Как один школьник продавал доступ к e-mail-базам и попался
В цифровом мире, где данные — новая валюта, информация из утечек превращается в товар. Кто-то сливает базы. Кто-то покупает. А кто-то — посредник между ними. История, о которой пойдёт речь, произошла не где-то в даркнете и не с участием мафиозных структур. Всё началось с обычного школьника. Он не взламывал. Не обманывал. Просто «дал доступ» к уже слитым e-mail-базам. И считал, что этим всё сказано. Не всё.
Как это началось
Парню было 16. Увлекался Telegram-ботами, скриптами и темой OSINT. На форумах видел, как люди ищут базы для спама, рассылок, продвижения. Один из постов наводит его на мысль: а если собрать всё, что и так валяется в открытом доступе, структурировать, и сделать выдачу по запросу?
Никаких взломов. Только «работа с данными». Всё выглядело вполне легитимно: в описании бота — фраза «для маркетинговых целей», «не используйте во вред» и обязательное согласие с правилами при первом запуске.
Технически — красиво. Этически — серо. Юридически — как выяснилось, чёрно.
Как работала схема
Механика была простой:
- Школьник собирал e-mail-базы из открытых источников. Это были старые утечки, торренты, дампы с форумов и архивы с pastebin.
- Он чистил их с помощью парсера — убирал дубли, фильтровал по доменам, регионам, тематикам (например, «ру», «edu», «бьюти», «финансы»).
- Через Telegram-бота реализовал интерфейс: команда /get — и ты получаешь пачку адресов.
- Оплата — в криптовалюте. Формально это был «донат за доступ к анализу». Фактически — покупка сегмента базы.
- Бот работал 24/7. В рассылке — призыв делиться, реферальная система и обещание «свежих сливов каждый месяц».
Клиенты — арбитражники, email-маркетологи, кто-то из серых рекламщиков. Всё шло как по маслу. До определённого момента.
Где была граница — и как он её перешёл
Ключевая ошибка школьника — он считал, что если база уже слита, значит, её можно распространять. Это не так.
Вот что говорит закон:
- Персональные данные остаются персональными даже после утечки.
- Распространение таких данных — отдельное правонарушение.
- Если распространение идёт за деньги — это сбыт, и дело уголовное.
Сам он не думал, что делает что-то серьёзное. Цитата из объяснительной: «Это было как хобби, не знал, что за это могут посадить».
Как его вычислили
Всё началось с жалобы. Один из пользователей обнаружил свой e-mail в списке, разосланном ботом. Проверив ID сообщения, он нашёл чат, откуда пошла база. Дальше — обращение в поддержку Telegram, подключение специалистов.
Вот как это происходило технически:
- Бот был привязан к номеру, зарегистрированному через SMS-активатор.
- Оплата шла в крипте, но некоторые транзакции были проведены через централизованные биржи.
- Биржа по запросу передала информацию о владельце кошелька — привязка к почте и IP.
- Из IP-адреса — провайдер, школа, квартира.
Школьника задержали без спецэффектов. Телефон, ноутбук, флешки — изъяты. Сам он сначала не понял, в чём проблема. Только после формулировки обвинения — стало ясно.
Чем всё закончилось
Возраст (ему только исполнилось 17) и отсутствие рецидива сыграли ключевую роль. Суд учёл, что:
- он не взламывал сам
- не распространял доступ к паролям
- не знал о правовых последствиях
- сотрудничал со следствием
- имел хорошие характеристики
Вердикт — условный срок. Но с конфискацией техники, наложением запрета на интернет-активность и наблюдением.
Почему эта история важна
Она показывает, как быстро технический интерес может перейти грань. Не обязательно писать вирус. Не обязательно продавать базы в даркнете. Иногда достаточно просто «раздавать по запросу» то, что и так лежит в сети. Но как только ты сделал это публичным — ты стал участником схемы.
Ключевые ошибки школьника
- Не разобрался с юридической стороной. Он считал, что если база лежит в открытом доступе, то она «ничья».
- Сделал интерфейс удобным для массового использования. Telegram-бот, выдающий пачки адресов по команде — это уже «платформа», а не просто скрипт.
- Монетизировал систему. Любая оплата превращает схему в коммерческую. Это не «технический эксперимент», а бизнес.
- Не использовал меры цифровой гигиены. Привязка к своим адресам, неанонимные криптокошельки, отсутствие изоляции — всё это сделало его видимым.
Что можно из этого вынести
- Даже open-source данные могут быть защищены законом.
- Автоматизация не снимает с тебя ответственность.
- Бот, который «ничего не делает сам», но выдаёт доступ к данным — уже участник цепочки.
- Если ты пишешь тулзу, всегда задавай себе вопрос: кто и зачем будет этим пользоваться?
Как распознать границу
Вот простой чек-лист:
- Ты не взламываешь — но ты распространяешь?
- Ты не хранишь данные — но даёшь к ним автоматизированный доступ?
- Ты не используешь данные сам — но помогаешь другим использовать их?
- Ты не зарабатываешь напрямую — но получаешь донаты «за доступ»?
Если хотя бы на один вопрос ответ «да» — ты уже внутри серой зоны. А дальше — вопрос времени и масштаба.
Контрольный вывод
Иногда один скрипт, написанный «по приколу», превращается в уголовное дело. Ты не хакер, не скаммер, не продавец дарка. Но ты стал тем, через кого данные пошли дальше. И в момент, когда они попали в руки злоумышленников, следы начали вести к тебе.
Будь технарём, а не проводником.
Хочешь знать, где проходит грань?
В Telegram-канале «Теневой IT» ты найдёшь кейсы, сценарии, наблюдения и реальные истории из цифровой тени. Без морали, но с выводами. Без слива, но с пониманием. Без рекламы, но с пользой.
Там, где другие говорят «так нельзя» — мы разбираем, почему так делают, и что за этим стоит. Присоединяйся, если хочешь не нарушать закон, а понимать, как он устроен в эпоху автоматизации и OSINT.
Подпишись на «Теневой IT» в Telegram — если хочешь понимать, а не повторять.