Андрей Колесов, Кодвин

😳 На меня выпустили симку без моего ведома и украли все деньги

Так подумал я, когда проснулся..

Короче, открываю утром телефон и вижу письмо от Госуслуг в 05:45 утра:

Абонентский договор с оператором связи Т-Мобайл заключен. Сим-карта с номером *** активирована. Если это не вы — нам очень жаль 😂

Следом вижу пуш от Т-Банка

Номер сменён.. На тот самый новый номер..

Мошенническая схема схлопнулась у меня в голове:
— симку перевыпустили
— банк перепривязали
— деньги спиздили

Думаю, ну раз деньги уже не спасти, хоть номер надо заблочить. Захожу на Госуслуги, чтобы заблокировать номер, не даёт. С ноута тоже не даёт. Очень качественный сервис, подумал я.

Захожу в банк посмотреть оставили хотя бы на дошик денег или под чистую всё перевели.. А там деньги на месте.

И сообщение от поддержки:

Услуга Ваш Т-Банк подключена

7933-XXX-XXXX — ваш личный номер для сообщений от банка. С него будут приходить уведомления о тратах и пополнениях.

Этот номер будете знать только вы и банк — его невозможно подменить. Так мы защищаем вас от мошенников.

Какого хрена банк выпускает симку на моё имя, без моего ведома, ночью?

Минут 40 выяснял это с поддержкой.

Оказалось, когда я оформлял симку от их оператора, в договоре где-то в приложении был пункт, что я разрешаю подключить бесплатную услугу Ваш Т-Банк на их усмотрение..

То есть я такой сплю, никого не трогаю, а банк в 5:45 утра:
— Андрей, мы тут решили вас защитить

Спасибо, блять, я чувствую себя в безопасности.

Я всё понимаю: защита от мошенников, безопасность и всё такое. Но может всё-таки сначала спросить человека? Ну хотя бы днём. Ну хотя бы так, чтобы я хотя бы чуть чуть был в курсе.

В итоге деньги на месте, симка не мошенническая, инфаркт отменяется.

А как ваш банк удивляет вас по утрам?

Мне слили доступ к 60+ сайтам клиентов

Это в какой-то степени продолжение истории про пароли, о которой писал пару дней назад

Году в 18, я работал на подряде у какого-то агентства, не помню как оно называется, но оно точно из Челябинска.

Они поставили задачу, прислали мне ссылку на гугл-док с названием "Пароли", в котором были все нужные доступы к сайта, что уже странно, как мне кажется. Ну ладно думаю я, дело не моё..

Задачу я сделал, оплату получил и стал жить дальше.

Спустя, наверное, год я искал какой-то документ в гугл-доке и наткнулся на файл "Пароли". Я сразу не срастил что это за файл, поэтому открыл его.
А там.. 12 страниц приватной информации 😂

Доступы к 60 сайтам в формате:
— Ссылка до сайта
— Ссылка до админки
— Ссылка до хостинга
— Для некоторых IP-сервера
— Доступы к админке
— Доступы к хостингу
— Доступы к серверу

Думаю, нуу надо как-то ребятам сказать, что возможно доступ ко всему этому есть не только у меня, который ничего не сделать, но и у кого-то еще, кто с удовольствием использует это в своих целях.

Я почему то сразу догадался, что это те ребята, с которыми я работал, но уже даже тогда я не помнил как называется их агентство. Редактирование файла было запрещено, поэтому я просто написал комментарий ко всему файлу: "Я когда-то работал с вами и вы дали мне доступ ко всем клиентским сайтам".

Это была не угроза 😂 Просто хотелось чтобы они приняли какие-то меры, пока не произошло беды. На их месте я бы конечно связался со мной, но они просто закрыли доступ к файлу и на этом история завершилась.

А может быть сейчас спустя годы, какой-то собственник агентства читает меня и вспоминает эту историю с другой стороны.. 😂

Мне очень зашла концепция "рек"

Никогда раньше про неё не слышал.

Смысл в том, что не нужно пытаться стать самым крутым в своём текущем окружении(реке). А нужно дорасти до состояния где ты "нормальный" и двигаться туда где люди сильнее, задачи сложнее ну и мышление более масштабное.

Как понять, что текущая река для тебя маленькая?
— Ты самый умный в комнате
— Тебе не об кого расти.
— Ты больше объясняешь, чем учишься

Как понять что новая река тебе подходит?
— В ней твой текущий максимум — чейто обычный день
— Ты чувствуешь себя слабым, а может даже чмошником
Но как раз это и позволит расти.

Повторюсь! Становится нужно именно нормальным, а не лучшим. Потому что король болота точно хуже по всем параметрам чем нормальный в нормальной реке.

Я вот считаю что я сейчас норм в своей реке и надо идти дальше.

А вы щас кто в своей реке? Только честно

🎰 Казино, 2ГИС и один забытый доступ

Где-то год назад, пишет мне клиент, с которым мы работали в далёком 2018, когда я еще фрилансил:
некоторые клиенты жалуются, что когда заходят на наш сайт – их выкидывает на казино.

Пошли разбираться:
И так и сяк пробовали повторить поведение, но не получалось, и только спустя пару часов проб наконец-то смогли вычислить, что в казино мы попадаем только в том случае, если переход на сайт был из 2гис(referrer=2gis)

В джс-коде нашли "инъекцию", в которой действительно была проверка: если пришли с 2gis - то редиректить на казик. И забавно было, что ссылка была реферальной. То есть как будто бы кто-то конкретный её вставил.

Удалили весь лишний код, поискали еще упоминания целевого домена во всех файлах проекта и ничего больше не нашли. Проблема ушла.

Важный момент, что в логах админки пусто, авторизаций у хостера тоже не было лишних, в общем никаких следов вообще.

Ради безопасности, сменили пароли: от админки, от файлового менеджера, от хостинга, от базы данных, короче везде где можно. Мы оба проверили и реально все было окей.

Прошло пару часов, клиент снова пишет, что попросил клиентов, которые жаловались, проверить и у него всё ещё редиректит.. Очевидно, что надо почистить кэш, но хуй то там 😂

Захожу с 2гис – снова редирект, туда же. Думаю, прикол!

Авторизаций в панели нет, в хостинге тоже. Да мы и пароли смеили везде..

В итоге мы находим админские логи от несуществующего юзера, которые только что были и через минуту их уже нет. То есть мы застали момент, когда наш хацкер промышлял своими делишками.

В итоге клиент говорит:
Знаешь, я пару лет назад, на фрилансе кому-то чето давал поправить, может как-то связано, но мы же сменили пароли.. Интересно..

В итоге спустя пару часов мы пришли к тому, что недобросовестный фрилансер создал отдельного юзера в базе данных и через эту лазейку создавал себе админского юзера прямо в базе, авторизовывался в админке, менял шаблон и дальше подчищал за собой следы.

Дело раскрыто. Удалили лишнего пользователя в базе, удалили код, проблемы как не бывало.

Перестаньте давать пароли всем подряд: сеошникам, хуёшникам, маркетологам.. Это же бизнес ваш, серьезней относитесь к инф безопасности. Это ведь не единичная история.

пс
Единственную загадку, которую мы так и не разгадали — как он так быстро(в течение пары часов) узнал, что вредоносный код был удален с сайта.
Есть идеи?

ппс
У меня есть еще история из фрилансерской жизни, когда агентство из Челябинска сами того не зная дали мне доступ ко всем сайтам(60+ штук), что они обслуживали, как нибудь расскажу

Раньше я подписывался на каналы с мыслью:
О, прикольный чувак, надо почитать

Но каналов стало дохуя. Экспертов ещё больше. Каждый второй знает, как построить бизнес, выстроить команду, продавать на миллионы и жить в балансе.

Но мало кто может быть настоящим.

И отчасти поэтому я веду свой канал как какой-то дневник, а не "полезная" инфа на все случаи жизни. Что-то пробуем — рассказываю, ниче не происходит — тогда и контента нет, потому что не хочется его выстрадать, хочется писать то о чем реально болит, или радостями делиться.

И вот на этом фоне сильно начинают выделяться "живые" каналы, про людей и для людей, а не пересказ статей на разные темы. Я вот с Кечкиным так и познакомился. Читал канал и думал — мы точно скорешимся, так и вышло.

Я сам всегда в поиске новых интересных каналов и людей, поэтому в очередной раз мы собрали папку.

И я реально каждый раз читаю всех, кто в них участвует. Да — от кого-то отписываюсь в итоге, потому что не моё, но в целом свой фид в телеге я сформировал по большей части благодаря папкам.

А чтобы у вас было время на то чтобы успеть почитать, а не просто забить — как обычно разыгрываем подарки:
🥇 MacBook Neo
🥈 Яндекс Станция Лайт 2
🥉 JBL Wave Beam 2

Что надо сделать:
1. Подписаться на папку
2. Подтвердить участие в боте
3. Поставить реакцию на этот пост

Итоги — 19 июня

Музей погребальной культуры

Я достаточно скептически относился к этому место, но оказалось, что это очень интересно, как бы странно это ни звучало.

Во-первых, я думал что это гос. заведение, а оказалось это бизнес. Достаточно большой и интересный, но мне кажется, что я не смог бы таким заниматься. В связи с этим — за бабки вам сделают в крематории что угодно.

Во-вторых, изначально я думал, что мы в музее и всё что находится вокруг нас это декорации, но оказалось, что на железном столе(на фото с шахматным полом) — людей готовят к погребению. В тот момент я перестал шутить. Запахов, кстати, там совсем нет.

Тела поступают в абсолютно разном состоянии: кому-то нужен лишь легкий макияж, а кому-то полноценный грим, чтобы родственники могли достойно проводить усопшего.

Вообще здесь всё сделано для того чтобы прощание с близкими было не таким мрачным и ужасным, как мы с вами привыкли. Даже "кладбище" выглядит не так мрачно.

В конце концов, где вы еще сможете сфотографировать Кечкина в гробу?

При случае — рекомендую к посещению. И обязательно берите приорити пасс, иначе будете стоять километровую очередь.

Как думаете сколько по времени тело горит в печи при температуре 1100 градусов?

Можно, а зачем?

Сейчас ии встраивают везде где надо и где не надо. И я поймал себя на мысли, что я стал уставать от него.

— Клиенты спрашивают можно ли встроить ии хоть куда нибудь, потому что ну очень надо. Ответ, кстати, в заголовке поста
— Почти все тз что последнее время читаю - ии
— Что-то читаешь в интернете - ии
— Конфа про маркетинг, разработку, рекламу, контент - везде ии
— Сын и другие родственники тоже спрашивает про ии

Блять, да сколько можно?

Я не сопротивляюсь, не отрицаю, а просто устаю от того что все разговоры в последнее время сводятся к иишке.

А вот эти новости: {название компнаии} выпустила новую нейросеть, которая лучше конкурентов в 613 раз и изменит всё...

Это что-то на уровне ежегодных обновлений флагманских телефонов: батарея теперь держит на 4 минуты дольше, а камера видит душу.. Но мне надо чтобы телега открывалась и камера, чтобы счётчик сфотографировать.

ИИ, конечно- новая реальность, но не переставайте думать головой

А я пока пойду спрошу у ии, как перестать уставать от ии

Паша, верни стену и убери кружок

Когда ТВОЁ голосовое не прослушано собеседником — каждый раз глаз зацепляется на чате и кажется, что ты что-то в нём не прочитал. Ужасный UX

2гис, это еще что за новости?😱 Закрыть не получается

Как я упрощаю постановку задач

Постановка задач для разработчиков — это то, что занимает лично у меня очень много времени, поэтому решил разобраться, а как же мне упростить этот процесс.

❓Что сделал:
— Собрал PRD(документ о требованиях к продукту) проекта, на котором запланировал тест
— Собрал в один файл наши стандарты разработки: код-стайл, git-flow, конфиги prettier/eslint и т.д.
— Собрал хорошие и плохие кейсы постановки задач в рамках текущего проекта
— Собрал сам скилл, который в рамках проекта видит все эти документы, а также AGENTS.md для каждого конкретного проекта, т.к. везде есть свои нюансы.
— Сделал MCP-сервер для интеграции с нашим таск-трекером
— Сделал конфигурационный файл для связи с трекером, чтобы понимал какой проект, доску, колонку, теги и исполнителей нужно взять для разного типа задач.
— Написал сам текст скила в котором учел все наши "хотелки"


✅ Что дальше:
1. Открываю Codex, вызываю скилл $new-task
2. Коротко описываю задачу
3. Агент анализирует все наши требования, которые указывал выше, анализирует кодовую базу и разбирается что и где нужно сделать
4. После анализа задаёт вопросы
5. После получения ответов формирует итоговое ТЗ для внедрения фичи
6. Я изучаю и прошу внести корректировки, если нужно но обычно не нужно
6. После этого агент предлагает добавить задачу в таймтрекер
7. Добавляет задачу в нужный проект/доску с тегами. исполнителем и т.д.


Пример из проекта:
На входе:

$new-task Добавить Авто-перевод причины отказа в выводе средств на язык пользователя.

На выходе в трекере:

Контекст
В модуле src/modules/withdrawals причина отказа задается админом в CancelWithdrawDto.description и сохраняется в withdraw.reason (AdminWithdrawalsService.cancelWithdraw).

Пользователь видит эту причину в своем списке заявок GET /withdrawals/my (WithdrawalsService.getAllUserWithdrawals), но сейчас текст не адаптируется под user.language.


Ожидаемый результат
При отклонении заявки причина автоматически переводится на язык конкретного пользователя и отдается в reason в его истории выводов, без изменения API-контракта.


Сценарий:
1. Админ отклоняет вывод через POST /admin-withdrawals/cancel/:id с description.
2. Система определяет user.language владельца заявки.
3. Текст причины переводится на язык пользователя.
4. В withdraw.reason сохраняется переведенный текст.
5. GET /withdrawals/my возвращает локализованную причину в поле reason.


Что нужно сделать:
1. В WithdrawalsModule подключить OpenaiModule и использовать OpenaiService в AdminWithdrawalsService.
2. В AdminWithdrawalsService.cancelWithdraw перед withdraw.reason = ... добавить шаг перевода:
определить target language по user.language (en/ru/es/zh, fallback en);
3. вызвать сервис перевода;
4. взять значение нужного языка и сохранить в withdraw.reason.
5. Добавить failover:
если перевод не удался или язык не поддержан, сохранять исходный description (не падать при cancel-операции).
6. Сохранить текущий формат логов/админки:
в admin-log (AdminLogInfo.payoutCanceled) оставлять исходную причину, чтобы не терять оригинал.
7. Обновить Swagger-описание admin cancel endpoint (зафиксировать, что текст для пользователя локализуется автоматически).

Особые случаи:
1. user.language пустой/null/неизвестен: использовать en.
2. description уже на нужном языке: сохраняем как есть.
3. Ошибка OpenAI/API: отмена вывода все равно успешна, в reason сохраняется исходный текст.

Критерии готовности:
1. При отклонении заявки причина в GET /withdrawals/my возвращается на языке пользователя.
2. При ошибке перевода отказ все равно проходит, а reason заполняется оригинальным текстом.
3. Контракт endpoint’ов и DTO остается обратно совместимым.

Тестирую эту приблуду всю неделю, экономит мне ~70% времени на постановку задач, но главным плюсом считаю то, что разработчики получают детализированную постановку задачи и вопросов стало сильно меньше. Где-то уже заметно, что нужны корректировки, но думаю за месяц отточу до того состояния чтобы меня на 100% устраивало

💬 Че думаете?) Делитесь мыслями в комментариях

Пока одни боятся, что из телеграма уйдет аудитория — продолжаю делиться полезными каналами

В папке собраны каналы владельцев бизнеса:
— одни управляют командами;
— другие отвечают за проекты;
— третьи принимают решения, которые помогают бизнесу расти
Подпишитесь, каждый для себя найдет что-то интересное!


Ну и по старинке, розыгрыш:
🥇 MacBook Air M4;
🥈 Яндекс Станция Мини 3;
🥉 HUAWEI Freebuds 6.


Как участвовать:
1. Подпишись на папку: https://t.me/addlist/IRlsSalborhjYzhi
2. Подтверди участие в боте: https://t.me/holly_random_bot?startapp=giveaway_13
3. Поставить 🔥 этом посту

🗓 Итоги — 17 апреля

Одна ошибка и ты ошибся

Я вот всегда очень остро реагировал на любые проблемы. Закрывался, пока не находил решение. Пока получается справляться с этим не очень хорошо, но уже лучше.

Когда что-то выбивает из колеи, я сразу вспоминаю одну историю из опыта.

Мы тогда делали один из первых сервисов, который под одним интерфейсом объединял десятки нейросетей: LLM, генерация изображений, видео, музыка.
Сторонняя команда девопсов переносила инфраструктуру на новый сервер. После переноса меня попросили проверить всё ли ок.

Я захожу, а чаты пустые. Первая мысль: ну, забыли дамп базы. Начали разбираться.

Оказалось, что они похерили 5млн сообщений, не помню как, но какая-то причина была. Из них около 200 000 картинок сгенерированных Midjourney, за которые люди платили деньги. Картинки то остались, на записей со связями в БД нет.

Ожидание: заказчик будет рвать и метать
Реальность: Ну ладно, бывает

ЧТОООО?

Я даже переспросил, потому что не понял. И получил такой ответ:

если мы уже не можем на это повлиять, то зачем..?

И вот это меня тогда сильно приземлило.
Тогда же я для себя выделил 2 типа проблем:

1️⃣Ты можешь на это повлиять
И ты идешь решать, а не паникуешь и сотрясаешь воздух

2️⃣ Ты не можешь на это повлиять
Забиваешь и придумываешь как не повторить факап в будущем

С тех пор стараюсь фильтровать всё через эту ситуацию и мне это помогает. Факапы будут всегда и у всех, но результат будет зависеть от того как ты на это реагируешь.

А у вас какие факапы были, делитесь в комментах?

Пока скептики боятся MAX — бизнес уже может с ним работать

Когда разговор заходит до Макса, обычно вижу такую реакцию: "Мои данные.. О боже.. Как так можно.. Всё обо мне узнают.. Сольют..".

😈 Да кому ты нужен?
В следующий раз когда будешь делиться с нейронкой своими личными историями — подумай, может они тоже куда-то попадут? Но это другое, конечно.. Ну правда, снизь уровень своей важности. Если о тебе надо будет что-то узнать — узнают, кипятильники всё еще горячие 😅

Но сегодня не будет холивара о том, что Макс сольёт данные, а о том как он может помочь в бизнесе.

Многие маркетологи, кстати, уже рекомендуют его использовать для бизнеса.

☺️ Олеся Сизых, маркетолог:

«Работает» и «не работает» должно основываться на цифрах.

МАХ — это не очередной мессенджер, это госпроект, который в итоге замкнет на себе цифровой профиль гражданина РФ. Он не должен соответствовать канонам соцсетей. Там действуют другие алгоритмы. Это кулуарная площадка, в каналы которой приводят пользователей за ручку.

По цифрам: подписчик сейчас стоит 40-60 руб. В противовес в Телеграм 200-400 (в зависимости от ниши). Рекламного кабинета нет, но активно ведется работа с биржами рекламы и напрямую с владельцами каналов.

Функционал площадка расширят. Я уверена! Разработчики телеграм к широкому функционалу шли годы, а разработчики МАХ — месяцы.

Итак, что уже сейчас можно делать в MAX:
1️⃣ Внутренние коммуникации
Групповые чаты, звонки и видеозвонки. Сотрудников можно заводить без номера телефона, что позволяет не хранить переписки с клиентами на личных аккаунтах менеджеров, например.

2️⃣ Чат-боты и мини-приложения
Доступны для ООО и ИП, физлица создать не смогут. Есть API и конструкторы, в целом логика точно такая же как в телеге.

3️⃣ Интеграция с сервисами для бизнеса
Можно интегрироваться с сервисами для продаж, приема платежей и поддержки клиентов. Для того чтобы использовать нужно быть зарегистрированным на МСП.рф или иметь приложение в RuStore. Обещают, что скоро сможет подключиться любой бизнес в т.ч. самозанятые.

4️⃣ Каналы
Зарегистрировать канал может любое ИП или юр.лицо, но опять же — нужно синхронизировать профиль с МСП.рф

Еще большим плюсом для бизнеса может стать тот факт, что Макс отлично работает в городах где глушат интернет — это тоже нельзя игнорировать.

Теперь о минусах:
— Нет сторис
— Нет бизнес-аккаунтов
— У многих есть вопросы по конфиденциальности
— Не всегда стабильно работает, хотя я не замечал такого

🙂 Лично мне кажется, что сейчас тот момент когда можно залететь в первый вагон и когда Макс станет популярнее — вы будете готовы.

Особенно учитывая, что его сделали национальным мессенджером. Его будут проталкивать везде, хотим мы этого или нет. Игнорировать этот факт глупо.

🔼 Если уже пользуетесь или планируете внедрять — обязательно делитесь в комментариях

🪺 Мы больше не делаем backend на Nest.js — мы делаем заднюю часть на гнезде

С 1 марта вступает в силу закон о запрете иностранных слов в публичной коммуникации.
И это не шутка

Теперь всё, что видит пользователь — должно быть на русском языке. Везде, на любой поверхности и площадке.

Есть ряд правил:
1️⃣ Заимствованные слова, которые есть в словарях РАН — можно
2️⃣ Зарегистрированные товарные знаки — можно
3️⃣ Иностранное + перевод — можно, но без звёздочек, мелких шрифтов и т.п.

У вас есть месяц чтобы посмотреть все свои рекламные кампании, сайты, офферы и т.п. иначе получите письмо счастья на 10 или 500 тысяч рублей штрафа.

Пост был спизжен у Артёма

2026 — рост или стагнация?

Можно очень много писать о том какая вокруг жопа в бизнесе: компании закрываются, налоги увеличиваются, рекламные инструменты всё больше покрываются налогами и регулируются.

Да, бизнес в России сильно меняется, и если вы идёте в 2026 год с теми же процессами, с теми же инструментами хаосом — вам очень скоро будет пиздец. Поэтому либо вы прямо сейчас налаживаете процессы, либо в конце года будете подводить итоги: а почему не получилось..

Мы с коллегами хотим вам помочь, поэтому собрали много классных материалов на эту тему.

Мой материал тут

💬 Подписывайся и забирай остальные материалы тут:
https://t.me/addlist/CCKIoFvYtYswOWI6


🎰 Ну и очевидно, розыгрыш:
🥇 MacBook Air M4;
🥈 Яндекс Станция Мини 3;
🥉 HUAWEI Freebuds 6.


Как принять участие:
1. Подписываемся на папку
2. Подтверждаем участие в боте
3. Поставить 🔥 этому посту, по желанию, но обязательно!

Результаты 16 февраля!

💰Подходит сейчас ко мне сын и говорит:
надо было когда я был маленький биткоин покупать, сейчас бы миллионером был

А я думаю: спасибо сынок, что напомнил, что я мог стать миллионером, но не решился 😅

Дальше пораспрашивал у меня что такое этот ваш биткоин, я ему всё рассказал, показал как свечи работают. Он сказал что всё понял и 10 минут следил за тем как меняется цена.

Итогом разговора стала фраза: меня есть 6000 рублей давай купим, я когда вырасту буду миллионером.

А я для себя придумал план
Купил на $200 и продам, когда сыну стукнет 18, может и правда миллионером станет в 18 😅