Спільне розслідування журналістів міжнародної організації Organized Crime and Corruption Reporting Project (OCCRP), шведського громадського мовника SVT та 30 інших медіаорганізацій, включаючи Українську службу радіо Свобода, викрило діяльність двох потужних мереж кібершахраїв. Під виглядом інвестиційних пропозицій у криптовалюту ці організації протягом 2021–2025 років виманили понад 275 мільйонів доларів у 33 тисяч людей по всьому світу. Розслідування, назване «Імперія шахрайства», ґрунтується на витоку даних обсягом 1,9 терабайта, який містить таблиці витрат, записи телефонних дзвінків із потерпілими та детальну інформацію про суми внесків кожного ошуканого клієнта. Викривач, який надав матеріали шведському телебаченню, пояснив свою мотивацію бажанням «покласти край безкарності шахраїв», але попросив залишитися анонімним.
Одна з двох мереж, відома як Група АК, мала щонайменше три офіси у Тбілісі, столиці Грузії. З 2022 року вона отримала понад 35 мільйонів доларів від близько 6 тисяч людей. Друга кібермережа складалася з афілійованих компаній та офісів в Україні, Болгарії та Кіпрі, які, за даними журналістів, працювали під керівництвом управлінської команди в Ізраїлі. Хоча журналістам не вдалося встановити кінцевих власників та офіційну назву цього бізнесу, розслідувачі з'ясували, що з 2021 по 2024 рік ця ізраїльсько-європейська мережа криптоброкерів могла обдурити 26 тисяч осіб на 240 мільйонів доларів. За інформацією, отриманою в рамках витоку, головний офіс цієї мережи може розташовуватися у хмарочосі Sapphire Tower у місті Рамат-Ган в Ізраїлі.
Шахраї знаходили потенційних клієнтів через рекламу в соцмережах, завойовували їхню довіру, обіцяючи надхмарні доходи від інвестицій у криптовалюту чи акції, та переконували встановити програмне забезпечення для віддаленого доступу, щоб максимально контролювати дії «інвестора». Зрештою, клієнти залишалися без грошей, прибутку і часто з боргами.
В Україні ізраїльсько-європейська мережа мала принаймні один офіс у Києві, який працював щонайменше до початку 2022 року. Звідси співробітники компанії, ймовірно, дзвонили потенційним жертвам із різних куточків світу. Від діяльності цієї мережи постраждали люди із понад 30 країн, переважно з Канади, Іспанії, Австралії, Великої Британії та Південної Африки. Більшість ошуканих «інвесторів», з якими поспілкувалися журналісти, не змогли повернути свої вкладення та отримати обіцяні доходи.
Після початку повномасштабного вторгнення Росії до України у 2022 році, згідно з документами витоку, частину працівників перемістили до Північної Македонії, де облаштували тимчасовий офіс, який згодом переїхав до Болгарії. Чи продовжують удавані криптоброкери, хоча б частково, працювати з Києва досі, достеменно невідомо.
До війни ця мережа також залучала пересічних українців, платячи їм гроші за реєстрацію компаній. Керували ж ними справді кібершахраї, які, швидше за все, перебували за кордоном, а фактичні власники часто не знали, чим займаються зареєстровані на них фірми. Одним із таких, ймовірно, підставних осіб є 23-річна киянка, яка є власницею та директором компанії «Естелла Юкрейн» — фірми, яка згадується у витоку як пов'язана з ізраїльсько-європейською шахрайською мережею. На прохання дівчини Радіо Свобода не називає її імені, адже, як вона сама стверджує, вона не була свідомою учасницею схеми. Про те, що оформлена на неї компанія пов'язана з кібершахрайством, дівчина дізналася від журналістів.
Етапи залучення цієї киянки до схеми були типовими. У 2021 році, коли їй було 19 років, вона працювала в ресторані, коли колега запропонувала їй підробіток: зареєструвати на себе компанію і зрідка ставити підпис на документах. Вона погодилася, не розпитуючи деталей. За це отримувала дві тисячі гривень щомісяця. «Я спілкувалася з одним хлопцем. Ми особисто не бачилися, він просто мені описував, які дані в банку потрібно вказати і таке інше. Але він видалив усе листування», — згадує дівчина у розмові з Радіо Свобода. За словами киянки, після початку війни у 2022 році вона перестала отримувати кошти. Під час останнього листування із посередником у січні 2023 року той сказав, що компанія, записана на неї, «більше не працює».
Втім, як з'ясували журналісти, це не так. Згідно з витоком, у 2024 році компанія «Естелла Юкрейн» укладала угоди з так званими «брендами», пов'язаними з ізраїльсько-європейською мережею кібершахраїв, а також оплачувала маркетингові послуги. Крім цього, у 2022 році «Естелла Юкрейн» орендувала приміщення у Людмили Кравчук, дружини народного депутата Антона Яценка, згідно з його електронною декларацією. Яценко — депутат останніх чотирьох скликань парламенту, останній обраний у 2019 році як безпартійний. Він, зокрема, помічений у кнопкодавстві — голосуванні за відсутніх колег на засіданнях парламенту.
Як встановили журналісти Bihus.Info у 2018 році, Яценко був пов'язаний з компаніями-посередниками, які стягували комісію за завантаження файлів із висновками оцінювачів нерухомості до бази даних Фонду держмайна. За рік ці чотири майданчики могли заробити 183 мільйони гривень. У 2019 році Антимонопольний комітет України виявив ознаки змови та оштрафував ці компанії, а згодом парламент ліквідував так звані «майданчики Яценка». Народний депутат свій зв'язок із цими фірмами-посередниками заперечував.
Дружина Яценка, адвокат Людмила Кравчук, як повідомляли раніше «Наші гроші», володіє поряд елітної нерухомості у центрі Києва. Незважаючи на те, що адреса офісу, який у Кравчук знімала компанія «Естелла Юкрейн», у декларації Яценка не зазначено, ймовірно, йдеться саме про бізнес-центр на вулиці Січових Стрільців у Києві — він згадується у чеках за користування послугами таксі працівників мережи за 2021 рік та початок 2022-го.
На запитання Радіо Свобода народний депутат відповів письмово: «Якщо в декларації зазначено, то справді такий орендар був. (…) Людмила проти роботи з колл-центрами та перевіряє компанії перед укладанням договорів, оскільки робота з ними дуже шкодить діловій репутації. Якщо договір було укладено, значить, у компанії не було ознак кол-центру».
Коли журналісти звернулися до самої Людмили Кравчук, вона зауважила, що не пам'ятає всі деталі угоди з компанією «Естелла Юкрейн», але точно згадує пункт про конфіденційність. «У кожного договору маю розділ „конфіденційність". І будь-яку інформацію я можу надавати лише на запит правоохоронних органів, податкових органів. Тому, на жаль, якщо я сама не дотримуватимуся своїх же договорів з моїми клієнтами, мої клієнти не будуть мені довіряти», — підкреслила Кравчук.
Коли журналісти «Слідства.Інфо» — партнери Радіо Свобода та OCCRP у цьому розслідуванні — відвідали бізнес-центр на вулиці Січових Стрільців у Києві, охоронець повідомив, що компанії «Естелла Юкрейн» там немає. Журналісти OCCRP та Радіо Свобода також надіслали листа з проханням про коментарі на електронну пошту компанії та дзвонили за вказаним у реєстрі номером юридичної особи, але без відповіді. Незважаючи на це, «Естелла Юкрейн», схоже, продовжувала працювати й у 2024 році. Журналісти виявили у вебархіві старі оголошення компанії про пошук працівників. Минулого року «Естелла Юкрейн» пропонувала 1000–1500 доларів та «легку роботу з подорожами до країн ЄС та щоденні виплати» за підписання документів від імені іспанської фірми Besonicke SL, яка також фігурує у витоку як пов'язана з кібершахрайством.
Ізраїльсько-європейська кібермережа використовувала й інших українців як ймовірно підставних власників для своїх компаній. Наприклад, мешканку Дніпропетровщини Дарину Резник. Дівчина померла від інфаркту у 2023 році, тож її історію журналістам Радіо Свобода розповіла мати Дарії — Ольга. У 2021 році тоді 28-річна дівчина поїхала до Києва на лікування. Поки перебувала у столиці, завела нових знайомих.
Втім, каже жінка, ці люди обікрали доньку. «Вони забрали у неї телефон, ось якраз 2021 року, забрали у неї документи. Вона не могла тиждень повернути їх, потім віддали тільки паспорт, телефон їй так і не повернули», — розповідає Ольга. Ким були ці знайомі дочки, вона не знає. У тому ж році на ім'я Дар'ї Резник у Києві зареєстрували компанію «ЕМ Девелоп» — фірму, яка також фігурує у витоку з мережи криптомошників, доступ до якої отримали журналісти. Мати жінки у розмові з Радіо Свобода сказала, що їй невідомо, що дочка займалася бізнесом.
Проте, як встановили журналісти, навіть після смерті Дар'ї у 2023 році її компанія «ЕМ Девелоп» продовжила працювати. Згідно з рахунками, які журналісти знайшли у витоку даних, у 2024 році «ЕМ Девелоп», яка тоді працювала під брендом Opulent Allies, оплачувала послуги маркетингових компаній, які є партнерами ізраїльсько-європейської мережі.
Методи залучення клієнтів, які використовували обидві міжнародні групи кібершахраїв, досить схожі, хоча журналісти не змогли встановити прямий зв'язок між ними. Наприклад, вони прикидаються справжніми авторизованими трейдерами. Обдурений інвестор зі Швеції, який втратив понад 15 тисяч доларів, розповів журналістам, що кібершахраї назвалися представниками «бренду» Golden Currencies. Управління фінансового контролю Великобританії внесло Golden Currencies до списку «клонів» авторизованих криптотрейдерів. Цей «бренд» є фінансовою компанією Currencies Direct Financial Markets Limited.
У своїх шахрайських схемах ці дві міжнародні мережи використовують не лише назви інших компаній, а й імена відомих людей. Постраждалі від кібершахрайства згадують, що переходили за онлайн-оголошеннями з іменами та зображеннями, зокрема, мільярдера та члена команди президента США Ілона Маска, іспанського коміка Пабло Мотоса, екс-президента Фінляндії Саулі Ніїностіо та екс-прем'єр-міністра Фінляндії Санни Марін. На запитання OCCRP представники Ніїностіо відповіли, що знають про проблему та повідомили правоохоронцям, проте відстежити шахраїв не вдалося. Марін у коментарі журналістам зазначила, що їй про це нічого не відомо і згоди на використання своїх фото та імені вона не надавала.
Один із ошуканих вкладників, фінський учений на пенсії Хельмер Седергорд розповів журналістам, що повівся на рекламу фальшивої інвестиційної схеми, яку начебто просували саме Ніїностіо та Марін. Зрештою, шахраї отримали віддалений доступ до комп'ютера пенсіонера та спустошили його банківські рахунки, вкравши заощадження, які він збирався передати своїм шістьом дітям. «Весь мій світ зруйнувався», — розповів Седергорд фінській газеті Yle, партнерам Радіо Свобода та OCCRP у цьому розслідуванні.
72-річний фінський учений розповів Yle, що впав у глибоку депресію і навіть на якийсь час відмовився від їжі, але тепер, завдяки підтримці сім'ї, одужує. Ошуканий чоловік звернувся до фінської поліції. Там розпочали розслідування, але швидко його припинили, пояснивши це тим, що шанси встановити особу злочинця дуже малі.
Седергорд — не єдиний, хто встановив шахрайське програмне забезпечення на свій комп'ютер. Журналісти встановили, що працівники кол-центрів спочатку переконують своїх жертв встановлювати на пристрої Anydesk — програму для віддаленого доступу, мовляв, аби допомогти із транзакціями. Отримавши доступ до комп'ютерів постраждалих, шахраї запускають програму, яка показує нібито надхмарний прибуток від інвестицій у криптовалюту. Насправді ж на цьому етапі кошти жертв вже можуть бути на банківських рахунках, пов'язаних із кібершахраями.
Журналісти поспілкувалися з понад сотнею постраждалих від цих двох шахрайських мереж. Вони розповіли про те, що віддавали шахраям усі свої заощадження, брали кредити в банках або позичали гроші у друзів та родичів — усе, щоб заплатити за послуги фіктивних криптоброкерів. Співробітники кол-центрів часто переконували своїх жертв у тому, що ті зможуть повернути свої інвестиції та отримати прибуток лише після наступної транзакції.
За словами колишнього генерального секретаря Інтерполу Юргена Штока, онлайн-шахраї по всьому світу щороку одержують близько 500 мільярдів доларів від своєї діяльності. «Станом на сьогоднішній день ми припускаємо, що кіберзлочинність може приносити такі самі прибутки, як і міжнародна торгівля наркотиками. (…) Ноутбук, так би мовити, зараз є найгострішим мечем в арсеналі злочинних угруповань», — сказав він в інтерв'ю OCCRP.
Торік Інтерпол затримав більше п'яти тисяч підозрюваних у фінансових злочинах і конфіскував понад 400 мільйонів доларів, ймовірно, отриманих від шахрайства. Це сталося в рамках міжнародної спецоперації з боротьби з кіберзлочинністю, у якій взяли участь правоохоронці із 40 країн.
OCCRP та партнери звернулися до українських правоохоронців з питаннями про те, чи розслідують вони діяльність зареєстрованих у Києві «Естелли Юкрейн» та «ЕМ Девелоп», які, за даними витоку, належать до ізраїльсько-європейської мережи криптомошників. На момент оприлюднення цього розслідування відповіді від Національної поліції журналісти не отримали.
Хабом для кіберзлочинності, пов'язаної з криптовалютами, Київ стає не вперше. У 2020 році OCCRP спільно з медіапартнерами опублікували розслідування про Milton Group. Ця міжнародна криптомережа працювала з офісу в центрі Києва та протягом усього 2019 року отримала понад 67 мільйонів доларів так званих «інвестицій» у біткоїни від ошуканих клієнтів. Восени 2020-го шведська поліція заарештувала сервери Milton Group, а наступного року компанія змінила назву, власника та місце реєстрації. Частина працівників, повідомленнями російських медіа, торік була затримана у Москві.
В Україні поліція у 2018 році порушила кримінальну справу щодо Milton Group і провела обшуки в офісі компанії. Проте влітку 2020-го справу було закрито: суд відмовив у продовженні термінів розслідування.
У 2023 році Верховна Рада створила тимчасову слідчу комісію з розслідування можливого шахрайства кол-центрів та фінансових пірамід в Україні. Через півроку комісія представила звіт, у якому повідомила про роботу «кілька організованих груп», які, ймовірно, дурять людей. У документі, зокрема, повідомляється, що на той час українські правоохоронці розслідували 179 справ про можливі шахрайські дії кол-центрів. Згодом комісія запропонувала також оновити Кримінальний кодекс, додавши туди статті про «електронно-комунікаційне шахрайство» — тобто коли через онлайн-спілкування шахраї отримують доступ до персональних та банківських даних потерпілих, щоб викрасти їхні кошти.
Ці пропозиції не були прийняті у парламенті. Поки що парламентська слідча комісія вже не працює — її утворювали на один рік — а деякі її члени-народні депутати залишили територію України. Голова комісії Олександр Куницький уже майже шість місяців не повертається в Україну зі свого «тижневого» відрядження. Інший член комісії — народний депутат Артем Дмитрук також перебуває за кордоном і вже понад півроку оголошено у міжнародний розшук.