Офшорный и абузоустойчивый хостинг: почему важна разница

Офшорный хостинг — это размещение серверов в юрисдикции, выбранной за её законы, и соблюдение этих законов. Абузоустойчивый («bulletproof») хостинг — это сознательная сдача инфраструктуры в аренду преступникам и противодействие жалобам и правоохранительным органам. Первое законно и полезно. Второе сегодня становится мишенью санкций, изъятий и чёрных списков и тянет за собой невиновных клиентов.

Оба часто рекламируются одними и теми же словами: «офшорный», «без KYC», «DMCA игнорируется». В этой статье объясняется, как их различить, что произошло с абузоустойчивыми хостерами в 2025 и 2026 гг. и почему добросовестным пользователям стоит держаться от них подальше.

Два разных бизнеса

Агентство по кибербезопасности и защите инфраструктуры США (CISA) вместе с АНБ, ФБР и международными партнёрами 19 ноября 2025 г. опубликовало совместное руководство, где сказано прямо: «Провайдер BPH — это поставщик интернет-инфраструктуры, который сознательно сдаёт инфраструктуру в аренду киберпреступникам». Министерство финансов США описывает таких провайдеров как продающих серверы, созданные, чтобы помочь киберпреступникам «избегать обнаружения и противостоять попыткам правоохранительных органов пресечь их вредоносную деятельность».

Офшорный хостинг — это другое: хостинг в стране, отличной от вашей, выбранной за её правовую базу, законы о приватности, суды или расположение. Офшорный хостер по-прежнему подчиняется законам страны, где работают его серверы. Он просто не подчиняется законам каждой страны, откуда приходят его клиенты или заявители.

Разница — в поведении, а не в географии. У российского абузоустойчивого хостера Zservers были серверы в Амстердаме, где их и изъяла нидерландская полиция. CyberBunker, дело которого широко освещалось, работал из бывшего бункера НАТО в Германии до рейда 2019 г.; в декабре 2021 г. суд Трира признал восемь обвиняемых виновными в создании преступной организации или участии в ней.

2025 и 2026 гг.: хроника жёстких мер

Выделяются две закономерности. Правоприменение теперь опирается на санкционное право, а не только на законы о киберпреступности, а это затрагивает любого, кто платит компании из санкционного списка или что-либо ей поставляет. И ребрендинг не обнуляет счётчик: компании, созданные Aeza после июля 2025 г., попали под санкции в ноябре, а инфраструктуру, перенесённую Stark под новый бренд, изъяли через год после первоначального включения в список.

Почему добросовестным пользователям стоит держаться подальше

Изъятие отключает всех

Полиция не изымает «плохих клиентов». Она изымает серверы, хранилища и зачастую всё присутствие провайдера в дата-центре. В ходе нидерландской операции в ноябре 2025 г. тысячи виртуальных серверов отключились одновременно, что бы ни запускали их владельцы. Изъятое оборудование становится вещественным доказательством, а всё, что на нём хранилось, оказывается в руках следователей. Предупреждения нет, и обычно нет способа вернуть свои данные.

Чёрные списки не делают различий

Список DROP от Spamhaus охватывает сетевые блоки, «арендованные или украденные профессиональными спамерскими или киберпреступными группировками», и рекомендует сетям отбрасывать весь трафик из них. Совместное руководство CISA призывает интернет-провайдеров составлять списки абузоустойчивой инфраструктуры и фильтровать её. Если ваш сервер находится в диапазоне, попавшем в такие списки, ваши письма возвращаются, сайт не открывается у части посетителей, а вызовы API завершаются по тайм-ауту, хотя вы ничего плохого не сделали.

Оплата хостеру под санкциями может быть незаконной

Включение в список OFAC блокирует имущество компании и в целом запрещает американским лицам иметь с ней дело; санкции ЕС запрещают предоставлять средства компаниям и людям из списка. Оплата криптовалютой этого правила не меняет. Дешёвый сервер у провайдера из санкционного списка может стать для вашего бизнеса юридической проблемой, а не только технической.

Интересы оператора — не ваши интересы

Бизнесу, который зарабатывает на группировках вымогателей и фишинговых наборах, незачем защищать обычных клиентов, поддерживать чистоту сетей или предупреждать вас о переезде, ребрендинге или предстоящем рейде. «Защита», которую он продаёт, предназначена для его преступных клиентов и исчезает в тот день, когда приходят правоохранительные органы.

Отсутствие KYC — не то же самое, что абузоустойчивость

Сервис, отключённый нидерландской полицией в ноябре 2025 г., рекламировал отсутствие KYC и логов. Но проблема не в приватности. Платить, не передавая документы, — законный выбор, и многие честные клиенты делают его по веским причинам: чтобы их имя не попало ещё в одну базу данных, чтобы защитить издание или просто потому, что серверу не нужен паспорт. По этой модели работают наши VPS без KYC и анонимные VPS: адрес email и пароль, а также правила допустимого использования, которые действительно соблюдаются.

Хостера абузоустойчивым делает то, что он терпит, а не то, что он спрашивает при регистрации. Хостер, ставящий приватность на первое место, может не проверять личность и при этом быстро реагировать на то, что делает сервер: фишинговые страницы, вредоносное ПО, спам, атаки. Он оценивает поведение в своей сети, которое может видеть и проверить, а не документы, которые преступники всё равно подделывают. Опасность — в сочетании отсутствия проверки личности с отсутствием реакции на нарушения, потому что именно оно привлекает тех клиентов, из-за которых приходят с обысками.

Как распознать абузоустойчивого хостера до оплаты

• Прочитайте, что он обещает. «Спам разрешён», «ботнеты — пожалуйста», «игнорируем все жалобы» или «защищены от правоохранительных органов» — это описания абузоустойчивого бизнеса, что бы ни говорилось на остальных страницах сайта.
• Проверьте, где он рекламируется. Хостеры, привлекающие клиентов на киберпреступных форумах, знают, кто эти клиенты.
• Проверьте диапазон IP. Прежде чем брать на себя обязательства, сверьте анонсируемые провайдером диапазоны с публичными чёрными списками или сначала протестируйте небольшой сервер. Диапазон, уже внесённый в списки за спам или вредоносное ПО, не станет чище оттого, что там появитесь вы.
• Изучите корпоративную историю. Частые ребрендинги, новые компании с тем же персоналом и той же сетью или владельцы из санкционного списка — всё это тревожные сигналы.
• Задайте прямой вопрос. Спросите отдел продаж о гипотетической ситуации: что будет, если на мой сервер пожалуются из-за фишинговой страницы? Добросовестный хостер ответит описанием процедуры. Абузоустойчивый — подмигнёт.

Как выглядит добросовестный офшорный хостер

• Честен в отношении закона. Называет свои юрисдикции и объясняет, что всё же может произойти в каждой из них, включая решения судов и, в ЕС, Закон о цифровых услугах.
• Ясно говорит, чего никогда не допускает. Материалы сексуального насилия над детьми, вредоносное ПО, ботнеты, фишинг, спам и мошенничество перечислены и быстро удаляются.
• Работающий канал для жалоб. На сообщения о реальных нарушениях отвечают, и по ним принимаются решения.
• Письменный порядок для местных предписаний. Клиентов информируют, и они могут ответить до принятия мер, если суд этого не запрещает.
• Проверяемая прозрачность. Отчёт о прозрачности и подписанная «канарейка» (warrant canary), которые регулярно обновляются.
• Никакой рекламы неуязвимости. Никаких «bulletproof», «неприкасаемых» и «можно всё».
• Чистая цепочка поставок. Никаких владельцев, вышестоящих провайдеров или партнёров под санкциями.

Где OffshoreServ проводит черту

Мы — офшорный хостер, ставящий приватность на первое место, и никогда не называем свой сервис абузоустойчивым. Наши правила допустимого использования предусматривают нулевую терпимость — немедленные меры без процедурных отсрочек — в отношении материалов сексуального насилия над детьми (о них сообщается в компетентные органы), вредоносного ПО, серверов управления ботнетами, стилеров, панелей программ-вымогателей и наборов эксплойтов, спама и фишинга, атак из нашей сети и мошенничества против реальных людей. Исходящий SMTP на порту 25 по умолчанию закрыт и открывается по запросу из личного кабинета, что помогает держать наши диапазоны IP вне спам-списков.

Во всём остальном мы соблюдаем законы страны, где работает сервер. На американские уведомления DMCA мы отвечаем, но не исполняем их, как объясняет наша политика DMCA и подробно описывает наше руководство по хостингу с игнорированием DMCA. Принять меры может потребовать действительное решение суда юрисдикции сервера или, в наших локациях в ЕС, уведомление, соответствующее требованиям DSA, и мы сначала информируем клиента, если суд этого не запрещает. Запросы и их итоги публикуются в нашем ежеквартальном отчёте о прозрачности, а наша «канарейка» подписана PGP-ключом и обновляется каждый квартал.

Вот разница в одном предложении: офшорный хостинг — это выбор права, а не освобождение от него. Если вам нужна более широкая картина того, что офшорный хостинг может и чего не может для вас сделать, начните со статьи зачем нужен офшорный хостинг.