«Огромная база данных»: почему российские спецслужбы подозревают сервисы e-mail-рассылок в пособничестве ВСУ

«Здравствуйте. Вам звонят из Вооружённых сил Украины. Ваш сын попал в плен. Чтобы мы включили его в списки для обмена военнопленными, переведите нам 500 тыс. рублей», — по этой схеме начинается разговор мошенников с Украины с родственниками военнослужащих. 

О таком случае рассказал один из российских военных, который на самом деле в плен не попадал. 

«Мамке позвонили, сказали: «Ваш сын в плен попал», — рассказал военнослужащий каналу «Вооружённые силы Новороссии». — А она сказала: «Он даже воевать ещё не уехал, чтобы вы его в плен взяли». А я рядышком сидел».

Такая работа мошенников невозможна без обладания персональными данными военнослужащих и их родственников. По оперативной информации, часть этих данных СБУ могли передать сотрудничающие с Киевом компании, обрабатывающие персональные данные россиян.

Полученные сведения используют в своих целях Центры информационно-психологических операций (ЦИПсО) ВСУ. Это подразделения, задача которых — провоцировать панику у россиян, подрывать авторитет власти, снижать боевой дух воинских подразделений. Звонки родственникам солдат и вымогательство у них денег — только один из методов.

Силы ЦИПсО были внедрены в армейскую структуру Украины в 2004 году, тогда они были частью разведки ВМС Украины. Один из центров базировался в Севастополе, другой — в Одессе. К 2014 году, после событий «майдана», эти центры перешли под юрисдикцию Сил специальных операций (ССО).

Передать данные россиян центрам могли лояльные украинским спецслужбам поставщики или обработчики этой информации, пояснил RT на условиях анонимности один из IT-специалистов, участвовавший в подготовке обращения в правоохранительные органы, Иван Семёнов (имя изменено). Такими поставщиками, по его словам, могли быть сервисы для рекламной интернет-рассылки, имеющие украинских собственников и обрабатывающие данные на зарубежных серверах. 

В обход закона

По информации собеседника RT, в фокус внимания правоохранителей попали три сервиса e-mail-рассылок, имеющие среди учредителей граждан Украины и других государств. Айтишник, консультировавший силовиков, показал RT копию ответа из ведомства, куда было направлено заявление. В распоряжении редакции есть эти документы и названия всех компаний, но, поскольку факты нарушения законодательства с их стороны пока проверяются, далее мы приводим название только одной из фирм, информация по которой уже нашла подтверждение. 

Первый из этих сервисов имеет материнскую компанию в Польше. Данные клиентов она обрабатывает на серверах в США и Польше, согласно метаданным сайта. Материнская компания в начале СВО публично выразила поддержку Украине, однако бизнес в России не свернула. Среди её клиентов остаются сети крупных магазинов бытовых товаров и косметики, а также компании грузовых перевозок. Согласно данным, предоставленным источником на рынке, польская компания продолжала взаимодействие с этими клиентами как минимум до мая. Её годовая выручка в 2021 году составила 137,7 млн рублей, по данным сервиса «Контур.Фокус». 

У второго сервиса материнская компания — на Украине. Обработка её данных ведётся в Латвии. При этом в колонке в профильном IT-издании топ-менеджер утверждает, что компания «использует дата-центры, которые находятся в России», и ссылается на требования закона 152-ФЗ «О персональных данных». В 2021 году она заработала 145 млн рублей, по данным сервиса «Контур.Фокус». Компания отправляет рассылки абонентам одного из поставщиков сотовой связи, клиентам сети ресторанов быстрого питания, читателям крупного новостного агентства.

Наконец, третьим из этих сервисов оказалась компания SendPulse со штаб-квартирой в Чернигове. В России она представлена обществом с ограниченной ответственностью «Компания SendPulse». В числе его клиентов — крупные российские и зарубежные компании: авиакомпании, провайдеры цифровых услуг, производители различных товаров, ресторанные сети. Их клиенты получают рекламу и оповещения об акциях на почту и в мессенджеры. А рассылает эти уведомления сервис SendPulse. 

Компания является резидентом «Сколково», что позволяет ей платить налоги по сниженной ставке. Российская «дочка» SendPulse в 2021 году, согласно базе сервиса «Контур.Фокус», заработала 136,5 млн рублей. 

SendPulse тоже не хранит и не обрабатывает персональные данные россиян внутри страны. Согласно предоставленному IT-специалистом Семёновым анализу, они записываются на серверы в Германии. 

«У всех поименованных компаний основной костяк клиентов — именно в России, — говорит айтишник. — Эти компании имеют офисы в России, однако в них по факту почти никто не работает: они созданы лишь для приёма денег и обработки заказов. Реальная разработка, а также команды из 100—200 разработчиков, системных администраторов и операторов поддержки находятся в Киеве, Одессе, Чернигове, Гданьске». 

То, что это «фирмы для приёма денег», подтверждается годовой отчётностью компании SendPulse — чистая прибыль составляет 101,3 млн рублей при общей выручке 136,5 млн рублей. При этом основная статья расходов SendPulse — управленческая. 

RT изучил результаты WHOIS-анализа и инспекции сайтов SendPulse, а также анализ почтовых сообщений, входящих в рассылку. Согласно этим данным, SendPulse не записывает данные клиентов на российские серверы, как это предписывает закон «О персональных данных», а сразу гонит их за рубеж. Это нарушение трудно заметить сразу. 

«В законе «О персональных данных» нет запрета на хранение данных в облаке, — объяснил RT основатель сервиса DashaMail.ru Даниил Соснин. — Главное условие — дата-центр выбранного облачного провайдера должен находиться в России. По разъяснениям Минкомсвязи, данные можно передавать и за рубеж — например, для обработки. Но первый раз их нужно записать на сервер, который физически находится на территории РФ». 

По предоставленным RT аналитическим данным видно, что первоначальная загрузка и вся работа ведётся сразу на серверах в Германии (SendPulse), а также в США и Латвии (другие сервисы). Это может проверить любой человек, введя домены этих сайтов в онлайн-анализатор IP и через WHOIS-сервисы. 

Именно этот анализ лёг в основу заявления в правоохранительные органы.

На пульсе ВСУ

Компанией SendPulse на 49% владеет гражданин Украины Константин Макаров, согласно информации сервиса «Контур.Фокус». 10 марта 2022 он через соцсети заявил, что его компания уходит из России и прекращает обслуживание клиентов в связи со специальной военной операцией.

«Да, к сожалению, у нас была большая доля продаж на рынке в России, поэтому у компании начинаются сложные времена, — пишет Макаров в Facebook*. — Нам придётся сократить около 100 человек штата и, вероятно, снизить зарплаты, но выхода нет».  

Однако, как выяснил RT, в реальности дела обстоят не так. 

SendPulse продолжает сотрудничать с российскими клиентами и зарабатывать на них деньги. Например, в июне 2022 года он оказывал услуги одному из государственных фондов, а в мае делал рассылку для сети медицинских лабораторий. Эти данные RT передал IT-специалист Семёнов, а он, в свою очередь, получил их от знакомых сотрудников SendPulse, которые не поддерживают политику руководства. 

Заработанные деньги Макаров, судя по информации собеседника RT и соцсетям, выводит из России и тратит на помощь ВСУ. Согласно данным, которые предоставили сотрудники SendPulse через Семёнова, в феврале 2022 года Макаров пятью траншами вывел со счетов фирмы 20 млн рублей в виде дивидендов на свой счёт в украинском ПриватБанке. 

Эти и другие средства, заработанные на бизнесе, Макаров тратит на покупку автомобилей, обмундирования и оборудования для подразделений ВСУ. Об этом сообщает он сам в соцсетях.

«На днях передаём ещё один пикап Nissan Navarro в ВСУ, — сообщает сам Макаров на своей странице в Facebook 4 ноября. — Осталось перепроверить состояние машины — и на передовую».

На фотографии — подержанный внедорожник, на капоте которого полотнище с логотипом сервиса SendPulse. 

• © Фото из соцсетей Константина Макарова

На поддержку армии Украины Макаров не только тратит свои деньги, но и обращается к подписчикам за помощью в коллективном сборе средств. Это как минимум второй пикап, который за время СВО Макаров подарил ВСУ. Одна машина, судя по скриншотам в его соцсетях, обошлась в 155 тыс. гривен (257 тыс. рублей). 

В начале октября он помог украинским зенитчикам купить спутниковое оборудование Starlink от компании Илона Маска. 

«Мы продолжаем отчитываться о совместных проектах с Константином Макаровым (компания SendPulse), — пишет волонтёрское объединение «Сотрудничество-22» под постом о покупке спутникового оборудования. — Огромное спасибо за вашу помощь!» 

Ранее, в августе и сентябре, Макаров покупал для военных минимум два квадрокоптера DJI, следует из публикаций «Сотрудничества-22» и самого Макарова в Facebook. 

Рассылка вслепую

ВСУ могут сотрудничать с украинскими сервисами e-mail-рассылок для сбора разведданных и проведения психологических операций, полагает директор Ассоциации профессиональных пользователей социальных сетей и мессенджеров Владимир Зыков.

«Подобные сервисы собирают не только e-mail-адреса — они занимаются ещё и рассылками в мессенджерах, — объясняет эксперт. — В их распоряжении оказываются телефоны и Ф. И. О. клиентов российских компаний, потому что обычно компании стараются максимально полно представить анкету клиента». 

По его словам, даже если всех данных пользователя у украинской стороны не окажется, восполнить их сведениями из других источников несложно. А потом всю информацию могут передать в те же ЦИПсО. 

«Чувствительная персональная информация с большой вероятностью может оказаться у спецслужб Украины и использоваться для поиска людей или шантажа. Ведь это огромная база — с именами, номерами телефонов и адресами электронных ящиков, — говорит Зыков. — Данные пользователей могут попасть в руки любых спецслужб, а, учитывая нынешнюю ситуацию, они обязательно этим воспользуются, если уже не воспользовались».

Сам пользователь не может себя обезопасить — это зона ответственности наших маркетологов, с сожалением отмечает эксперт. 

«Не пользователи выбирают, у кого именно компания, клиентами которой они являются, будет заказывать рассылку рекламы», — заключил он.  

* Продукт Meta, деятельность признана экстремистской, запрещена на территории России по решению Тверского суда Москвы от 21.03.2022.