Десять місяців правоохоронної роботи у 2026: спочатку інфраструктура, одразу за нею адміністратори
По десять місяцях 2026 року публічний запис правоохоронної діяльності проти інфраструктури даркнету та кіберзлочинності визначається не гучними закриттями маркетплейсів, а методичним зношенням «труб»: серверів, доменів, ботнетів і послуг, які їх здають в оренду. Цей матеріал збирає лише ті дії, які до середини жовтня анонсували самі відомства - Європол, міністерство юстиції США, BKA, поліція Нідерландів і ФБР, - і шукає закономірність під ними. Кожен випадок посилається на джерело, яке ми відкрили власноруч; чутки та твердження з єдиного блогу до підбірки не пройшли.
Спочатку інфраструктура
Найбільшою скоординованою акцією періоду став червневий удар операції Endgame проти поширення шкідливого програмного забезпечення. Оголошений 24 червня міжнародною коаліцією багаторічної кампанії, удар прийшовся по наборах дроперів та інфостилерів SocGholish, Amadey і StealC: за два тижні взято під контроль 326 серверів і 142 домени, кримінальні криптоактиви на суму понад 41 млн євро позначено та заморожено, а 27 мільйонів викрадених облікових даних вилучено з обігу. Список учасників - Канада, Данія, Німеччина, Нідерланди, Велика Британія, США та Microsoft під координацією Європолу та Eurojust - показує, наскільки рутинним став формат державно-приватного партнерства (operation-endgame.com). Для масштабу: лише листопадова фаза кампанії 2025 року тоді відключила 1 025 серверів. Кількома днями раніше нідерландська поліція зняла з мережі First VPN - кримінальний VPN-сервіс, який рекламувався на кіберзлочинних форумах. В операції Team High Tech Crime разом із французькими владами 19-20 травня демонтовано 33 сервери, ймовірного адміністратора допитали в Україні на запит Франції, а користувачам сервісу повідомили - по суті, що за ними весь цей час спостерігали. Група підтримки Європолу підготувала 83 аналітичні продукти для спільної слідчої команди (politie.nl). У липні настала черга ФБР: 2 липня вилучено сотні доменів NetNut - комерційної резидентної проксі-мережі, пов'язаної з ботнетом Popa на понад двох мільйонах споживчих пристроїв; головну сторінку компанії замінив банер вилучення ФБР. NetNut управляється Alarum Technologies - ізраїльською публічною компанією. Це нагадування, що «інфраструктура ботнету» та «продукт, що котирується на Nasdaq» можуть описувати одну й ту саму машину. За даними KrebsOnSecurity, група threat intelligence Google нарахувала 316 окремих кластерів зловмисників, які використовували вихідні вузли NetNut лише за один тиждень червня (KrebsOnSecurity).Адміністратори, а не продавці
Акції проти маркетплейсів у 2026-му були вузькими та хірургічними. На початку травня франкфуртська ZIT і BKA вимкнули перезапуск Crimenetwork - німецькомовного торговельного майданчика, чиє попереднє втілення впало у грудні 2024 року; ймовірного оператора, 35-річного громадянина Німеччини, заарештували 6 травня на Мальорці за європейським ордером. Перезапуск виріс до понад 22 000 користувачів і понад 100 продавців, приймав Bitcoin, Litecoin і Monero, а зібрані докази вказують на обіг понад 3,6 млн євро; близько 194 000 євро арештовано попередньо. Зверніть увагу, чого не сталося: масових арештів продавців не було. Дані 22 000 користувачів стали доказами, а не цифрою для пресрелізу (пресреліз BKA/ZIT). Жовтневе повідомлення Європолу про KillSec читається так само. Операція KillSwitch під керівництвом земельної поліції та прокуратури Гамбурга 30 вересня взяла під контроль лік-сайт групи та захистила щонайменше 110 терабайтів даних. Ймовірному головному оператору шістнадцять років; ймовірному розробнику в серпні виповнилося вісімнадцять. Три попередні арешти та вісім обшуків припали на Грецію, Румунію, Іспанію та Велику Британію, а домени групи тепер переспрямовують на сторінку повідомлення про вилучення. Європол також повідомив, що група використовувала ШІ-інструменти для побудови та підтримання своєї інфраструктури та виявлення потенційних жертв - деталь, яка каже про 2026 рік не менше, ніж будь-яка кількість арештів (Європол).Довгий хвіст кримінальних справ
Старі справи продовжують дозрівати до вироків. 7 жовтня федеральні прокурори в Чикаго оголосили, що Рагіма Гамільтона, співзасновника даркнет-ринку Empire Market, засуджено до сорока років федеральної в'язниці та штрафу у п'ять мільйонів доларів. Empire працював з 2018 по 2020 рік і провів понад чотири мільйони транзакцій на суму понад 430 мільйонів доларів. Конфіскація - близько 1 230 біткоїнів плюс три об'єкти нерухомості у Вірджинії - наздогнала ринок через роки після його зникнення, і в цьому весь сенс: вилучення миттєві, правосуддя повільне (justice.gov).Тиха четверта колія: санкційні списки
Санкції йшли паралельно до кримінальної колії. 8 жовтня Велика Британія внесла Cryptomus - криптоплатіжну платформу, раніше відому як Certa Payments і Xeltox, - до свого санкційного списку щодо Росії разом із VexPay, TokenSpot і Tsunami Payments (KrebsOnSecurity). Заморожування охоплення платіжної платформи обходиться без банера, але для інфраструктури виведення коштів санкційне внесення може вдарити сильніше за вилучення.Що кажуть банери - і чого бракує
Граматика банерів вилучення не змінилася: домени KillSec переспрямовують на повідомлення правоохоронців, головна сторінка NetNut несе банер ФБР, Crimenetwork і First VPN просто зникають. Відсутності інформативні не менше за дії. У зібраному публічному корпусі за 2026 рік поки:- не вилучено жодного маркетплейсу найбільшого міжнародного класу - єдиним закриттям став німецькомовний перезапуск, що прожив близько півтора року;
- жодна із зібраних дій не є санкціями проти міксера, а єдиний санкційний крок у підбірці спрямований проти платіжної платформи, а не міксера;
- масових арештів продавців, як у попередніх хвилях, не було.