В первой части (https://habr.com/ru/articles/1097776/) мы рассказали, как на Kwork нас подвели к оплате тарифа облачного хранилища aroshka.cloud через заказ, который никто не собирался оформлять. За сутки после публикации случилось многое. Деньги вернули. Kwork заблокировал аккаунт заказчика, в чате теперь висит «Его аккаунт заблокирован за грубое нарушение правил системы». А сам сервис ночью выпустил в блоге два поста, в том числе интервью с основателем, «Араиком из Дубая».

Версия сервиса простая: виноваты партнёры, которые хотели заработать 10% с чужих оплат. Мы проверили её по правилам самого сервиса, по своему кабинету и по переписке. Она не сходится.

Что говорит сервис

В посте «Как не попасться на фейковые заказы на фриланс-биржах» и в интервью основателя схема описана почти нашими словами: заказы «создать парсер», «блог как у aroshka.cloud», нерабочий ключ, исполнитель сам оплачивает тариф, заказчик пропадает. Дальше идёт объяснение. По словам Араика, это «попытка заработать на партнёрской программе. Человек создаёт фиктивный заказ, заставляет другого оплатить тариф и рассчитывает получить с этого 10% вознаграждения».

То же самое нам написали в тикете. «Отдел кибербезопасности» сообщил, что аккаунты whitepersona и dima_volvo нарушили правила партнёрки, их учётные записи в Aroshka заблокированы, партнёрский статус отозван, а «все связанные начисления (включая находящиеся на удержании) отменены». Вдобавок нам без всякой просьбы начислили «компенсацию 300 ₽ на внутренний баланс».

Как устроена их партнёрка

Правила опубликованы в блоге сервиса (https://aroshka.cloud/blog/partnerskaya-programma-aroshka-cloud). Партнёр получает 10% с первой покупки приглашённого пользователя при одном условии: «Пользователь должен перейти именно по ней [партнёрской ссылке], зарегистрироваться в Aroshka Cloud и оплатить первый платный тариф». В правилах конкурса на $2 000 то же самое: учитываются клиенты, «привлечённые по его партнёрской ссылке».

Мы проверили, как это работает технически. Партнёрская ссылка выглядит как адрес сайта с параметром ?ref=, при переходе браузер получает куку referer. В форме регистрации есть только почта и пароль, поля для кода партнёра нет. Других способов привязать нового пользователя к партнёру мы не нашли.

И ещё одно условие видно в любом кабинете, в разделе «Партнёрство»: «Нужен активный платный тариф. Бесплатный тариф 2 ГБ не участвует в партнёрской программе».

Где была ссылка

Нигде. Мы пересмотрели все заказы этой серии и всю переписку.

В заказе «Создать парсер» стоит голый адрес aroshka.cloud/api-docs. В переписке заказчик дважды присылал тот же адрес и больше никаких ссылок на сервис. В заказе «Создать блог для моего сайта» от второго аккаунта ссылка на aroshka.cloud/blog, тоже без параметров. На этот заказ откликнулись 103 исполнителя, и чтобы понять задачу, каждому нужно было открыть блог сервиса. В заказе «Найти основателя aroshka.cloud и предложить выкуп бизнеса за 4 миллиона» ссылок нет вообще.

Мы регистрировались сами, без чьих-либо ссылок. По правилам самой Aroshka это значит, что с наших 299 рублей никакой партнёр не мог получить ни копейки. С сотни исполнителей, которые изучали блог ради заказа, тоже. Деньги и трафик от этой серии заказов достались одному участнику, самому сервису.

Что не сходится

Первое. Сервис объясняет заказы желанием партнёра получить 10%, но по его же правилам без партнёрской ссылки начислений не бывает, а ссылки не было ни в одном заказе.

Второе. «Отдел кибербезопасности» пишет, что отменил начисления этим аккаунтам, «включая находящиеся на удержании». С нашей оплаты начисления возникнуть не могло. Если оно было, то за кого? А если начислений не было, что отменяли?

Третье. Партнёром может быть только владелец платного тарифа. По тексту поддержки, который заказчик переслал нам в чат, у его аккаунта подключён Enterprise. По официальному прайсу это 10 990 рублей в месяц. Партнёр, который платит такие деньги, чтобы заработать 29,90 рубля (10% от 299), выглядит странно. Оговоримся: этот текст мы видели только в пересказе заказчика, сам сервис его не подтверждал.

Четвёртое. В том же пересланном тексте сказано: «мы не предоставляем возможность скачивания … документации». Это неправда. Владелец тарифа скачивает документацию API одним файлом по адресу /api-docs/openapi.json, мы так и сделали, когда оплатили тариф. Именно эта фраза и подтолкнула нас к покупке.

Пятое. Сервис за одну ночь сопоставил ники на Kwork с конкретными аккаунтами у себя, заблокировал их и отозвал «партнёрский статус». Интересно, как, если ни в одном заказе не было ни ссылки, ни кода партнёра.

Где мы ошиблись в первой части

Мы писали, что заказчик прислал «только вторую половину» настоящего ключа. При повторной проверке это не подтвердилось, всё хуже. Настоящий ключ Aroshka выглядит как номер, вертикальная черта и 48 символов вперемешку из заглавных, строчных букв и цифр. Нам прислали 64 строчных символа, и цифры в них идут подряд, как при счёте: …7f6b5c4a3e2d1f0b9a8e7d6c5b4a3f2e1d0c9b8a. Это не обрывок ключа, а строка, набранная так, чтобы выглядеть как ключ. Работать она не могла с самого начала.

Что внутри у Aroshka

Пока разбирались, посмотрели и на сам сервис. Aroshka Cloud собран на BeDrive, готовом скрипте файлового хранилища от Vebto, который продаётся на CodeCanyon (https://codecanyon.net/item/bedrive-file-sharing-and-cloud-storage/12700384). Совпадает версия 3.2.2, все 30 переменных оформления, стандартные служебные меню скрипта и весь API, который сервис называет доступным «только владельцу платного тарифа». Проверить может любой, сравнив исходный код страниц с демо (https://bedrive.vebto.com).

Сам по себе готовый скрипт не грех, на таких работает много небольших сервисов. Но он объясняет, откуда у молодого проекта «отдел кибербезопасности»: за ним стоит не инфраструктура, а купленная коробка с логотипом.

Что мы доказать не можем

Прямой улики, что заказы размещали сотрудники сервиса, у нас нет. Общего IP, телефона или платежа законным путём не получить, и делать вид, что они у нас есть, мы не будем. Сайт maxgg.ru, для которого «заказывали» блог, технически с Aroshka не связан, его, похоже, просто взяли для правдоподобия.

Поэтому вывод сформулируем аккуратно и ровно в пределах фактов. Объяснение сервиса про партнёров, которые хотели заработать 10%, противоречит правилам самого сервиса. Ни один партнёр не мог получить денег с этих заказов. Выгоду от них получил только сервис: оплаты, регистрации и сотню исполнителей, которые изучали его блог. Кто именно нажимал кнопку «Разместить проект», пусть каждый решит сам.

Итог

За два дня у Aroshka нашлись отдел кибербезопасности, основатель в Дубае, интервью, IP-адреса нарушителей и компенсация на внутренний баланс. Не нашлось двух вещей: партнёрской ссылки, без которой их собственная версия не работает, и названия компании, которая отвечает перед людьми за их файлы и деньги. На сайте её нет до сих пор.

Сервису мы больше отвечать не будем. Документация API и предупреждение для фрилансеров лежат в открытом репозитории: https://github.com/viktor138irk/aroshka-api-docs

Первая часть расследования: https://habr.com/ru/articles/1097776/

Обновление от 23 октября, вечер. Сервис удалил оба поста о нас: интервью «Араика из Дубая» и «Как не попасться на фейковые заказы». Сейчас обе страницы отдают 404, а в копии списка постов блога в Web Archive от 23 октября, 11:53 UTC, их уже нет (https://web.archive.org/web/20261023115340/https://aroshka.cloud/blog). Версию про «нечестных партнёров», которую мы разбирали выше, сервис публично больше не поддерживает. Наши копии обоих постов сохранены.

Перед этим нам заблокировали аккаунт «за несанкционированное копирование и публикацию в открытом доступе (репозиторий GitHub) документации и API». Отдельного запрета публиковать документацию в условиях использования нет. Есть только общий пункт о том, что интерфейс, программное обеспечение и «оригинальные материалы платформы» защищены законом. Напомним, документацию генерирует готовый скрипт BeDrive.

Ещё одно расхождение. И в интервью, и в ответе нам «отдела кибербезопасности» сказано, что «мотивированный трафик» прямо запрещён правилами партнёрской программы. Мы проверили условия использования, правила использования, правила партнёрки и правила конкурса в копиях от 23 октября. Слов «мотивированный трафик» нет ни в одном из них. В правилах конкурса запрещены только самореферальные покупки, фиктивные аккаунты, мошенничество и накрутка.

Отдельно посмотрели собственный отчёт сервиса о партнёрке за период с 17 сентября по 17 октября (https://web.archive.org/web/20261023121838/https://aroshka.cloud/blog/kak-zarabatyvat-na-oblake-itogi-partnerskoi-programmy-aroshka-cloud-za-mesiac). Партнёры за период «заработали» 89 426 ₽. При этом «выплачено» 72 570 ₽ и ещё 42 189 ₽ «на балансах», вместе 114 759 ₽, на 25 тысяч больше заработанного. Если же верить цифре 89 426 ₽, то при 10% с первой оплаты и 85 оплативших рефералах каждый в среднем заплатил при первой покупке около 10 500 ₽. Это почти цена месячного Enterprise, при том что самый дешёвый платный тариф стоит 119 ₽. В отчёте о росте за август и сентябрь у 4 894 новых пользователей 4,1 миллиона файлов и 8,4 миллиона папок, то есть папок вдвое больше, чем файлов.

И последнее. 23 октября сайт несколько часов не открывался ни с наших машин, ни с сервера в другом дата-центре, ни через сервис проверки check-host из нескольких стран. Сейчас он снова работает, но с нашего адреса не открывается.

Третья часть: https://habr.com/ru/articles/1098602/

Виктор Аксёнов, студия StackWorks