Европейские правоохранители арестовали семерых подозреваемых и изъяли более 100 серверов в операции против инфраструктуры, которую, по версии следствия, использовали инвестиционные мошенники. Для IT-команд это очередное напоминание: мошеннические «трейдинговые» сайты давно не собираются на коленке — за ними может стоять сервисная компания с хостингом, данными жертв и сетью кол-центров в разных странах.
Операцию при поддержке Europol и Eurojust провели власти Албании, Кипра, Финляндии, Германии, Косово и Северной Македонии, сообщает BleepingComputer. Название компании, ставшей целью рейдов, не раскрывается. Следствие считает, что она действовала с Кипра и из Израиля по модели «преступность как услуга»: создавала и обслуживала фальшивые торговые площадки для групп, которые затем обзванивали потенциальных жертв.
Поводом для расследования в 2022 году стала жалоба немецкой пары. Они вложили деньги через онлайн-платформу, но не смогли их вывести. Проверка вывела следователей на нескольких операторов мошеннических кол-центров и на жертв как минимум в 50 странах. Нынешняя операция стала продолжением международных действий 2022 и 2025 годов: накопленные тогда материалы позволили установить ещё семерых подозреваемых, включая предполагаемых руководителей кол-центров.
Как работала схема
Механика знакома любому, кто отвечал за антифрод или видел жалобы пользователей в финтехе. Жертве показывали рекламу с обещаниями быстрого дохода от валют, акций или криптовалют. Переход вёл на поддельную инвестиционную платформу, где собирали персональные данные. Затем эти данные, по данным следствия, передавали криминальным группам, управлявшим кол-центрами.
Операторы связывались с человеком от имени «консультанта» и уговаривали внести сравнительно небольшую сумму. В личном кабинете отображалась убедительная, но фиктивная прибыль. На этом этапе продуктовая часть обмана работала лучше любого агрессивного баннера: интерфейс создавал ощущение контроля, графики подтверждали легенду, а растущий баланс становился аргументом для следующего перевода.
Когда клиент пытался забрать деньги, сценарий менялся. Ему могли обещать завершить проверку, потребовать комиссию или предложить подождать «закрытия сделки». После нескольких попыток связь прекращалась. Средства вернуть было уже неоткуда: прибыль на экране существовала только в базе данных мошеннической площадки.
Ключевой эпизод здесь — не только задержания, а изъятие серверов. Для такой сети серверная инфраструктура хранит технические и операционные следы: шаблоны витрин, учётные записи, журналы действий, базы контактов, маршрутизацию между рекламой, сайтом и кол-центром. Если следствие получит эти данные в пригодном виде, они могут помочь идентифицировать клиентов компании и связать отдельные звонки, домены и денежные переводы в одну схему.
Почему это больше, чем история о фальшивом сайте
Инвестиционные мошенники всё чаще строят не единичные лендинги, а модульные сервисы. Одни участники закупают рекламу и заманивают аудиторию, другие делают интерфейс «брокера», третьи ведут диалог по телефону и мессенджерам. Такое разделение ролей снижает порог входа для преступных групп: не нужно самостоятельно нанимать разработчиков, настраивать CRM, поднимать домены и поддерживать кабинет пользователя. Достаточно купить готовую инфраструктуру и сосредоточиться на привлечении жертв.
Европейские ведомства уже сталкивались с подобными сетями. В марте 2022 года полиция сообщала о закрытии крупной сети инвестиционных кол-центров, где около 200 «трейдеров» похищали не менее 3 млн евро в месяц. В 2023-м в Европе ликвидировали несколько кол-центров, связанных с потерями на миллионы евро. В мае 2024 года закрыли 12 мошеннических центров, которым приписывали тысячи звонков ежедневно. Летом 2025 года испанская полиция заявила о разгроме криптоинвестиционной сети: через неё, по версии следствия, отмыли более 460 млн евро, похищенных у свыше 5 тыс. человек по всему миру.
Для разработчиков и владельцев легальных финансовых сервисов эта серия дел важна по двум причинам. Во-первых, интерфейс, домен и даже аккуратный процесс онбординга больше не служат признаками надёжности. Фальшивые площадки умеют быстро копировать UX брокеров и криптосервисов. Во-вторых, брендам приходится защищать не только собственную инфраструктуру, но и доверие к ней: отслеживать клоны, фишинговую рекламу, поддельные приложения и попытки использовать название компании в звонках.
У бизнеса здесь нет универсальной кнопки «защититься от мошенников». Практический минимум — мониторинг доменов, похожих на бренд, быстрый процесс блокировки фальшивых страниц, понятные каналы для сообщений о мошенничестве и предупреждения внутри официальных продуктов. Для платформ, работающих с деньгами, особенно полезны поведенческий антифрод и проверка необычных цепочек платежей: аферисты часто начинают с небольших сумм и наращивают давление постепенно.
Изъятие сотни серверов может надолго нарушить работу конкретной сети, но не устранит сам рынок криминальной инфраструктуры. Главный вопрос теперь в том, смогут ли данные с серверов привести правоохранителей к заказчикам сайтов, рекламным каналам и платёжным маршрутам. Пока мошенническая воронка собирается из готовых компонентов быстрее, чем их успевают связывать между собой расследования, фальшивые инвестиционные платформы будут оставаться массовой и вполне технологичной угрозой.
