносной программы Sofacy в своих системах. После атаки директор Бундестага Хорст Рисс посоветовал другим сотрудникам не открывать файлы или ссылки по электронной почте50. В августе 2015 года APT28 начал целенаправленный фишинг в EFF, Electronic Frontier Foundation. Группа попыталась использовать электронную почту для привлечения целей на поддельный сайт «electronicfrontierfoundation.org». Официальный сайт EFF находится по адресу «eff.org». Oracle установила нулевой день в Java.51
21 июля 2016 г., накануне Олимпийских игр в Рио-де-Жанейро, Всемирное антидопинговое агентство или ВАДА рекомендовало запретить всем российским спортсменам участвовать в Олимпийских играх 2016 г.52. ВАДА полагало, что на национальном уровне предпринимались систематические усилия по использовать и скрывать от агентства незаконные допинговые агенты. ВАДА пришло к компромиссу с олимпийской сборной России, в котором могли участвовать 70% российских спортсменов, а 110 - нет. Хотя казалось, что вопрос был решен, CYBER BEARS загрузили в WADA масштабную кампанию целевого фишинга FANCY BEAR.
15 августа 2016 года заинтересованные стороны в ВАДА были уведомлены о кампании по электронной почте, нацеленной на фишинг участников, заставляя их переходить по поддельным веб-сайтам, которые выглядели как официальные порталы ВАДА. Домены водопоя были недавно приобретены 8 августа 2016 года вместе с дополнительными доменами, не использовавшимися в забастовках, но, возможно, предназначенными для будущих целей. Домены были зарегистрированы на пользователей, как если бы они находились в Риве, Латвия. URL-адреса были «wada-awa.org» и «wada-arna.org», которые не были связаны с организацией.