Взлом сайта для супружеских измен Ashley Madison произошел приличное время назад, но все еще продолжает доставлять. Первым интересным материалом по этому поводу была статья с с известными моралистами и религиозными проповедниками, использовавшими сайт. Особенно запоминающимися стали исламский проповедник, сказавший, что его подставили, и "сценический"христианин (я так называю моралистов, работающих на публику), который фактически зарабатывал тем, что выкладывал на youtube ролики своей с женой идеальной жизни.

Статья находится здесь: https://meduza.io/feature/2015/08/26/povorot-nalevo . Видеть среди посетителей подобного сайта людей, которые собрались «пропагандировать брак и семью как основу цивилизации, основу добродетели и исток общества» совсем неудивительно. Поэтому забавно наблюдать, как они пытаются оправдаться. Вот, например, отличный комментарий пользователя Reddit в ответ на неубедительные отмазки исламского проповедника:

«То есть какой-то парень знал все ваши личные данные и хотел подставить вас, поэтому он создал поддельный аккаунт на AshleyMadison. Затем этот парень заплатил сотни долларов, чтобы аккаунт оставался активен в течение девяти месяцев. Транзакции в этом аккаунте совершались из тех же мест, где вы находились в тот момент. Финалом плана было взломать базу данных AshleyMadison и выложить данные 40 миллионов пользователей, чтобы можно было уличить вас. Я правильно все понял?»

Но появился гораздо более интересный материал, рассказывающий, что желающие развлечений женатые мужчины спускали кучу денег на нехитрых ботов. При том, что реальные женщины составляют 5% аудитории, все остальные - кидающие пару шаблонных фраз боты, собранные из старых профилей пользователей. Деньги, заплаченные за "общение" с ними, составляют половину дохода компании. Причем интересно, что большая часть заработка приходилась на оплату любопытства - бот посылал малоинтересную фразу, мужчина платил, чтобы ее увидеть. Т.е. боты не были способны поддерживать какую бы то ни было беседу.

Статья шикарная, потому что показывает одновременно нетребовательность ищущего секса пользователя (тут, в принципе, и не нужны живые люди, сойдет любая иллюзия), то, что киберпанк давно здесь, и то, что очень обидно, когда ты хотел качественно изменить жене. а тебе подсунули бота, лол. Вот первоисточник, наслаждайтесь: http://gizmodo.com/how-ashley-madison-hid-its-fembot-con-from-users-and-in-1728410265 . Есть еще статьи на эту тему - ссылка.

Как Ashley Madison прятали армию ботов от пользователей и исследователей.

Разработчики Ashley Madison создали первую искусственную женщину еще в начале 2002 года. У нее был никнейм Sensuous Kitten (Чувственный Котенок), и в утекшей в сеть базе данных компании она значится как десятый пользователь. В профайле написано: "У меня проблемы с компьютером... пошли сообщение!".

Чувственный Котенок стала авангардом армии роботов. Эшли Мэдисон создали десятки тысяч фемботов, чтобы заставить мужчин заплатить на сайте интрижек. Когда мужчины заводили бесплатный аккаунт, им немедленно показывались профили тех, кого во внутренней документации называли "Ангелами", или проще - фальшивых женщин, чьи профили и фото были сгенерированы специально разработанным программным обеспечением. Чтобы заставить эти поделки ожить, разработчики также создали программных ботов, заставляющих Ангелов отправлять почтовые сообщения и тексты в чат.

Гостю Ashley Madison (владельцу бесплатного аккаунта) могло показаться, что к нему обращаются нетерпеливые женщины. Но если он хотел прочитать сообщения или ответить на них, ему нужно было раскошелиться, заплатив от 60 до 290 долларов. Каждое последующее сообщение и чат стоили денег. Как видно из корпоративной почты, 80 процентов первых покупок на Ashley Madison были результатом попыток мужчин связаться с ботом и прочитать сообщение от него. Подавляющее большинство мужчин на Ashley Madison платили за общение с Ангелами вроде Sensuous Kitten, чьи личности представляли собой программное обеспечение и чьи обещания были не более чем результатом работы наспех сделанных алгоритмов.

Но мужчин так легко было не одурачить. По крайней мере, не всех из них. Анализ корпоративной почты совместно с анализом кода Ashley Madison показывает, что власти компании находились в процессе нескончаемой битвы с раскрытием правды. В письмах к недовольным членам сайта и даже к генеральному прокурору Калифорнии они скрывали, насколько сильно боты влияют на их бизнес-план.

Ashley Madison обманывает генерального прокурора Калифорнии.

11 января 2012 года представительство генерального прокурора Калифорнии Камалы Харрис отправило официальную потребительскую жалобу на имя руководителей Ashley Madison (внизу на рисунке). Жалоба пришла от мужчины из Южной Калифорнии, обвиняющего компанию в мошенничестве за использование "поддельных профилей", чтобы вовлечь его в разговор и заставить платить за игривые беседы. Из письма следует, что Ashley Madison должны ответить или предпринять необходимые действия.

В своей жалобе (1, 2.) мужчина описывает то, что он заподозрил как активность бота. С ним связался ряд женщин из его района, и мужчина наконец решил заплатить, чтобы прочитать их сообщения. Он начал подозревать что-то, когда все эти женщины постоянно говорили одно и то же: "Ты онлайн?". Учитывая, что профиль пользователя показывает, онлайн он в системе или нет, такое сообщение выглядело странно. Особенно когда оно приходило от нескольких разных женщин, ни одна из которых ни разу не проверила его профиль. Затем дела приняли еще более загадочный оборот. Он заметил, что многие из женщин, с которыми он общался, логинятся ежедневно в одно и то же время ранним утром и остаются онлайн до 5 вечера. Даже в Рождество и Новый Год.

Поиск в коде Ashley Madison по фразе "ты онлайн?" вернул таблицу, которая раньше мне не встречалась, с набором фраз, которые регулярно использовали боты. Фразы такие:

"ты залогинен?"
"хочешь поговорить?"
"я сейчас онлайн"
"я здесь"
"пошли общаться =)"
"я доступна, чтобы поболтать"
"ты онлайн?"
"хочешь пообщаться?"
"поболтаем прямо сейчас?"
"киберсекс?"
"тебе нравится киберсекс?"
"хочешь киберсекса?"
"готов заняться киберсексом?"
"Как дела? Хочешь поболтать?"
"Киберсекс - это для тебя норм?"
"Как прошел день? Хочешь поболтать?"
"Как на счет секс чата?"
"Как твои навыки киберсекса? =) "
"Ты за компом?"
"И как давно ты здесь? Встретил кого-нибудь интересного?"

Так что наш сердитый потребитель из Калифорнии и впрямь напал на след. А что на счет имен пользователей, которые он упомянул в жалобе? После проверки базы Ashley Madison я могу подтвердить, что все 4 пользователя (Hooky_Pooky, ToasterStrudell, SunStarsMoon and BurnOnTheGrill) все еще числятся как "хозяева", что является одним из внутренних названий бот-профилей. Так что компания даже не позаботилась о том, чтобы закрыть профили ботов, на которые пожаловался рассерженный потребитель.

Главный юрисконсульт Avid Life Media Майк Дэкс составил ответ на запрос спустя несколько дней. В ответе он разъяснил, что поддельные профили на Ashley Madison создают "преступные элементы", и что члены сайта могут "сообщить о любом подозрительном профиле" или "пожаловаться" на них. В принципе, он утверждал, что любые фальшивки на Ashley Madison - дело рук внешних мошенников. Он заверил общественность, что клиенту возвращены деньги, а подозрительные профили, обозначенные в жалобе, забанены. Бидерман и другие члены руководства подписали ответ Дэка. По-видимому, этого было достаточно, чтобы остановить дальнейшее расследование. Офис генерального прокурора Калифорнии не отреагировал на нашу просьбу о комментарии.

Ashley Madison скрывает правду от пользователей.

Хотя компания заверила офис генерального прокурора Калифорнии, что боты - это работа случайных мошенников, внутри управление пыталось найти способ узаконить то, что они делают. Люди жаловались на ботов регулярно, и сохранилась переписка между Бидерманом и разными адвокатами о том, как раскрыть существование ботов на сайте, не признавая противозаконность подобного.

В конце 2013 года Лесли Вайс, партнер фирмы Barnes and Thornburg, разработала описание работы ботов для ToS (условий использования сайта, принимаемых при регистрации). В письме, датированном 12 ноября 2013, она предложила следующий вариант раскрытия информации:

"Для того, чтобы позволить Гостям нашего сайта попробовать общение, которое они могут ожидать в качестве Членов сайта, мы создаем профили, способные взаимодействовать с ними. Вы признаете и соглашаетесь, что некоторые из профилей сайта, с которыми вы общаетесь в качестве Гостя, могут быть фиктивными. Целью создания этих профилей является развлечение пользователей, а также ознакомление с услугами и содействие более активному участию в жизни сайта. Отсылаемые этими профилями сообщения сгенерированы компьютером. Сообщения от созданных нами профилей стимулируют общение с реальными членами сайта, чтобы поощрить взаимодействие между пользователями. Мы также используем эти профили для мониторинга пользовательских сообщений и использования нашего сервиса, чтобы измерить соответствие условиям пользовательского соглашения. Эти профили позволяют нам собирать сообщения, чат и/или ответы от пользователей или программ для маркетингового исследования и/или пользовательского опыта и /или контроля качества и/или расследования жалоб. Также мы можем использовать эти профили в связи с нашим исследованием рынка, чтобы мы могли проанализировать предпочтения клиентов и потенциальных клиентов.

Создаваемые нами профили не предназначены для имитации любых реальных личностей. Они могут использовать одни и те же изображения. Вы понимаете и признаете, что мы создаем эти профили, а также, что эти профили не основаны на данных других пользователей или членов сайта или каких-либо иных реальных личностей. Вы также признаете и соглашаетесь, что описания, фотографии и информация, включенная в такие профили, предоставляется для вашего развлечения и для того, чтобы помочь вам сориентироваться на сайте и узнать больше о его возможностях. В рамках этой функции профили могут предложить, инициировать или отправить подмигивания, ключи и виртуальные подарки. Любой из этих профилей может вести общение с несколькими пользователями в одно и то же время.

Наши профили общаются с Гостями сайта, но не с его платными членами. Члены сайта взаимодействуют только с профилями реальных людей. К Гостям с помощью компьютерно сгенерированных сообщений, включая письма и сообщения в чате, обращаются наши профили. Эти профили НЕ идентифицируют себя как таковые."

Это удивительно четкое описание того, что в действительности делает Ashley Madison - текст признает, что пользователи могут "общаться" с "фиктивным" профилем, и не стесняется указывать, что Ashley Madison повторно использует фотографии своих Ангелов. Но здесь прозрачность заканчивается. В предложенном Вайс соглашении об использовании сервиса говорится, что боты используются для "развлечения" и "исследований рынка". В ответ на письмо Вайс Бидерман интересуется, не стоит ли просто сосредоточиться на том, как боты предоставляют "контроль качества". 13 ноября 2013 он писал:

"Лесли, Джейсон и я обсудили предложения, осталась закавыка, связанная с упоминанием развлечения. Я снова возвращаюсь к тому, что мы обсуждали, но мы подумали - что если будет лучше сконцентрироваться на том, что профили помогают построить систему обнаружения и предупреждения, чтобы помогать улучшать качество обслуживания?"

Похоже, что Вайс выиграла этот конкретный спор, хотя и не полностью Wayback Machine показывает, что ее формулировка некоторое время использовалась в пользовательском соглашении компании, но в начале марта этого года была изменена. Вообще говоря, нынешнее соглашение сайта не упоминает о "программных" или "фиктивных" профилях - вместо этого сказано, что некоторые члены могут иметь профили, которые "преувеличены или являются результатом фантазии". 7 сентября 2015 года в пользовательском соглашении Ashley Madison мы читаем следующее:

"Наш Сайт и наш Сервис также направлен на то, чтобы предоставить вам отдых и развлечение. Вы соглашаетесь с тем, что некоторые функции нашего Сайта и Сервиса предназначены для обеспечения развлечения .(... ) Вы признаете и соглашаетесь, что любые профили пользователей и членов сайта, а также сообщения от таких лиц не могут быть правдивыми, точными или подлинными и могут быть преувеличены или являться плодом фантазии. Вы признаете и понимаете, что вы можете общаться с такими лицами и что мы не несем ответственности за такие сообщения."

В тот же самый день, когда Вайс и Бидерман дискутировали о том, как лучше описать своих ботов в пользовательском соглашении, Бидерман также говорил с коллегами о cоздании шаблонного ответа на жалобы членнов Ashley Madison по поводу ботов. Директор по обслуживанию клиентов Avid Life Media, Карлос Накл, предложил следующую формулировку:

"Как пояснено в нашем пользовательском соглашении, Ангелы Эшли - это профили, которые используются в связи с нашим исследованием рынка, чтобы помочь проанализировать пользовательские предпочтения, а также для мониторинга разговоров и поощрения завязывания бесед между членами сайта. Денежные средства клиента никогда не будут использованы при взаимодействии с Ангелом. Таким образом, вы с полной уверенностью можете вступать в контакт".

Кажется, что Накл, как и его босс, предпочитает, чтобы Ashley Madison сообщала пользователям, что поддельные профили Ангелов используются только для исследования рынка. Никаких упоминаний о развлечении. Неясно, отправлялся ли когда-либо шаблон Накла реальным пользователям, которые жаловались на ботов. Но его уверения в том, что люди, платящие, чтобы присоединиться к Ashley Madison, никогда не заплатят за общение с Ангелами, - это ложь.

Письма в ящике Бидермана в с ноября 2012 года содержат свидетельства того, что компания отлично знала, что большую часть своих денег они получают за счет ботов, флиртующих с мужчинами. Исследователь безопасности Алехандро Рамос обнаружил письма, которые содержат внутреннюю презентацию, переданную многим из менеджеров компании. Один слайд (приведен ниже) показывает, что 80 % мужчин, перешедших на платную модель или сделавших покупку на Ashley Madison, делают это в результате работы ботов.

Обратите внимание, что боты называются "хозяевами" и "приглашающими" одновременно. Что мы видим отсюда, так это то, что компания отлично знала, что подавляющее большинство "конверсий" (перехода от бесплатного аккаунта к платному) происходило из-за ботов. Только 19 процентов мужчин, заплативших, чтобы присоединиться к Ashley Madison, сделали это после разговора с реальной, живой женщиной. Также у нас есть доказательство того, что боты были источником почти половины доходов компании.

4 февраля 2013 года старший аналитик данных Хейз Дэнг добавил Бидермана и Ризвана Дживана в адресаты письма, где он анализировал, сколько денег люди тратят на общение с ботами по сравнению с реальными женщинами. Дэн писал, что люди, оплатившие общение, в среднем отправляют сообщения 16-18 разным женщинам. "Шанс, что вместо девушки будет бот, составляет около 35 процентов, - отмечает он. - Не слишком хорошее соотношение", однако он все еще утверждает, что это "разумно", т.к. боты никогда не ответят на сообщение платного члена сайта. Таким образом бот не будет продолжать держать платного члена сайта в неведении, однако первое обращение к боту "по-прежнему стоит денег".
Другими словами, средний платежеспособный клиент Ashley Madison имеет 35% шанс заплатить за сообщение боту. И 80 % мужчин заплатили, чтобы присоединиться к сайту, после сообщения от бота.

Восхождение роботов

Фемботы Ashley Madison не пришли из ниоткуда. Похоже, что на самом деле они были извлечены из заброшенных и мошеннических профилей в массивной базе данных компании. Кит Лалонд, возглавляющий международное продвижение компании, написал длинное письмо Бидерману и остальным членам правления с темой "как сделаны ангелы". В нем он подробно описывает, как работники используют нечто, что он назвал "fraud-to-engager tool", чтобы создать профили. ("Нужно настроить и переименовать его" - отметил Лалонд. Ну... да).

Во время запуска Ashley Madison в Японии Лалонд говорит, что получил "дамп более 10 000 строк контента" из англоязычных профилей с сайта. Затем он нанял людей, чтобы они перевели эти данные на японский язык. " не сказали, что это делается для создания профилей - хотя многие это поняли", - писал он. Так что данные японских Ангелов были просто переписаны с английских профилей пользователей. Ну а как дело обстоит с фотографиями?

У Лалонда и на это есть ответ:

"Фотографии были взяты из заброшенных профилей в США старше двух лет, определена их этническая принадлежность, языковой командой они были описаны как корректные или как нераспознаваемые (снимок ноги и проч), чтобы мы могли использовать их позже".

Так что любая женщина, оставлявшая свои фотографии до июня 2011, считалась подходящей кандидатурой для преобразования в бота. Согласно письму Лалонда ее слова и фотографии могли быть превращены в профиль бота и использованы для того, чтобы побудить мужчин платить за разговор.

Вот скринкаст человека, создающего Ангелов для запуска в Японии с использованием упомянутого инструмента. Видео взято из письма "как сделаны ангелы". Ashley Madison пытались удалить видео, но бесстрашный аналитик Рамос захватил его до того, как исчезнуть.

Несмотря на уловки и специальное ПО боты не всегда работают так, как запланировано. Хотя боты были разработаны только для того, чтобы общаться с мужчинами, я обнаружила 857 Ангелов-лесбиянок. Также в 69 случаях я обнаружила ботов, разговаривающих с ботами. Возможно, как заметил в твите известный киберпанк-писатель Уильям Гибсон, они пытались придумать план побега:

70K Ashley Madison bots now quietly, urgently discussing means of surviving the pending demise of Ashley Madison

— William Gibson (@GreatDismal) September 1, 2015

А сколько там вообще реальных женщин?

Маленькая женская база, похоже, не слишком смущает компанию. На одной из презентаций, присланных Бидерману, менеджер описывает "устойчивое соотношение мужчин и женщин 9:1". Компания стремилась нарастить базу женщин до 11%, но, видимо, цель достигнута не была". (...)

Исследователь мошенничества Августин Фу сказал, что афера Ashley Madison открывает новые горизонты в онлайн-мошенничествах. (...) То, что вы видите в социальных медиа, может оказаться совсем не тем, чем оно кажется. Ваши друзья могут быть ботами, а вы можете раскрывать самые потаенные фантазии сотням строк PHP-кода. Но есть и еще кое-что - мы не просто видим рождение нового типа спама. Мы также наблюдаем предысторию создания искусственного интеллекта. Будущие поколения должны будут бороться с тем, что закладывается уже сейчас, - с манипуляцией живыми существами с помощью ботов.

Автор - Аннали Ньюитц

Кажется очень смешным, что люди ради совершения рекламируемой супружеской измены не пошли в один из бесконечного количества бесплатных секс-чатов, а зарегистрировались под своим собственным именем и оставили данные собственной кредитки на платном сайте, напичканном дерьмовыми ботами. И платили за то, чтобы увидеть сообщения "Ты онлайн?". "Да, я онлайн, я онлайн, детка, сейчас я тебе покажу", - думал юзер, но ответом была тишина.