Как Telegram-боты сливают информацию о россиянах

Ежедневно услугами Telegram-ботов по «пробиву» людей пользуются сотни тысяч россиян. Все они — потенциальные преступники, которым грозит до двух лет лишения свободы. Но клиентов всевидящих ботов эти угрозы не останавливают. Неуверенные в себе молодые люди, желающие «пробить» очередную подружку из Tinder, полицейские, которым позарез нужна выгрузка информации, чтобы закрыть проверку по неудобному заявлению, сотрудники микрокредитных организаций — все вместе они приносят создателям ботов десятки миллионов рублей. Daily Storm рассказывает о том, как устроен рынок интернет-пробива, и какие методы используют хозяева Telegram-сервисов, чтобы зарабатывать и ускользать от внимания правоохранителей.

Самый популярный в России Telegram-бот для «пробива» называется «Глаз Бога». Его владельцы утверждают, что их сервисом пользуются около миллиона человек.

В российском сегменте Telegram насчитывается около 40 аналогичных систем. Каждая из них имеет свою «подложку» (обычно даже не одну, а несколько) — базу данных, в которой бот находит все необходимые сведения по запросу пользователя. И самым ценным ресурсом для организаторов «пробива» является информация, а бот — лишь оболочка.

Кнопка Start

— Наш бот «Деанонимайзер» вырос на основе разработанной нами системы для идентификации человека по номеру телефона или никнейму в одноименном мессенджере, — рассказывает Игорь Бедеров, руководитель компании «Интернет-розыск».

По его словам, незадолго до запуска бота ему удалось опробовать систему на реальном кейсе. К Бедерову обратились за помощью оперативники, которые вели дело об убийстве следователя по особо важным делам Евгении Шишкиной. В СМИ этот случай называли «первым заказным убийством, организованным через даркнет».

Заказчиком преступления был бежавший из России наркоторговец и хакер Ярослав Сумбаев. Шишкина вела дела о взломе баз данных РЖД и авиакомпании «S7», за которыми стояла группировка Сумбаева. В какой-то момент профессиональное противостояние превратилось в личное, и Сумбаев стал считать Шишкину своим личным врагом.

В 2018 году он попросил сотрудника своего магазина по продаже наркотиков на площадке Hydra — старшеклассника Ивана Кочеткова — «кое-кого убрать» за миллион рублей. Парень согласился и привлек к делу своего товарища — Абдулазиза Абдулазизова. 9 октября 2018 года они убили женщину-следователя.

«… Я подошел к женщине (Шишкиной), в этот момент она, увидев, как я достаю пистолет, замахнулась на меня. Уклоняясь от удара, я поскользнулся и уперся левой рукой об землю, а правой произвел выстрел в живот. После этого я поднялся и выстрелил ей в область шеи, она при этом лежала на земле», — рассказывал на допросе Абдулазизов.

По словам Бедерова, после убийства к нему обратились сотрудники полиции, которым нужно было извлечь максимум возможной информации из Telegram жертвы.

— Шишкина неоднократно сообщала коллегам о том, что получает анонимные угрозы в мессенджере Telegram, — уточняет Бедеров. — Юзернейм одного из профилей, с которых поступали угрозы, в точности повторял домашний адрес убитой. Его-то меня и попросили деанонимизировать.

Компания Бедерова начала автоматический «прогон» всех телефонных номеров, которые так или иначе фигурировали в деле убитой.

— В результате всплыл телефон угрожающего: один из «прогоняемых» номеров оказался привязан к пользователю Telegram, никнейм которого повторял адрес Шишкиной. Судя по всему, это был один из помощников Сумбаева, заказчика убийства.

После этого доказавшая свою эффективность правоохранительной системе программа «Деанонимайзер» стала Telegram-ботом. В отличие от множества других, эта система бесплатная, но ее функционал ограничен связкой «никнейм в Telegram — телефонный номер».

Полмиллиона в сутки — на пробив

За больший объем информации приходится платить деньги. Сейчас существуют две системы монетизации контента: разовая оплата (от 30 до 250 рублей за запрос — в зависимости от бота) и подписка на определенный период (от 65 до 1000 рублей за сутки, с системой скидок для тех, кого интересует более длительная подписка).

Сервис «Глаз Бога» сейчас выглядит своего рода гегемоном на рынке интернет-пробива. Если каждый из заявленных сервисом одного миллиона пользователей хотя бы раз покупал самую дешевочную суточную подписку за 65 рублей, то Telegram-бот уже сейчас принес своим создателям 65 миллионов рублей.

К сожалению, более детализированную статистику (количество новых подписок в день, объем запросов и так далее) администраторы «Глаза Бога» не раскрывают.

Другой крупный отраслевой бот (выдает не всю возможную информацию о пользователе, а сведения только из одной конкретной сферы) AVinfoBot, наоборот, публикует сведения о количестве отчетов в сутки — 15 тысяч. Стоимость каждого — 150 рублей. В сумме получается более двух миллионов рублей. За счет скидок, которую дают подписки, заработок может падать, но порядок остается прежним.

Судя по социальным сетям того и другого сервиса, объем активных пользователей «Глаза Бога» может быть примерно в три раза больше, чем у AVinfoBot. Но при этом стоимость суточной подписки у «Глаза Бога» ниже в 11 раз. Получается, что оборот сервиса в денежном эквиваленте имеет потолок в 200 тысяч рублей за сутки.

Специалисты, занятые в сфере кибербезопасности, согласившиеся поговорить с корреспондентом Daily Storm, считают показатели, которые демонстрирует администраторы ботов, завышенными. Но не сильно.

— «Глаз Бога» в любом случае насчитывает несколько сотен тысяч юзеров. Количество пользователей крупнейших ботов, функционирующих годами, легко переваливает за половину миллиона, — рассказал собеседник Daily Storm.

По словам самих администраторов ботов, среди их клиентов встречаются представители любых слоев общества и даже профессий. Очень много полицейских, которым легче заплатить небольшие «отступные» боту, чем прорываться через бюрократическую машину к официальным базам данных.

— Участковые всех заявителей ежедневно проверяют через этого бота. Берут информацию из отчета, меняют шрифт на Times New Roman и несут начальству. В ведомственные базы они не смотрят — некогда пароли вводить и основание для поиска указывать, — рассказал Daily Storm сотрудник правоохранительных органов.

Владельцы ботов признаются, что к ним на сервисы заходят и другие полицейские: их, судя по запросам, можно идентифицировать, как сотрудников наркоотделов. Они ищут пользователей из даркнета, используя для этого жаргонные названия наркотиков. К такому же методу иногда прибегают и наркозависимые, чтобы найти себе дилера.

Другие постоянные пользователи ботов: любители «пробивать» девушек из Tinder и сотрудники банковских служб безопасности.

Data Source

Летом 2016 года хакер Peace_of_mind выставил на продажу дамп базы данных «ВКонтакте» с информацией о 100 миллионах аккаунтов соцсети. Хакер разместил базу на дарнет-форуме и оценил ее в один биткойн. Это около 38 тысяч рублей по курсу на июнь 2016 года. В том же году случилась многомиллионная утечка данных о пользователях Rambler. 

Сегодня на даркнет-форумах за 72 тысячи рублей можно купить дамп базы данных сервиса «Авито», содержащий информацию о паролях и почтовых адресах 29 миллионов пользователей, а база маркетплейса Joom, содержащая информацию о 550 тысячах клиентов российских банков (ФИО, телефон, email, название банка, номер карты), продается за 228 тысяч рублей.

Часть этих данных — подделки или просто устаревшая информация. Например, в дампе, на котором пытался заработать Peace_of_mind, сотрудники «ВКонтакте» опознали старую базу логинов и паролей, которую мошенники собирали в период с 2011-го по 2012 год.

Однако многие сливы, распространяемые в даркнете, содержат актуальную информацию. Более того, не все они платные. 

В июне 2020 года на теневых форумах и в Telegram-каналах бесплатно распространялась база с данными пользователей Telegram, из которых около 12 миллионов — россияне. В апреле этого года в публичном доступе оказалась база данных почти 34 миллионов юзеров «Живого Журнала», содержащая электронные адреса, пароли и ссылки на профиль пользователя.

Аккумулируя информацию из сливов, владельцы Telegram-ботов формируют собственные базы данных, к которым обращаются с запросами пользователи.

Чаще всего базы состоят из комбинаций нескольких связок, в которых может содержаться нужная информация: «пароль + email», «телефон + email», «страница «ВКонтакте» + телефон + email». Например, если человек регистрировался под одной электронной почтой на сайтах «ВКонтакте», LiveJournal, MySpace и Last.fm, то крупному боту достаточно будет отправить в запросе адрес электронной почты или ID страницы «ВКонтакте», чтобы получить структурированную информацию из всех доступных дампов. 

Боты, работающие с информацией об автомобилях, собирают базы, утекшие из ГИБДД и страховых компаний.

Ценность бота, в первую очередь, определяется размером и глубиной его массива данных.

«Устраиваетесь на работу? Продаете машину? Или просто хотите напугать человека тем, что у вас есть абсолютно вся информация о нем?! Представляем вашему вниманию бот «Архангел», — такое сообщение, размещенное в начале сентября 2020 года, можно было встретить на одном из даркнет-форумов.

Администраторы этого бота не собирают базы данных — он подключен к одной из информационно-аналитических систем. Пользователь, скрывающийся под ником Colombo и зарабатывающий на «пробиве» людей, в разговоре с корреспондентом Daily Storm предположил, что «Архангел», вероятно, использует одну из двух похожих систем: Protocol или Solaris.

Разработчики этих систем подгружают на свой сервер базы данных разной степени актуальности, содержащие персональную информацию о доходах физических лиц, их паспортные данные, сведения о недвижимости и авиаперелетах.

Корреспондент Daily Storm, заказав выписку на самого себя, убедился, что в выдаче появилась актуальная информация об авиаперелетах в 2016 году, паспортные данные и прошлогодняя справка о доходах. 

Colombo утверждает, что система Protocol появилась в 2018 году и была разработана «безопасниками и людьми из частного сыска». Изначально основными клиентами были службы безопасности банков, юридические фирмы и кредитные организации, но затем к ней подключились и владельцы Telegram-ботов. Сейчас в системе порядка 30 терабайтов данных. 

Стоимость одной выписки из системы Protocol стартует от 250 рублей. Такой же ценник выставляют и боты, работающие с паспортными данными.

Часть сервисов использует и легальные возможности социальных сетей и мессенджеров, автоматизируя процессы. Например, если в «Глаз Бога» вбить случайный адрес, то в боте появится кнопка «Люди рядом». Она выдает список аккаунтов Telegram, «засветившихся» рядом с указанным адресом. Вероятно, «Глаз Бога» может собирать информацию об участниках геочатов Telegram, появившихся в 2019 году. Для этого бот подменяет свой адрес, используя инструменты вроде Mock Locations, и сканирует чаты по заданному адресу. 

Системная ошибка

Бурное развитие Telegram-ботов произошли во многом из-за открытости исходного кода мессенджера. Бота можно написать на любом языке программирования, хотя чаще всего используется Python. Но широко используются и PHP c JavaScript. 

Можно обойтись и вовсе без программирования: есть конструкторы ботов, позволяющие быстро и удобно собрать нужный инструмент. Например, крупный Telegram-бот для «пробива» HowToFind (агрегатор инструментов и ботов для поиска информации о человеке) был создан на подобном конструкторе. 

Разработка и внедрение Telegram-бота — легальны. Но боты, использующие «слитые» или купленные на теневом рынке базы с персональными данными человека — вне закона. 

— Все, что подразумевает использование неправомерно полученных персональных данных, — разумеется, незаконно, — утверждает Екатерина Абашина, адвокат и юрист РосКомСвободы и DigitalRightsCenter. — Когда человек тайно пробивает другого человека через такого бота — он совершает вмешательство в его частную жизнь, а администратор бота, вдобавок к этому, — незаконную обработку персональных данных и извлечение прибыли незаконным путем. С одной стороны, и для владельца такого бота, и для пользователя предусмотрено административное (ст. 13.11 КоАП РФ) и уголовное наказание (ст. 137 УК РФ), но ситуация осложняется тем, что идентифицировать нарушителя очень сложно, тем более на платформе мессенджера Telegram.

В России еще не было прецедента, когда полицейские задерживали бы администраторов бота для пробива. Однако в июле 2020 года подобная история произошла на Украине. В апреле в местных медиа появилась информация о Telegram-боте UA BAZA, который продавал персональные данные: водительские права с фотографией, паспортные данные человека. Министр цифровой информации Украины тогда утверждал, что бот загружает сведения из баз, которые уже не один год доступны в даркнете. Например, из слитой базы «Приват Банка».

Уже в июне полиция совместно с СБУ провели 36 обысков и установили личности создателей UA BAZA. Из 25 человек, причастных к созданию бота, восемь были задержаны в качестве подозреваемых. Один из задержанных работал в неназванной частной компании. Когда он получил доступ к базе данных фирмы, то надеялся реализовать ее за десять тысяч долларов, но был задержан. Еще один злоумышленник оказался хакером — он получил доступ к реестрам страховых компаний. 

Собеседник Daily Storm из российских правоохранительных структур считает, что создателей бота погубило то, что они самостоятельно взламывали базы данных, получали доступ к серверам компаний и оттуда забирали персональные данные. Российские боты для пробива покупают украденную информацию, а не пытаются достать ее самостоятельно.

Флешбэк

Точкой отсчета истории Telegram-ботов для пробива в России принято считать появление AVInfo. Формально он был зарегистрирован в Telegram в конце 2015 года, но активно заработал уже в 2017-м.

Для того чтобы узнать дату регистрации того или иногда бота, тоже нужно воспользоваться услугами бота — id bot. Получив от него нужный идентификатор, необходимо заслать его в бот Creation Date, единственная функция которого — выдача даты создания профиля.  

Создатели AVInfo шли к его релизу в Telegram постепенно: сначала они разработали сайт для поиска подержанных автомобилей, потом представили инструменты будущего бота AVInfo в виде веб-системы. Уже в 2017 году бот был презентован ярким рекламным роликом «С девушками не прокатит».

В 2017 году ботом можно было пользоваться за 1000 рублей в месяц. Сейчас цена поднялась до 2500 рублей. Его функционал расширился: AVInfo формирует полноценный чек-лист по проверке автомобиля. Он умеет проверять историю автомобиля по госномеру, VIN-коду и телефону продавца. В отчете AVInfo есть фотография машины, сведения о ДТП и подробные данные о происшествии, информация о пройденных техосмотрах, штрафах и работе в такси. Если у автомобиля скручен пробег — это тоже отразится в отчете.

В мае 2018 года появился второй крупный игрок на рынке Telegram-пробива — SmartSearchBot. Изначально он был бесплатным, а его разработчики уверяют, что работа над ботом была не более чем хобби. Потом появилась более высокая цель — организация свободного доступа к информации. Бот стремительно набирал популярность во многом из-за поддержки в среде «осинтеров» (от слова OSINT — сбор информации на основе открытых источников).

Многим симпатизирует то, что бот не собирает информацию о своих пользователях: не просит вступать в чаты, делиться своим номером телефона.

Разработчики SmartSearchBot рассказывают, что на раннем этапе они пытались организовать взаимодействие с AVInfo, как старейшим игроком на рынке. Но тогда владельцы AVInfo проигнорировали запросы о коллаборации. 

SmartSearchBot умеет находить сведения по номеру телефона, странице «ВКонтакте», email-адресу и по ИНН. Подгружает информацию о зарегистрированных на человека фирмах и показывает его объявления на Avito. Модное направление поиска по фотографии не обошло SmartSearchBot стороной: бот взаимодействует с сервисом FindClone. На заре своего становления месячная подписка на SmartSearchBot стоила 199 рублей. Сейчас цена выросла на 100 рублей. 

В конце 2019 года на сцене появился «Глаз Бога». По словам администраторов SmartSearch, создатели «Глаз Бога» не стали изобретать велосипед, а копировали то, что было придумано до них:

— Цены, FAQ, источники данных, сами данные, пытались нас парсить… Вплоть до того, что от момента создания и по сей день запрашивает в нашем боте данные для своих пользователей. Мы не обижаемся, мы — за свободу информации и рынка.

Тем не менее, «Глаз Бога» буквально за несколько месяцев проделал путь от андердога до фаворита рынка ботов. Их Telegram-канал насчитывает почти 250 тысяч человек. В нем администраторы бота сообщают о новых базах данных, которые подключили к боту, и постят ситуативные лайфхаки и мемы. 

Администраторы «Глаза» агрессивно ведут себя на рынке: скупают рекламу у крупных Telegram-каналов и у блогеров-миллионников на YouTube. Например, в октябре на YouTube-канале overbafer1 (более миллиона подписчиков) вышел видеоролик, посвященный OSINT, где несколько минут рассказывалось о возможностях бота. Правда, ведущий назвал «Глаз Бога» не ботом, а Telegram-каналом. Также автор блога указал ссылку на бот в описании к видео. 

Считается, что три вышеописанных бота — гегемоны на рынке.

Однако с постепенным развитием рынка, на стыке 2019-го и 2020 года появилось сразу множество более локальных, но важных для рынка пробива ботов.  

Можно отметить бот Eye of Beholder, который показывает, чем интересуется человек. Данные подгружаются с контекстных бирж (веб-реклама на сайтах), трекеров даркнет-сайтов, мессенджера Vipole, а также ботов-модераторов и статистических ботов Telegram, которые используют администраторы каналов и чатов. Благодаря этому боту корреспондент Daily Storm узнал, что он увлекается «мракобесием», «футболом», «игрой Что?Где?Когда?» и «изредко философией», а его географические интересы — «Белоруссия» и «Китай». Все это является правдой.

— Я уже порнуху в «телеге» посмотреть нормально не могу, — признается корреспонденту один из собеседников. — Искал информацию об одном человеке в «Бехолдере», и там вылезло: «порнография», «наркотики», «скам». Кстати, такие пункты бот может выдавать, если человек попал в базы определенных каналов или ботов, которые были перекуплены.