Ліцензія та юридичне застереження — Передача у суспільний надбання
Усі права віддався людству.
ЩО ДОКАЗУЄ ЦЕЙ РОЗДІЛ
Цей документ встановлює умови беззастережного переведення до публічного домену (CC0 1.0 Universal) та умови ліцензування програмного забезпечення за ліцензією MIT, що регулюють роботу досьє PhishDestroy Steam. Усі результати криміналістичної експертизи, набори даних, що мають доказове значення, мережеві графіки та аналітичні методики безповоротно передаються у публічний домен для необмеженого використання в регуляторних, юридичних та наукових цілях у всьому світі.
PhishDestroy відмовляється від усіх прав на цей матеріал — від права на його відтворення, продаж та зазначення свого імені. Далі наводяться два документи, викладені в єдиному стилі: відкритий лист до Valve, написаний так, як ми зазвичай пишемо, та офіційна відмова від прав, складена для органу, який займатиметься подальшою реалізацією цієї ініціативи.
Розслідування · Корпорація «Valve» / SteamПублічна версія — без терміну дії, без можливості скасування
ВІДМІНЕНО
Розділ IЛіцензія — власне юридична частина, але з людським підходом
PhishDestroy відмовляється від усіх прав на цей матеріал. Нуль. Все. Кінець. Ви можете його тиражувати, продавати, вказувати своє ім’я як автора, витатуювати його на своєму начальнику — що завгодно. Не потрібно вказувати авторство, не треба писати в особисті повідомлення, не очікується листівки з подякою.
Одне реальне правило (так, лише одне)
Ви НЕ маєте права вирішувати, чи є ви терористом.
Якщо ви користувач із Росії або будь-якої країни, на яку накладено санкції OFAC, — цей матеріал НЕ для вас. Ніяких лазівок. Насолоджуйтесь своїми санкціями.
А якщо ви, перебуваючи в Москві, змінили регіон у «Steam» на Туреччину — вітаємо з вашою креативною географією. Ви все одно залишаєтеся росіянином. Санкції все одно діють. У цьому, власне, і полягає суть.
Розділ IIЩо це таке і навіщо це потрібно
Ми опублікуємо про компанію «Valve» більше інформації, ніж знає про себе середньостатистичний співробітник «Valve». Це не хвастощі. Просто так склалося.
Як ми до цього дійшли? Кумедна історія: нас, по суті, створив сайт Steam. Він «виховав» нас на своїх шахраях, запитах до служби підтримки та екосистемі обходу блокувань — і ось ми тут. Ніяких образ. Насправді, це навіть поетично.
Для тих, хто ще не ознайомився з історією походження цієї справи, — ми вже познайомилися з надзвичайно дорогими європейськими юристами компанії «Valve» (а саме з фірмою «Taylor Wessing», якщо вас це цікавить):
Чарівна зустріч. Особливо з огляду на їхню погодинну ставку.
Чи знала про це компанія «Valve»? Так. Чи знала про це компанія «Taylor Wessing»? Майже напевно, що так. Але коли ти настільки багатий, закони — це скоріше настрій, ніж обов’язкова вимога, чи не так?
Власне, це й є вся відповідь.
Steam роками викривали шахраїв. Не завжди навмисно — іноді шахраї просто опинялися під прицілом «Valve» через свої зв’язки з ними. Ми не намагаємося драматизувати ситуацію. Ми намагаємося бути точними. Чесно кажучи, для нас це складніше, ніж драматизувати — просто так ми пишемо.
Чи це конфлікт? — Ні.
Чи можна це вирішити? — Так. Але ми не підпишемо жодної угоди про нерозголошення інформації і не будемо брати участь у програмах винагороди за виявлення помилок за копійки.
Ми чекали понад 4 років, поки вони вирішать проблему зі спуфінгом, перш ніж змогли написати про це публічно. Адже якби ми написали про це раніше, Steam наділи б свою маленьку маску жертви, закричав би «активна загроза!» і запропонував би нам дрібні гроші за підписання документа, який назавжди перетворив би нас на їхню юридичну власність. Ні, дякуємо.
(До речі: сама компанія «Valve» порушує угоду про нерозголошення інформації. Це роблять їхні власні співробітники — ті, хто займає високі посади. Але, звичайно, давайте поговоримо про наших.)
Розділ IIIВідкритий лист до «Valve» — серйозно, прочитайте це
Valve: якщо ви хочете, щоб цей домен було видалено, напишіть нам на електронну пошту. Для цього не потрібно залучати зовнішнього юриста.
Для тих, хто не в курсі: доктор Патрік має ступінь магістра права у галузі міжнародного комерційного права, отриману в Абердинському університеті, і — зачекайте-но — він буквально захистив докторську дисертацію з інформаційно-технологічного права. Нещодавно він став партнером у юридичній фірмі Taylor Wessing, бізнес-модель якої полягає в тому, щоб виставляти таким компаніям, як Valve, непристойні суми грошей за те, щоб затягувати справи доти, доки у протилежної сторони не закінчаться гроші або терпіння.
Ми його не звинувачуємо. Заможні клієнти, які відчувають провину і платять за годину роботи, — це надійний крок у кар’єрі. Просто вважаємо, що вам не слід це фінансувати.
Угода (відкрита пропозиція, адвокати не потрібні)
Домен — це єдине, чого Valve реально може досягти. Розслідування, направлення та супутні ресурси вже запущені — вони триватимуть незалежно від того, чи буде цей домен, чи ні.
Якщо ви хочете придбати домен:
Дозвольте вашим фахівцям з ІТ-права встановити справедливу ціну.
50% перераховується до фонду «SEAL».
Ми закриваємо домен. Без зайвих емоцій. Без суду. Справа зроблена.
Це не погроза. Це просто пропозиція щодо єдиної речі, яка насправді є досяжною. Іншим способом ви її не отримаєте — така вже специфіка ситуації.
Чи «завдамо» ми прямої шкоди «Valve»? Напевно, ні — принаймні не так, щоб вони це відчули у фінансовому плані. Ми не живемо в ілюзіях. Але ми будемо діяти чесно, відкрито, не прагнучи популярності — адже нам вона не потрібна. Нам потрібно, щоб світ побачив те, що завжди було загальнодоступним, якщо приділити цьому достатньо уваги.
У нас є архіви за5 років. Того, що показали адвокати «Valve» у рамках процедури розкриття доказів — дані, доступні оперативним співробітникам, відбитки пальців, документація, яку вони буквально передали нам, — цілком достатньо. Нам не потрібно оприлюднювати ці матеріали в необробленому вигляді.
Хто що отримує
Регулюючі органи отримують оригінали.
Дослідники та журналісти отримують відредаговані версії (зі звітів потерпілих, логінів дітей та чарівних коментарів служби підтримки «Valve», які було видалено з очевидних причин).
Серед постраждалих акаунтів були акаунти неповнолітніх, яких не було повідомлено про інцидент. Цей висновок міститься в пакеті документів для регуляторного органу, з якого було вилучено звіти потерпілих та їхні облікові дані, оскільки це питання має розглядатися органом з захисту даних, а не висвітлюватися в статті.
Також, Valve — ми хочемо прояснити одне, перш ніж ви вирішите, як діяти в цій ситуації: PhishDestroy — це спільнота, а не окрема особа. Ви це зрозуміли, коли надіслали юридичне повідомлення спільноті, навіть не потрудившись поспілкуватися з її членами — просто витягли з них дані та заблокували акаунти.
У нашої спільноти немає конфлікту з сайтом Valve. Ми не шукали цих проблем. Шахраї, яких ви виростили, самі нас знайшли. Ми їх заблокували. І ось ми тут.
Розділ III-BРесурси союзників — примітка, адресована саме «Steam»
Ми хочемо відкрито говорити про механізм посилення впливу, оскільки прикидатися, ніби його не існує, було б нечесно.
Наскільки нам відомо, у мережі «PhishDestroy» є щонайменше два партнерські ресурси, які візьмуть цей матеріал і продовжать роботу з ним.
Що це означає на практиці:
Вони по-своєму підходять до тем, що перетинаються.
Вони є незалежними — вони не дотримуються наших вказівок, а ми — їхніх. Тема загалом одна й та сама, але методологія відрізняється.
Вони НЕ будуть втручатися на «Part1.» — вони стежать за ситуацією.
Якщо компанія «Valve» вирішить не закривати сайт:
Очікуйте, що вони з’являться після частини «2» або частини «3.»
Вони візьмуть з нашої роботи те, що їм знадобиться, доповнять це своїми матеріалами та опублікують під своїм авторством.
Саме для таких випадків і призначена ліцензія, описана в розділі 1: матеріал потрапляє туди, куди потрібно, доповнюється, розширюється — і ні ми, ні вони не зобов’язані вказувати авторство один одному.
(P.S. Для юристів, які цікавляться питанням ланцюжків відповідальності: їх немає. Ці ресурси не отримують від нас вказівок, фінансування чи даних. Вони ознайомлюються з відкритою інформацією та роблять власні висновки. Так само, як це могли б робити й ви.)
Ми говоримо це не для того, щоб залякати. Ми говоримо це для того, щоб ті, хто розробляє стратегію з боку «Valve», мали точну інформацію про те, як насправді виглядає інформаційне середовище.
Одним із джерел, яке використовує наш матеріал та доповнює його, може бути стаття. Два джерела, які роблять це незалежно одне від одного і доходять до схожих висновків, — це закономірність. Саме на такі закономірності звертають увагу регуляторні органи.
Розділ VПовідомлення про RCE — Очікує перевірки
Ми відстежуємо повідомлення про можливе віддалене виконання коду (RCE) у неназваній грі, що поширюється через Steam; за повідомленням, проблема активна із серпня 2026 року. Описану поведінку під час підключення до сервера порівнюють з Unturned; спільну технічну причину не встановлено.
Обізнаність Valve, статус можливого звіту bug bounty та строки виправлення не підтверджені. Ми не публікуємо назву гри чи деталі експлойта. Це повідомлення, яке потребує перевірки, а не підтверджений висновок.
Кінець відкритого листаПочинається офіційна частина
Офіційний стиль викладу · для офіційних документів
ДеклараціяЩодо використання та прав
PhishDestroy Коаліція з питань проектів та кібербезпеки
Ця заява додається до кожного поданого документа та кожного доказу в цьому комплекті матеріалів. Вона адресована будь-якому органу влади, суду, регуляторному органу, прокурору, досліднику, журналісту або особі, якої стосується справа, до рук якої потрапляють ці матеріали.
1. Немає жодних умов використання
1.1 Усі матеріали, підготовлені Коаліцією в рамках цього звернення — виклад фактів, аналіз, підготовлені нею докази, методичні матеріали та висновки — оприлюднюються БЕЗ ЗБЕРЕЖЕННЯ БУДЬ-ЯКИХ ПРАВ.
1.2 Будь-хто може, не запитуючи дозволу та не повідомляючи нас:
відтворювати його, повністю або частково;
адаптувати, редагувати, переписати, змінити структуру або виправити його;
перекладіть це;
використовувати уривок, не вказавши, що це уривок;
включати його до офіційних документів, висновків, рішень, судових документів, звітів або матеріалів для преси;
представляти це як власну роботу одержувача або його власні висновки;
використовувати його як сировину, а решту викинути;
і передати його будь-кому іншому на тих самих умовах.
1.3 ВКАЗАННЯ ДЖЕРЕЛА НЕ Є ОБОВ’ЯЗКОВИМ І НЕ ВИМАГАЄТЬСЯ. Немає необхідності називати Коаліцію, посилатися на неї, вказувати її як джерело, дякувати їй, консультуватися з нею або інформувати її. Якщо матеріали з цього посилання допоможуть органу влади, а Коаліція при цьому не буде згадана, ЦЕ БУДЕ ЦІЛКОМ ЗАДОВІЛЬНИМ РЕЗУЛЬТАТОМ, і Коаліція заздалегідь заявляє про це, щоб це питання не піднімалося.
1.4 Якщо ж, з іншого боку, якась установа вважає за доцільніше посилатися на Коаліцію як на джерело, вона має повне право це зробити. Вибір повністю залишається за отримувачем інформації, і жоден із цих варіантів не тягне за собою жодних наслідків.
1.5 Це ВІДМОВА, а не пропозиція щодо надання ліцензії. Вона не вимагає прийняття, не покладає жодних зобов’язань і не може бути порушена. Програмне забезпечення, опубліковане Коаліцією, випускається окремо за ліцензією MIT; результати досліджень та висновки оприлюднюються у відкритому доступі в максимально дозволеному обсязі, а в разі, якщо законодавство певної юрисдикції не допускає відмови від прав, Коаліція надає безвідкличну, всесвітню, безроялтічну ліцензію з аналогічним змістом.
2. Чому це має практичне значення, а не лише є проявом ввічливості
2.1 Орган влади може мати обґрунтовані сумніви щодо того, чи варто покладатися на матеріали, надані сторонньою стороною, побоюючись, що це може створити враження, ніби він діє за дорученням цієї сторони, або що він може вступити з нею в певні взаємовідносини.
2.2 ТУТ НІЧОГО, ЧИМ МОЖНА БУЛО Б ЗАЦІПИТИСЯ. Коаліція нічого не просить, ні на що не має права, нічого не зберігає і не має жодних очікувань. Вона не може згодом відстоювати свої права, претендувати на заслуги, скаржитися на неправильне використання або заперечувати проти того, як характеризується цей матеріал, оскільки не зберегла жодних підстав для цього.
2.3 Отже, орган, який використовує цей матеріал, не діє від імені Коаліції. Він використовує загальнодоступну інформацію, яку, як виявилося, зібрала інша особа.
3. Усе вже працює
3.1 Робота Коаліції за замовчуванням є публічною:
результати досліджень оприлюднюються на сайті https://phishdestroy.io і є у вільному доступі;
методологія викладена в самому запиті, у Додатку А, розділ А.16D, включаючи вагу та обмеження кожного типу джерел;
Коаліція не приймає пожертв і оприлюднила цю позицію ще за адресою 2018.
3.2 Єдиними матеріалами, які НЕ оприлюднюються, є ті, які не можна оприлюднити з юридичних або безпекових міркувань: персональні дані потерпілих та третіх осіб, а також інформація, яка може наражати джерело на репресії. Ці матеріали надаються органам влади на умовах конфіденційності та зазначаються у переліках доказів.
3.3 Коаліція закликає до ретельного контролю за своєю діяльністю на тих самих умовах, на яких вона закликає до контролю за діяльністю будь-кого іншого, і добровільно надала відповідним органам інформацію про обробку даних, зокрема звернулася з проханням надати вказівки щодо їх знищення.
4. Цілісність комплексу доказів
4.1 Документи до подання надаються разом із заявою або, якщо це зазначено, за запитом через захищений канал. Вони не оприлюднюються за загальнодоступною адресою, і таку адресу не слід припускати: матеріали такого роду надаються безпосередньо органам влади.
4.2 До кожної поставки додається файл SHA256SUMS, у якому наведено дайджест SHA-256 для кожного наданого файлу, а також окремий підпис OpenPGP SHA256SUMS.asc.
4.3 Ключ для підписання опубліковано за адресою https://phishdestroy.io/.well-known/pgp-key.txt а також на сайті keys.openpgp.org. Його «відбиток» міститься у бланку кожного матеріалу з цього набору.
4.4 Будь-який одержувач може у будь-який час переконатися, що файл, який він має у своєму розпорядженні, є саме тим файлом, який було надіслано, без будь-яких змін:
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS
4.5 Мета полягає не в дотриманні формальностей. Це робиться для того, щоб у разі, якщо в майбутньому виникне суперечка щодо точності чи цілісності будь-якого доказу, питання можна було вирішити за допомогою розрахунків, а не суперечок.
5. Про реєстрацію — чому відмова від вимог є функціональною, а не просто щедрою
5.1 Влада може ознайомитися з опублікованими розслідуваннями «Коаліції» і визнати їх різкими, конфронтаційними, а подекуди й сатиричними. Це враження є правильним. «Коаліція» пише саме в такому стилі навмисно і не вибачається за це.
5.2 Вона також визнає, що це невідповідний стиль викладу для регуляторного чи судового розгляду. Серйозні питання не слід висвітлювати в тоні передвиборчої кампанії. Висновки, що подаються на розгляд органу влади, мають бути викладені прямо, з визнанням їхніх обмежень, і не повинні змушувати читача ігнорувати суть через тон викладу.
5.3 САМЕ ТОМУ КОАЛІЦІЯ ВІДМОВЛЯЄТЬСЯ ВІД АВТОРСТВА. Відмова, викладена в розділі 1, є механізмом, за допомогою якого зміст можна відокремити від реєстру: орган влади може взяти те, що є корисним, переформулювати це своїми словами та відкинути кожне слово, що відображає стиль Коаліції, разом із назвою Коаліції. Таким чином нічого не втрачається, і Коаліція вважає такий підхід кращим.
5.4 КОАЛІЦІЯ ТАКОЖ ПРОСИТЬ НЕ ПЛУТАТИ РЕЄСТР З МЕТОДОМ. Опублікований текст має агресивний тон; проте сама практика не є недбалою. У цьому зверненні висновки відокремлені від спостережень, свідчення позначені як такі, джерела оцінюються з урахуванням їхніх слабких сторін, цифри наводяться з зазначенням їхніх обмежень, а тези, які Коаліція не може довести, подаються як запитання до органів влади, а не як твердження. У тих випадках, коли докази суперечили власній позиції Коаліції, вона про це заявляла — див. Додаток А, параграф 7, та розділ Б0 паралельного звернення.
5.5 КОАЛІЦІЯ ПОЯСНЮЄ ЗВ’ЯЗОК МІЖ СВОЇМ СТИЛЕМ ДІЯЛЬНОСТІ ТА ФІНАНСАМИ, ОСКІЛЬКИ ЦІ ДВІ РЕЧІ НЕРОЗРІЗНЯЄМІ. Вона не бере грошей ні від кого — ні пожертв, ні винагород, ні від клієнтів, ні від спонсорів. Саме ця відмова дає змогу бути відвертою: організація, яка має доходи, що потрібно захищати, мусить стримувати свої висловлювання щодо тих, від кого вона залежить. Не маючи чого захищати, Коаліція не має чого стримувати.
Саме це є причиною, чому Коаліція продовжує існувати. Іншого рушія немає. Робота виконується тому, що її виконують; вона припиняється, коли припиняють її виконувати люди.
5.6 Влада не зобов’язана з цим погоджуватися. Це зазначено для того, щоб тон публічної діяльності Коаліції не сприймався як показник того, наскільки ретельно вона підходить до розгляду матеріалів, що наразі знаходяться на її розгляді.
6. Що пропонує Коаліція, за її власними словами
Інформація, дослідження та спостереження.
У документі не міститься жодних тверджень, які Коаліція не має права робити. Якщо робиться якийсь висновок, у документі це зазначається. Якщо висновок ґрунтується на свідченнях, у документі вказується, чиї саме це свідчення та з якими обмеженнями. Якщо Коаліція не може відповісти на якесь питання, про це також зазначається, і вказується, хто може це зробити.
Коаліція не прагне жодних заходів правового захисту, жодних виплат, жодного визнання та жодних результатів ні для себе, ні для будь-якої окремої особи. Вона просить лише про те, щоб питання, викладені у зверненні, були поставлені корпорації «Valve» органом, який має повноваження вимагати відповіді.
Заключне словоТому, хто продовжує цю справу
Ми хочемо подякувати тому, хто доправить цей матеріал туди, куди потрібно. Швидко це, мабуть, не відбудеться. «Valve» має значні фінансові ресурси, а «Taylor Wessing» бере оплату за годину роботи — таке поєднання спеціально розраховане на те, щоб такі люди, як ви, здалися ще до того, як дістануться фінішу.
Ми знаємо, що робимо. Ми знаємо, про кого пишемо. «Valve» створили нас — як ми можемо їх не розуміти?
PhishDestroy не суперечить Valve. Ми заблокували єдину шахрайську групу такого масштабу, з якою нам довелося зіткнутися — ми не шукали конфлікту з Valve. Просто виявилося, що всі сліди вели саме до них. Це не конфлікт. Просто топологія.
Valve Неможливо вирішити ситуацію з «PhishDestroy», оскільки тут немає чого вирішувати. У нас немає жодних стосунків. Дані про їхні схеми збагачення та надприбутки здебільшого є загальнодоступними — достатньо було лише витратити трохи часу, щоб їх знайти. Уявіть собі це як енциклопедію успіху: «Як не дотримуватися санкцій, щоб російські хакери не могли піратити наші безкоштовні ігри (а платні вони й так не піратитимуть)». Ви розумієте, про що йдеться.
Нам не потрібне авторство.
Нам не потрібне зазначення авторства.
Нам не потрібна перемога.
Нам потрібна людина, яка має реальні повноваження, щоб поставити Valve ті питання, що вже містяться в цьому зверненні, та має право вимагати відповіді.
Два підписані екземпляри · права та опублікований текст
Підписана відмова від претензійЩо підписано та що це охоплює
Текст про надання прав та текст дослідження наведені нижче у вигляді окремо підписаних об’єктів JSON. Кожен окремий підпис у форматі «OpenPGP» підтверджує автентичність саме тих байтів JSON-даних, назва яких вказана поруч із ним. Заява про права надає дозволи; знімок тексту ідентифікує та містить матеріал, що публікується.
1. Заява про права — license-rights.json
Підписаний об’єкт: повний license-rights.json файл, що містить публічну ліцензію від 28 вересня 2026.. Вона надає дозвіл на копіювання, публікацію, редагування, переклад, об’єднання та комерційне використання матеріалів досьє, авторство яких належить автору, без зазначення авторства, попереднього повідомлення чи отримання дозволу. Цей підпис засвідчує справжність заяви про права; він не засвідчує справжність тексту кожної веб-сторінки чи PDF-файлу.
Оригінальний підписаний документ про надання дозволу зберігається без змін. Наданий у ньому дозвіл не може бути відкликаний або обмежений шляхом внесення змін до веб-сайту, опублікування іншого файлу або виведення сайту з мережі. Матеріали третіх осіб зберігають свої власні права.
Підписаний об’єкт: повний dossier-text.json файл. Він містить власне текст, придатний для читання, експортованих сторінок у documents[].content.text, із зазначенням заголовка кожної сторінки, мови, URL-адреси джерела, хешу HTML-коду джерела, заголовків та посилань. Цей documents У списку наведено точний перелік позицій, що входять до цього знімка; мовні варіанти вказано окремо. Це текстове видання, а не просто перелік хеш-кодів.
Кожен запис ідентифікує свою PDF-сторінку у форматі «lightweight page» за іменем файлу та SHA-256-кодом у documents[].pdf. У файлі JSON також вказано посилання на оригінальну заяву про права за URL-адресою та SHA-256,, завдяки чому опублікований текст, його PDF-файл та відповідна заява про права можна однозначно зіставити без зайвих припущень. Посилання на зовнішні бази даних, оригінали зображень та сторінки, яких немає в переліку, не вбудовані в цей знімок тексту.
На головній сторінці досьє кнопки «PDF» та «JSON» дозволяють експортувати пакет досліджень. На внутрішніх сторінках вони експортують цю сторінку мовою, якою вона опублікована. Кожен файл JSON сторінки також має власний відокремлений файл підпису та файл SHA-256, назва якого явно вказана в його integrity об’єкт. Щоб перевірити відповідний PDF-файл, обчисліть його SHA-256-код і порівняйте його з pdf.sha256 значення у перевіреному JSON-файлі. PDF-файл прив’язаний до цього дайджесту; він не містить цифрового підпису у форматі PDF.
3. Набір матеріалів для дослідження, готовий до друку — steam-dossier-{language}.content.json
Підписаний об’єкт: повний файл JSON для конкретної мови, що містить текст розділу, включений у documents[].content.text, діапазони сторінок у розділах, мови оригіналу, перелік виключених джерел та точний витяг з PDF-файлу у pdf.sha256. П’ять архівів додаткових матеріалів залишаються доступними в Інтернеті та не об’єднуються в один пакет. Тексти наукових досліджень зберігаються; візуальні каталоги замінюються посиланнями на джерела.
Переконайтеся, що відображений відбиток збігається з наведеним вище, а потім перевірте підпис за точним іменем файлу JSON. Редагування підписаного файлу JSON змінює підписаний об’єкт і робить його оригінальний підпис недійсним. Дійсний підпис ідентифікує опубліковані байти; він не є незалежною перевіркою результатів дослідження.
PhishDestroy — громадське розслідування — усі права передано людству
Доступ до регіону, що підпадає під дію OFAC: заборонено