Сумма в этой истории смешная, 299 рублей. Интересна не она, а то, что схема построена под добросовестного исполнителя: чем честнее ты хочешь сделать работу, тем вероятнее заплатишь сам. Подробный разбор с хронологией мы выложили на Хабре в двух частях (первая, вторая). Здесь короче и про другое: какие проверки на каждом шаге показали бы, что заказа нет, и какие из них можно сделать за пять минут до отклика.
Что произошло
22 октября на Kwork висел заказ «Создать парсер»: выгрузить названия своих файлов из облачного хранилища aroshka.cloud. Бюджет до 15 тысяч, работы на пару часов. Заказчик написал, что у сервиса есть API, нужен только тариф, прислал ключ, который не работал, и переслал ответ поддержки, будто документацию нельзя скачать. Мы решили не тянуть, оплатили тариф Pro за 299 рублей, чтобы увидеть документацию самим. Заказчик пообещал оформить заказ через двадцать минут и пропал.
Через сутки Kwork заблокировал его аккаунт «за грубое нарушение правил системы». Деньги сервис вернул по претензии на следующий день. А сам вывод, ради которого стоит читать дальше, такой: каждый признак фейка был виден до оплаты, мы просто не смотрели.
Профиль заказчика и его остальные проекты
Аккаунт заказчика был зарегистрирован 19 октября, за три дня до заказа. Восемь проектов, ноль процентов найма. Это само по себе ещё не приговор, новые заказчики бывают. Решает другое: все его открытые проекты вели на один и тот же сервис. Парсер файлов из aroshka.cloud, «авторизация как на aroshka.cloud», объяснить перенос файлов по статье из блога aroshka.cloud.
Второй аккаунт, тоже с нулевым наймом, в те же дни разместил «блог как у Aroshka Cloud», «функцию экскурсии как у aroshka.cloud» и «найти основателя и согласовать выкуп сервиса за 4 миллиона». На заказ про блог откликнулись 103 исполнителя, и чтобы понять задачу, каждому пришлось открыть блог сервиса.
Проверка
Если все проекты заказчика крутятся вокруг стороннего сайта и каждый требует там зарегистрироваться, цель заказчика не ваша работа, а ваша регистрация. Это проверяется за минуту: открыть профиль и пролистать проекты.
Ключ API, который не мог работать
Ключ, который прислал заказчик, мы сначала приняли за обрезанный. На Хабре в первой части так и написали, и это была наша ошибка. Когда мы получили настоящий ключ в оплаченном кабинете, сравнение оказалось хуже.
| Настоящий ключ Aroshka | Ключ от заказчика | |
|---|---|---|
| Формат | номер, вертикальная черта, строка | одна строка |
| Длина строки | 48 символов | 64 символа |
| Символы | заглавные, строчные, цифры | только строчные a-f и цифры |
| Хвост | случайный | …7f6b5c4a3e2d1f0b9a8e7d6c5b4a3f2e1d0c9b8a |
Посмотрите на хвост присланного ключа: цифры идут подряд, как при счёте, 7, 6, 5, 4, 3, 2, 1, 0, 9, 8. Это не обрывок ключа, а строка, набранная руками, чтобы выглядеть как ключ.
Проверка
Попросите у заказчика тестовый запрос, который у него работает, или пусть он сам сгенерирует ключ при вас в созвоне. Ключ, который не проходит даже авторизацию, это повод остановиться, а не купить свой доступ.
Кому ушли деньги
Квитанция в кабинете сервиса говорила только «Aroshka Cloud» и называла платёжного провайдера. На сайте сервиса, в соглашении, политиках и контактах нет ни названия компании, ни ИНН, ни адреса. Мы проверили это дважды, 22 и 23 октября.
Получателя мы нашли по чеку банка. Оплата шла по QR-коду СБП, а в чеке СБП банк пишет торговую точку, юрлицо получателя, его банк и счёт. У нас это была точка Arcadia Labs с адресом в Бишкеке, получатель ООО «Квалигейт», счёт начинался с 40807. Такие счета открывают нерезидентам. ИНН у «Квалигейта» начинается с 9909, так нумеруют иностранные организации, вставшие на учёт в российской налоговой.
Проверка
Совет отсюда пригодится не только на бирже. Если сервис не пишет, кто он, откройте в приложении банка подробности операции СБП. Там будет юрлицо, и по нему уже можно писать претензию.
Правила партнёрки, которые сломали объяснение сервиса
У aroshka.cloud есть партнёрская программа: 10% с первой оплаты приглашённого пользователя. С 16 октября по 14 ноября шёл конкурс, где 2 000 долларов получал партнёр с самой большой суммой первых оплат. Серия заказов пришлась ровно на него.
После нашей публикации сервис выпустил в блоге пост о фейковых заказах и интервью с основателем, и объяснение было такое: нечестные партнёры хотели получить свои 10%. Мы проверили это по правилам самого сервиса. Начисление партнёру бывает, только если человек пришёл по его ссылке с параметром ?ref=. Поля для кода партнёра в форме регистрации нет. Партнёром может быть только владелец платного тарифа. А ссылки не было нигде: ни в одном заказе серии, ни в переписке. Мы регистрировались сами, без чужих ссылок.
По правилам самого сервиса партнёр с этих заказов не мог получить ни рубля. Оплаты, регистрации и сотня исполнителей, читавших блог, достались только сервису. Кто размещал заказы, мы не знаем, прямых доказательств у нас нет, и утверждать мы этого не будем. Но объяснение про партнёров с правилами программы не сходится.
Проверка
Когда сторона объясняет, что произошло, сверьте объяснение с её собственными опубликованными правилами. Часто этого хватает, чтобы версия развалилась без всякого расследования.
На чём собран сервис
Попутно мы посмотрели код страниц. Aroshka Cloud собран на BeDrive, готовом скрипте файлового хранилища от Vebto с CodeCanyon. Совпадает версия 3.2.2, все 30 css-переменных с префиксом --be-, стандартные служебные меню скрипта вроде «Drive Sidebar» и «Admin Sidebar» и весь API. Сравнить может любой: исходный код страницы сервиса против демо BeDrive.
Готовый скрипт сам по себе не порок. Важно другое: «закрытая документация только для платного тарифа» оказалась стандартным API коробочного продукта, тем же, что у любой другой установки BeDrive.
Как вернули деньги
Мы написали претензию со ссылкой на статью 32 закона о защите прав потребителей (отказ от услуги, которой не воспользовались) и приложили реквизиты получателя из банковского чека. Поддержка подтвердила возврат в тот же день, деньги пришли на следующий. Без просьбы нам ещё начислили 300 рублей «компенсации» на внутренний баланс сервиса. На следующий день сервис заблокировал наш аккаунт за публикацию документации API на GitHub. Вечером 23 октября aroshka.cloud перестал открываться вообще, из России и из проверок в других странах. Почему, мы не знаем.
Что проверять до отклика
Мы много работаем с биржами, и теперь у нас на такие заказы короткий список проверок, который занимает минуты.
- Дата регистрации заказчика и процент найма.
- Остальные его проекты. Если все ведут на один сторонний сайт, дальше можно не читать.
- Доступы до начала работы: рабочий ключ, тестовый запрос, учётка от заказчика.
- Никаких оплат из своего кармана, пока заказ не оформлен через безопасную сделку. Если работе нужен платный тариф, его оплачивает заказчик.
- Если всё-таки заплатили, сохраните переписку и чек банка. С реквизитами получателя претензию воспринимают всерьёз даже на 299 рублей.
Документацию API и предупреждение для фрилансеров мы выложили в открытый репозиторий, там же подробности для тех, кому попадётся похожий заказ.