Через несколько часов после третьей части облачное хранилище Aroshka Cloud выпустило пять постов о нас и объявило, что мы устроили на него DDoS-атаку. Спорить мы не стали. Мы положили рядом всё, что сервис за семь месяцев рассказывал о себе сам, и проверили это. Каждое утверждение ниже можно открыть по ссылке на архив.
Предыдущие части: первая, вторая, третья.
С чего всё началось
Сервис называет наши статьи «заказной атакой», выполненной, возможно, «в интересах прямых конкурентов». Напомним по датам, как всё было.
22 октября на Kwork появился заказ: сделать парсер, который выгрузит названия файлов из облачного хранилища Aroshka Cloud. Мы откликнулись. Заказчик сказал, что у сервиса есть API и «просто нужен тариф». Документацию к API поддержка исполнителю не выдала, и мы купили тариф сами за 299 рублей. Заказчик пообещал оформить заказ через двадцать минут и пропал. На следующий день его аккаунт на Kwork уже был заблокирован. Деньги сервис после нашей претензии вернул.
Первую часть мы опубликовали в тот же день, 22 октября (архив). Это было предупреждение для фрилансеров: как устроена схема, на что смотреть в профиле заказчика и почему не стоит платить за чужой сервис ради чужого заказа. Её никто не заказывал. Единственным «заказчиком» в этой истории был аноним с Kwork, и платили в ней мы, а не нам.
Сервис пишет, что статьи нужны нам для продвижения своих услуг по аудиту безопасности. У нашей студии такой услуги нигде не заявлено, и ссылок на наши услуги в статьях нет.
Аккаунт syntaxcheck мы не искали. Утром 23 октября он сам пришёл в комментарии к первой части: «Я 3 месяца пользуюсь этим сервисом ничего странного я не замечал....бред какой то». Мы проверили, кто нас уверяет, что всё в порядке, и нашли его заказы на Kwork от имени сервиса. В тот же день он написал в комментариях, что пожаловался на нас в поддержку Aroshka, и наш аккаунт в сервисе заблокировали. Аккаунт serverexpert_dev, который вёл заказы «Развиваем Aroshka Cloud», мы нашли по ссылке в профиле самого syntaxcheck на Kwork. Всё это разобрано в третьей части.
Ночь пяти постов
За следующие ночь и утро в блоге Aroshka Cloud вышли пять постов о нас. Копии всех пяти:
- «Отражение DDoS-атаки на Aroshka Cloud 24 октября 2026» (архив);
- «Заявление службы безопасности и аналитики Aroshka Cloud» (архив);
- «Разбор публикаций пользователя stackworks на Habr» (архив);
- «Хакерский разбор: как StackWorks развернули заказную OSINT-кампанию и DDoS против Aroshka Cloud» (архив);
- «Анатомия чёрного PR» (архив).
Отвечаем коротко: никаких атак на сервис мы не устраивали, ни сами, ни через кого-то.
В отчёте об атаке сказано: мощность 3,5 Гбит/с, «системы очистки трафика включились в работу в первые секунды», «вредоносный трафик был изолирован и заблокирован до попадания на основные узлы», атакующих вычислили, несмотря на VPN, это «Москва, Уфа, Ставрополь». Заметил атаку «SOC 24/7», отражали её «благодаря круглосуточному дежурству инженеров».
Но самое важное в этих постах не обвинения. Во второй части мы писали, что версия сервиса про «недобросовестных партнёров» не сходится с его же правилами: партнёр получает деньги только за переход по реферальной ссылке, а в заказах на Kwork таких ссылок не было. В «Разборе публикаций» сервис ответил:
Правила партнёрской программы требуют перехода по реферальной ссылке. В описанных заказах таких ссылок не было — следовательно, стандартное партнёрское вознаграждение начислено быть не могло.
То есть сервис сам подтвердил: партнёры на этих заказах ничего не зарабатывали. Деньги за тариф, который оплачивали фрилансеры, получал сам сервис.
«Фильтрация на периметре»
Адрес любого сайта можно узнать одной командой. Она спрашивает только DNS и на сам сайт не заходит:
dig +short aroshka.cloud
Домен во всех публичных DNS и у собственных DNS-серверов сервиса указывает на один адрес, 38.180.37.231. По трём независимым геобазам (ipinfo.io, ip-api.com, ipwho.is) это хостинг Scalaxy B.V. (AS58061) в Алматы, Казахстан. Сайт не стоит за Cloudflare или другим защитным прокси, в ответах сервера нет заголовков CDN, адрес сервера открыт любому.
Это не доказывает, что атаки не было, и не значит, что у хостинга нет своей фильтрации. Но в отчёте об атаке ни хостинг, ни сервис очистки трафика не названы, графиков нет, данных об атакующих нет. Есть «3,5 Гбит/с», «первые секунды» и три города.
Ещё одна деталь. 24 октября Web Archive без проблем сохранял наши статьи, а на страницах сервиса получал ошибку «сервер недоступен». В те же часы другой архив, ghostarchive.org, сохранял эти страницы целиком. Похоже, сайт перестал пускать робота Internet Archive. Поэтому копии постов сервиса здесь ведут на ghostarchive.
«Сетевой след»
В «Заявлении службы безопасности» сказано, что «IP-адрес и сетевой след» нашего пользователя «находятся на углублённом рассмотрении». Мы свои логи тоже рассмотрели.
За три минуты до публикации «Заявления» на наш сайт stackworks.ru пришёл посетитель по ссылке со страницы Aroshka Cloud. Адрес 5.77.195.xx, армянский провайдер Ucom, Ереван, это обычный абонентский адрес, а не сервер или прокси. Накануне с того же адреса и с того же браузера на нашем сайте открывали /admin и /administrator, то есть искали вход в панель управления. Обе попытки получили «страница не найдена». А ещё раньше тот же посетитель пришёл к нам из нашего репозитория на GitHub со страницы «Предупреждение для фрилансеров».
С сервера Aroshka Cloud к нам не пришло ни одного запроса.
Служба безопасности по объявлениям
Сервис рассказывает о «SOC 24/7», «команде кибербезопасности» и «круглосуточном дежурстве инженеров». Вот кого он сам искал на Kwork. Все заказы опубликованы в открытом Telegram-канале биржи, у каждого есть архивная копия.
3 марта, за двенадцать дней до «полного запуска проекта 15 марта», syntaxcheck ищет поддержку на неделю: проверять почту, отвечать «по готовым шаблонам», 5-15 сообщений в день, «технических знаний не требуется» (архив).
19 августа serverexpert_dev: «В проект aroshka.cloud нужен системный администратор с опытом. Необходимо совместно со мной поднять новый VDS сервер + настроить от А до Я» (архив).
23 августа тот же аккаунт описывает инфраструктуру: «пул из 5 серверов VDS», у каждого «8 vCPU / 32 GB RAM» (архив).
14 сентября: «Ищу опытных пентестеров / ethical hackers для проверки безопасности Aroshka Cloud», бюджет 2 000-6 000 рублей (архив).
1 октября инфраструктура того же проекта у того же аккаунта выглядит так: «до 2 × AMD EPYC 9754», «RAM: 3–6 ТБ DDR5 ECC», «GPU: до 8 × nvidia H200 / nvidia Blackwell B200», «до 400 Гбит/с InfiniBand», «жидкостное охлаждение» (архив). Через пять недель после «пула из 5 VDS» и для сервиса, который хранит файлы.
Почему это объявления самого сервиса, мы объясняли в третьей части. С тех пор нашлось ещё одно подтверждение: в профиле serverexpert_dev на Kwork, по данным поискового индекса Яндекса за май 2026 года, стояло «Мой проект: aroshka.cloud». Сейчас этой строки в профиле нет.
Ничто из того, что видно снаружи, не подтверждает ни видеокарт H200, ни SOC 24/7, ни дата-центров в нескольких странах. Зато в объявлениях самого сервиса есть пять VDS, поддержка по шаблонам и проверка безопасности за две тысячи рублей.
«В три раза дешевле Google Drive»
22 марта у сервиса появился профиль на dev.to с двумя постами для англоязычной аудитории. Заголовок одного: «I built a cloud storage 3x cheaper than Google Drive» (архив). Там же ориентир, который сервис выбрал сам: «Google Drive: ~$10/month (2TB)». Автор представляется так: «I’m a full-stack developer and I’ve been building a project called Aroshka Cloud».
Сейчас тариф на 2 ТБ называется Business и стоит 44 900 рублей в год (архив страницы тарифов). По курсу ЦБ на 24 октября (80,54 рубля за доллар) это около $558 в год, в 4,6 раза дороже ориентира из того же поста.
Про «I built». Сервис собран на готовом скрипте BeDrive от студии Vebto, об этом мы писали ещё в первой части. На CodeCanyon скрипт стоит $59 за обычную лицензию и $195 за расширенную. Расширенная, по словам автора скрипта, нужна, если продавать подписки. Скрипт купили больше 4 000 раз.
Ещё мелочь из публичных настроек сайта, которые браузер получает при каждом открытии страницы: часовой пояс сервиса «Europe/Moscow». В профиле на dev.to указан Амстердам (архив профиля).
Цифры, которые не сходятся сами с собой
14 сентября serverexpert_dev пишет в заказе: «Сервис уже работает и развивается, сейчас им пользуются 120+ активных пользователей» (архив).
16 октября блог сервиса публикует итоги с 1 августа по 1 октября (архив): 4 894 новых пользователя, 4 142 565 новых файлов, 8 422 543 новых папки и 12,1 ТБ данных. Папок вдвое больше, чем файлов, около 1 700 новых папок на каждого нового пользователя за два месяца.
17 октября выходят итоги партнёрской программы за месяц (архив): партнёры «суммарно заработали» 89 426 рублей, из них 72 570 «уже выплачено» и 42 189 «находится на балансах». Выплачено и лежит на балансах 114 759 рублей, больше, чем заработано.
Что полезно знать
Если вы пользуетесь сервисом, прочитайте раздел 14 пользовательского соглашения в редакции от 17 октября (архив). Когда платный тариф закончился, а файлов больше, чем помещается в бесплатные 2 ГБ, с 15-го дня они доступны только для просмотра и скачивания, а на 35-й день лишнее удаляется: сначала корзина, потом старые версии, потом последние загруженные файлы. Правило касается тарифов, которые заканчиваются 20 ноября 2026 года или позже.
Если вы фрилансер: заказы про Aroshka мы нашли только на Kwork, на других биржах их нет. Но агрегаторы продолжают показывать их и после снятия. Например, агрегатор connect.tg 24 октября показывал как открытый заказ «Анализ логики капчи для регистрации» на этом сервисе, который на самой бирже уже сняли (архив). Открывайте заказ на самой бирже, прежде чем откликаться.
И главное, что не изменилось за четыре части. В документах сервиса нет ни названия компании, ни страны, ни адреса. Кому вы платите и кто отвечает за ваши файлы, на сайте не написано.