29.11.2023
1 хв
1882
Meta подала до суду на розробників додатків CrushAI і Crushmate, які використовували штучний інтелект для створення оголених deepfake-зображень жінок без їхньої згоди. Було викрито мережу пов’язаних компаній із Гонконгу та Китаю, що поширювали такі додатки через рекламу у Facebook, Instagram і Threads. Попри спроби приховати діяльність, Meta вдалося простежити джерело фінансування, пов’язані сайти та шахрайські схеми. Стаття розкриває, як працювала система, хто за нею стояв і чому це створює загрозу цифровій безпеці користувачів.
На перший погляд, Crushmate виглядав як один із багатьох додатків для «дівчин» або «компаньйонів» зі штучним інтелектом. На численних вебсайтах компанії зазначалося, що вона спеціалізується на «створенні дівчини вашої мрії зі штучним інтелектом», а в магазинах додатків Google та Apple її описували як «продукт для спілкування зі штучним інтелектом, розроблений для забезпечення користувачів комплексної емоційної підтримки та досвіду спілкування».
Але реклама, що містила посилання на додаток на популярних платформах соціальних мереж, показувала, що він пропонує зовсім іншу послугу – створення фотографій оголених жінок без згоди.
Минулого тижня Meta оголосила про подання позову проти Joy Timeline HK Limited («Joy Timeline»), гонконгської компанії, яка, за її словами, стоїть за групою фейкових «оголених» додатків під назвою «CrushAI», до яких належить і Crushmate. Це сталося після повідомлення 404 Media у січні про те, що CrushAI купила тисячі реклами в Instagram та Facebook, використовуючи кілька фальшивих профілів Facebook, щоб обійти модераторів Meta.
Однак розслідування виявило ще дві компанії в Гонконзі та материковому Китаї – Soul friendship HK Limited («Soul friendship») та Wuhan Ruisen Zhuoxin Network Technology Co., Ltd («Wuhan Ruisen») – які, схоже, мають зв’язки з цими додатками.
У рекламі CrushAI було показано жінок, зокрема знаменитостей та інфлюенсерів, з яких штучно знімали одяг за допомогою технології діпфейків. Це призводило до сторінок, де користувачів просили завантажувати фотографії людей та «стирати з них одяг».
Звіт 404 Media спонукав сенатора від Іллінойсу Діка Дербіна написати генеральному директору Meta Марку Цукербергу про рекламу CrushAI на платформах Meta, вказавши, що «створення та поширення недобросовісних, фейкових інтимних зображень є актами зловживання та порушенням недоторканності приватного життя, які завдають тривалої шкоди жертвам».
На запитання про дві інші компанії, які Bellingcat пов’язав із CrushAI, Meta відповіла, що розслідує їхню діяльність і вживатиме заходів, включаючи судові, за необхідності, якщо виявить порушення своїх правил. Компанія також заявила, що продовжуватиме вживати необхідних заходів проти інших рекламодавців, які зловживають їхньою платформою.
Soul friendship був вказаний як розробник Crushmate в Apple App Store, тоді як Ухань Руйсен минулого року подав заявку на федеральну торгову марку США, пов’язану з брендом Crushmate. Документи, що підтверджують заявку Уханя Руісена на торгову марку, свідчать про те, що додаток заробив понад 45 000 доларів США на підписках у період з грудня 2023 року по липень минулого року.
Згідно з юридичним документом, який надала Meta, гігант соціальних мереж вимагає судової заборони, яка б заборонила Joy Timeline розміщувати рекламу, пов’язану з оголеними додатками, на своїх платформах. Він також вимагає 289 200 доларів США відшкодування збитків, включаючи витрати, понесені, за його словами, на розслідування та видалення реклами для додатків CrushAI, на відповіді на запити громадськості та регуляторів щодо реклами, а також на вжиття заходів щодо примусового виконання проти Joy Timeline.
У скарзі зазначалося, що станом на лютий цього року Joy Timeline розмістила понад 87 000 рекламних оголошень із порушеннями у Facebook та Instagram, в основному орієнтованих на користувачів у США, Канаді, Австралії, Німеччині та Великій Британії.
У відповідь на запити представник Crushmate заявив, що додаток остаточно закрився, але на ранніх етапах свого розвитку «дуже короткочасно покладався на підтримку багатьох сторонніх партнерів».
Щодо взаємовідносин між CrushAI та Joy Timeline, а також двома іншими компаніями, представник заявив, що «оскільки проєкт завершився, а команди більше не існує, я, на жаль, не можу перевірити, чи була компанія, яку ви згадали у своєму електронному листі, одним із наших колишніх партнерів».
Soul Friendship, Joy Timeline та Вухан Руйсен не відповіли на численні запити прокоментувати свої стосунки один з одним або з CrushAI.
Як і інші сумнозвісні програми для оголення на основі штучного інтелекту, CrushAI, схоже, володіє кількома веб-сайтами з однаковим доменним ім’ям («crushmate»), але різними розширеннями, такими як .site .net .vip та .us. Було виявлено щонайменше 23 домени, які використовували ім’я Crushmate, і всі вони більше недоступні. Здебільшого вони були зареєстровані протягом двох днів у квітні та липні 2024 року. Ми також знайшли інші сайти з ідентичним макетом головної сторінки та контентом, як у Crushmate, зі схожими доменами, такими як «Crushai», «crushh», «crrru», «crushx» та «crush1».
За допомогою Domain Tools нам вдалося пов’язати ці сайти – та інші – через ідентичний тег Google Analytics, який використовується для відстеження трафіку веб-сайту.
Хоча майже кожен із цих вебсайтів мав реєстраційну інформацію WHOIS, приховану з метою забезпечення конфіденційності, один не був таким, і він був зареєстрований на Joy Timeline.
Наш пошук на Whoxy, інструменті зворотного пошуку WHOIS, виявив 158 доменів, публічно зареєстрованих на Joy Timeline на момент публікації. Лише один мав назву Crushmate, але ще 28 мали майже ідентичні макети, а також виглядали як дипфейкові додатки для «оголення».
Наприклад, архівні версії головних сторінок двох із цих доменів, «sparkaifun [крапка] online» та «chatnplay [крапка] online», були ідентичними головній сторінці та сторінкам «гумка для одягу» на сайтах CrushAI.
Можливо, що існують інші схожі веб-домени, які не відображалися в наших пошуках, оскільки реєстранти доменів також можуть приховати свою інформацію. Інші активні домени, що належать Joy Timeline, згідно з загальнодоступною інформацією про домени, включають, серед іншого, домашні сторінки інших програм «штучного чату», програм для редагування фотографій та мобільних ігор.
У Гонконзькому реєстрі компаній директором Joy Timeline було зазначено особу на ім’я Чжан Сяо, яка має китайський паспорт.
Компанія була зареєстрована зі 100 випущеними акціями загальною вартістю 100 гонконгських доларів (12,80 доларів США). У документах компанії Чжан Сяо був вказаний як власник 90 з цих акцій, тоді як інший громадянин Китаю, Чжан Шивей, володіє 10 акціями.
Чжан Шивей — режисер фільму «Душевна дружба», якого також пов’язують із застосунками CrushAI.
Хоча Crushmate більше не доступний у Google Play Store та Apple App Store, архівні версії списків його програм в обох цих магазинах привели нас до Soul friendship, ще однієї гонконгської компанії.
Розробник Crushmate у Google Play Store з вересня 2024 року, згідно з кешованою версією сторінки, був вказаний як «LipLip Team». Наш онлайн-пошук LipLip Team показав, що в Play Store був ще один додаток під назвою «LipLip – Live Video Chat&Meet», який, схоже, був додатком для спілкування в чаті.
Але URL-адреса сторінки LipLip з архівного профілю розробника в Google Play Store, заснована як на індексованих копіях списку в Google Play Store, так і на біографії LipLip на X, містила ідентифікатор «hk.soulfriendship.chat» – наша перша підказка про те, що до справи причетна інша компанія.
У магазині Google Play ідентифікатор програми, який є частиною URL-адреси, базується на назві пакета програми, що однозначно ідентифікує програму в магазині Play. Назву пакета можна встановити будь-яку, якщо вона не використовується жодною іншою програмою в магазині Play.
Однак, у цьому випадку, це дуже схоже на назву Soul friendship, гонконгського розробника, який опублікував Crushmate та LipLip-Chat в Apple App Store.
Нам вдалося знайти більше інформації про дружбу між душами, переглянувши сторінку LipLip-Chat в Apple App Store, як вона виглядає з країни Європейського Союзу.
Згідно із Законом ЄС про цифрові послуги, Apple юридично зобов’язана перевіряти та відображати детальнішу інформацію для продавців, які розповсюджують додатки в ЄС, ніж в інших юрисдикціях.
Це включає номер розробників у Універсальній системі нумерації даних (DUNS) – дев’ятизначний цифровий ключ для унікальної ідентифікації компаній у всьому світі, – а також контактну інформацію, таку як їхня адреса, номер телефону та адреса електронної пошти.
Навіть за межами ЄС цю інформацію легко переглянути, змінивши код країни в URL-адресі веб-сторінки App Store.
Наприклад, інформація про розробника, яка відображається в списку програм LipLip-Chat у магазині додатків США, показує лише назву Soul Friendship. Але проста зміна коду країни з «us» на «nl» (код країни Нідерландів) показує номер DUNS компанії, адресу, номер телефону та адресу електронної пошти:
Адреса, вказана для Soul friendship у комерційному районі Ван Чай, Гонконг, така сама, як і в записах реєстрації доменного імені Joy Timeline. Ця адреса також вказана як така, що належить одному з приблизно 6900 постачальників трастових або корпоративних послуг (TCSP) у Гонконзі, які уповноважені надавати, серед інших корпоративних послуг, зареєстровану адресу бізнесу або офісу.
Документи з Реєстру компаній Гонконгу свідчать, що Чжан Шивей є зареєстрованим директором Soul Friendship.
Хоча вони мають різні імена та директорів, акціонери Soul friendship та Joy Timeline є однаковими, і існує багато спільних рис у тому, як ці дві компанії працюють.
Як і Joy Timeline, Soul friendship була зареєстрована зі 100 випущеними акціями загальною вартістю 100 гонконгських доларів. Аналогічно домовленості щодо Joy Timeline, Чжан Шивей, директор Soul friendship, володіє 90 акціями Soul friendship, тоді як Чжан Сяо, директор Joy Timeline, володіє 10 акціями.
Окрім спільної адреси, пов’язаної з постачальником транзитних послуг (TCSP) у Ванчаї, обидві компанії використовували однакову адресу зареєстрованого офісу в Квун Тонгу, промисловому та діловому районі Гонконгу, у своїх бізнес-документах. Це адреса іншого постачальника транзитних послуг (TCSP), який виконує функції секретаря компанії для обох цих підприємств.
Пошукові запити «Soul friendship» та «Joy Timeline» в Інтернеті не виявили великої кількості результатів, окрім веб-сайтів під їхніми назвами, які використовували ідентичні шаблони. Жоден з веб-сайтів не згадував Crushmate чи CrushAI, і обидва сайти на своїй сторінці «Про нас» зазначали, що були засновані у 2022 році та надають «послуги ІТ-консалтингу та розробки програмного забезпечення».
Щоб ще більше ускладнити ситуацію, Bellingcat виявила дві заявки на федеральну торговельну марку США, подані для Crushmate компанією з материкового Китаю Wuhan Ruisen у серпні 2024 року. Першу заявку в категорії «Реклама, бізнес та роздрібні послуги» було відхилено на тій підставі, що компанія не надала достатніх доказів використання торгової марки Crushmate у комерції.
Другий, у розділі «Комп’ютерні та програмні продукти, а також електричні та наукові продукти», був офіційно зареєстрований у відомстві з товарних знаків 29 квітня 2025 року. Документи, подані для заявок на федеральні товарні знаки, є загальнодоступними на веб-сайті Ведомства з патентів і товарних знаків США (USPTO).
У своїх заявках на торговельну марку Wuhan Ruisen надала «зразки» – приклади використання своєї торгової марки в комерції. Серед них були скріншоти сторінок Crushmate в Google Play Store та Apple App Store, на яких розробниками додатка були команда LipLip та Soul friendship HK, а також скріншоти їхнього вебсайту.
Джон Халскі, юрист зі США, чия практика зосереджена на торговельних марках та авторському праві, розповів, що компанія може включити зразки або екземпляри до своєї заявки на торговельну марку від іншої компанії за ліцензією третьої сторони.
Однак, за словами Халскі, питання про те, чи буде поставлено під сумнів кілька назв компаній у заявці, залежить від експерта.
«Експетиментатор [торговельних марок] має право запитати: «Ви надіслали мені цей зразок, який показує, що сторона XYZ використовує його, і ви стверджуєте, що ваше ім’я ABC». Потім вони можуть запитати: «Чи це за ліцензійною угодою?»
Подати заявку на торговельну марку може будь-хто, незалежно від того, чи є вона її власником, але інші сторони можуть заперечити проти заявки – наприклад, якщо вони стверджують, що є оригінальними власниками торгової марки – протягом 30 днів після її публікації. Заявку Уханя Руйсена на торговельну марку Crushmate було опубліковано 11 березня цього року та успішно зареєстровано без заперечень 29 квітня.
У документах заявки було наведено скріншот, на якому, ймовірно, було показано платіжну панель Stripe з 4563 успішними платежами. Усі видимі платежі були на суму 9,99 доларів США, що становило тижневу вартість VIP-підписки на Crushmate на американському сайті на момент подання заявки.
Якщо припустити, що єдині платежі, зафіксовані панеллю інструментів, були за ці підписки, це означатиме, що на момент подання заявки у серпні минулого року Crushmate заробив щонайменше 45 584,37 доларів США на підписках. Незрозуміло, який точний часовий проміжок часу зафіксовано на скріншоті цієї панелі інструментів, хоча в заявці зазначено, що перше використання торгової марки відбулося 25 грудня 2023 року.
Ще один скріншот, включений до програми, також, очевидно, з панелі інструментів Stripe від Crushmate, показав розподіл місцезнаходження платоспроможних клієнтів Crushmate. Це подання на панелі інструментів Stripe відображає «податкові пороги» для кожного штату США та показує, чи досяг отриманий дохід оподатковуваного статусу. Скріншот показав, що Crushmate мав платоспроможних клієнтів по всій території США, з найбільшою кількістю транзакцій з Кентуккі та Юти.
Згідно з документами з офіційного реєстру підприємств Китаю , які відповідають назві та адресі компанії китайською мовою, компанія Wuhan Ruisen була заснована у березні 2021 року зі зареєстрованим капіталом у 10 мільйонів китайських юанів (1,38 мільйона доларів США).
Ми не називаємо ім’я юридичного представника компанії Wuhan Ruisen, зазначеного в цих документах, оскільки точний зв’язок між цією компанією та CrushAI досі незрозумілий. Ім’я юридичного представника не фігурує в реєстраційних записах бізнесу Soul friendship або Joy Timeline у Гонконзі.
Пошук назви компанії в базі даних ліцензій постачальників інтернет-контенту Китаю показує, що вона зареєстрована для п’яти різних доменних імен. Станом на червень було доступно лише одне. Цей сайт, який описує компанію з Уханя як «професійну компанію з розробки програмного забезпечення», що спеціалізується на розробці програмного забезпечення для настільних комп’ютерів та мобільних пристроїв, містить список низки додатків, нібито розроблених компанією. Жодного з додатків CrushAI серед них не було.
Деякі програми на цій сторінці дуже схожі на програмне забезпечення іноземних розробників. Наприклад, перша програма на сторінці — це перекладач зі штучним інтелектом під назвою «DeepL», що також є назвою програми для перекладу зі штучним інтелектом від німецького стартапу, який наразі не пропонує платних планів у материковому Китаї.
На сторонній платформі обслуговування споживачів Heimao Tousu з жовтня 2023 року по березень 2025 року надійшло понад 40 скарг на компанію. Більшість із них заявили, що заплатили від 29 до 69 юанів (від 4 до 9,50 доларів США) за завантаження програмного забезпечення, яке вважали справжнім, але виявили, що продукти підроблені або не працюють. Коли вони просили повернути кошти, їх проігнорували.
Компанія Wuhan Ruisen не відповіла на численні електронні листи з проханням прокоментувати ситуацію, а коли ми зателефонували за номером телефону, вказаним на її вебсайті, отримали автоматичне повідомлення про те, що набраний номер недійсний.
Профіль Crushmate на X-платформі та сайт із американським доменом, що носив його ім’я, були доступні до квітня. Того ж місяця було прийнято Закон США про видалення порнографії, який криміналізує розповсюдження порнографії з використанням діпфейків без згоди на федеральному рівні. Він був підписаний у травні, а профіль Crushmate на X-платформі було видалено приблизно того ж місяця.
На момент публікації всі 23 домени Crushmate, додаткові домени, пов’язані з nude, що належать Joy Timeline, та інші домени CrushAI, схоже, були або офлайн, або відображали повідомлення «на технічному обслуговуванні» після реєстрації та входу користувачів у систему.
Коли Bellingcat звернувся до служби підтримки на електронну адресу, вказану на кількох веб-сайтах Crushmate, відповіла неназвана особа.
Ця людина сказала, що рішення про припинення діяльності та розпуск команди насправді було прийнято «за кілька місяців» до запровадження Закону про ліквідацію.
«Відтоді ця поштова скринька залишається неактивною», – сказали вони.
Особа, яка написала нам електронного листа, не пояснила, чому вона відповідає з неактивного облікового запису, і не відповіла на наступні запитання про те, хто вона чи яка її роль у Crushmate чи CrushAI.
Joy Timeline придбала домени ще 14 травня, але жоден з них, схоже, не є сайтом з оголеним контентом і наразі не містить такого контенту.
