Беларусский бизнесмен Андрей Шиманович создал известный во всем мире шпионский сервис, а затем породнился с Виктором Шейманом, запустил десяток опасных мобильных приложений. Сегодня он живет в Европе и развивает там бизнес, параллельно продолжая работать в Беларуси, рассказывает «Бюро». Мы перепечатываем с сокращениями этот текст.
Этот материал «Бюро» подготовило с помощью «Киберпартизан», экспертов по кибербезопасности Human Constanta и Resident NGO, а также литовского расследовательского проекта Siena.
Связи с правой рукой Лукашенко
Андрей Шиманович родился в 1987 году в Минске. Его родители занимались строительством и розничной торговлей. Компании под их управлением были небольшими, но, судя по всему, прибыльными. В 18 лет Андрея отправили в Лондон. Там он окончил престижный Университет королевы Марии, а затем присоединился к команде инвестиционного бутика Bowline Capital Partners. В этой фирме «Бюро» подтвердили, что Шиманович работал у них внешним консультантом в 2012—2013 годах.
Примерно в то же время он сблизился с Ольгой Шейман — единственной дочерью Виктора Шеймана, правой руки Александра Лукашенко. Об этом говорят их многочисленные совместные поездки за границу в начале 2010-х годов, которые «Бюро» обнаружило в базах «Киберпартизан». В последующем они поженятся (спойлер: скорее всего, они уже развелись, но об этом — ниже в тексте).
На старте африканской эпопеи Виктор Шейман подключил к своим зарубежным поездкам будущего зятя — Андрея Шимановича. По данным «Киберпартизан», их первый вояж состоялся в июле 2016 года. В целом «Бюро» нашло у Андрея Шимановича и Виктора Шеймана 11 совместных перелетов. Все это указывает на то, что Шиманович был в близких отношениях с родственниками супруги и их приближенными. Однако документальных подтверждений того, что он участвовал в их бизнесах, нет. При этом известно, что во время описанных поездок Шиманович был занят собственными проектами — в сфере ИТ.
Большой брат
Первый же известный проект Андрея Шимановича обернулся грандиозным успехом. Сервис mSpy появился в 2011 году, а уже к 2013 году достиг миллиона пользователей. Приложение позволяло удаленно следить за чужим телефоном, планшетом или компьютером: читать сообщения, отслеживать геолокацию, просматривать фотографии, активность в соцсетях, историю звонков и поиска. Сервис работал в невидимом режиме, поэтому человек мог даже не знать, что за ним наблюдали.
Создатели позиционировали mSpy как инструмент родительского контроля. Пользователи, однако, быстро нашли и другое применение. Владельцы бизнесов стали использовать сервис для наблюдения за сотрудниками, а ревнивые партнеры — для слежки за вторыми половинками. В 2013 году разработчики признали: родители, которые беспокоились о своих детях, составляли лишь 40% клиентов приложения. Команду это только радовало.
Впрочем, проблема была не только в этичности сервиса. mSpy стал хранилищем огромного массива крайне чувствительных данных — и от него ожидали надежной защиты этой информации. Компания не справилась: в 2015 году данные 400 тысяч человек попали в даркнет. В 2018-м также была утечка информации, как и в 2024-м.
mSpy работает до сих пор. Сервисом пользуются полтора миллиона человек из 180 стран.
В 2015 году Андрей Шиманович основал венчурный фонд WeRocks с офисами в Лондоне и Кремниевой долине. По сообщениям СМИ, объем инвестиций составил 250 миллионов долларов, а в портфеле были десятки стартапов. Например, Bluesmart — технология, помогавшая путешественникам отслеживать перемещение багажа. GeoZilla — приложение, позволявшее определить локацию телефона. HelpCrunch — инструмент для веб-сайтов, который собирал данные о поведении пользователей. Placemeter — сервис, который подключался к уличным камерам видеонаблюдения и анализировал перемещения прохожих, чтобы оценить проходимость локаций, отследить пиковые часы и понять, какие витрины привлекали больше внимания.
Если не знать историю инвестора этих приложений, они кажутся безобидными. Однако сложно не провести параллели с mSpy. Как и этот скандальный проект, все новые разработки в портфолио Шимановича занимались сбором данных и слежкой. Только упакованы они были не в шпионский сервис, а в полезные для жизни и бизнеса приложения.
Еще один бизнес
Шиманович в 2018 году открыл на родине бизнес — компанию Mobyrix. Она занялась разработкой мобильных приложений.
Mobyrix действует до сих пор, и с момента основания ее единственным бенефициаром является Андрей Шиманович. На сайте фирмы представлено портфолио из десяти приложений. Однако в App Store и Google Play в качестве их разработчика указана другая компания — литовская Appvillis. Ее сайт выглядит точь-в-точь как у Mobyrix. Совпадают логотипы и продукты в портфолио. Это не случайность. Обе фирмы, выяснило «Бюро», основал Андрей Шиманович — причем с разницей в месяц. Расследователи изучили эти компании и пришли к выводу, что они работают в связке. Беларусская Mobyrix отвечает за разработку приложений, а литовская Appvillis их публикует и монетизирует.
Например, в App Store у одного приложения разработчиком названа Appvillis — но Bundle ID программы, то есть ее уникальный «цифровой паспорт», привязан к Mobyrix. В коде другого приложения, которое публично продвигается как продукт Appvillis, тоже указана Mobyrix. На странице третьего приложения в App Store разработчики, отвечая на вопрос пользователя, представляются как «команда Appvillis» — но за техподдержкой просят обращаться на электронную почту Mobyrix.
Чтобы разобраться, опасны ли разработки Mobyrix и Appvillis для клиентов, «Бюро» изучило их политики конфиденциальности и пользовательские соглашения, а также проконсультировалось с экспертами по кибербезопасности.
Кредит доверия
Флагманское приложение Андрея Шимановича называется Nicegram. Это своеобразная надстройка для Telegram. Привязываешь к ней свой аккаунт в мессенджере — и получаешь дополнительные возможности вроде ИИ-помощника и доступа к заблокированным каналам.
Устанавливая Nicegram, пользователь раскрывает приложению свое имя, адрес электронной почты и номер телефона, дает доступ к геолокации, микрофону и камере, хранящимся на устройстве фото, видео, аудио и другим медиа. Если разрешить синхронизацию контактов, то приложение также узнает имена, фамилии и номера из телефонной книги клиента.
В этом Nicegram не отличается от оригинального Telegram, отметили эксперты по кибербезопасности из правозащитной организации Human Constanta. По запросу «Бюро» они проверили приложения Шимановича на наличие вредоносного и шпионского ПО.
В Nicegram вирусов специалисты не обнаружили, однако уточнили, что это не снимает самого важного вопроса насчет безопасности приложения.
«Бюро» также обратило внимание на то, что политика конфиденциальности Nicegram в последний раз обновлялась в 2022 году, хотя с тех пор в приложении появилось множество дополнительных опций, включая инструменты ИИ. Клиентов оставляют в неведении относительно того, как именно новые функции собирают и обрабатывают их конфиденциальные данные.
Примечательно и то, что на сайте беларусской компании Шимановича о Nicegram нет ни слова. Это единственное, чем ее публичное портфолио отличается от каталога литовского клона. Однако в коде приложения «Бюро» обнаружило техническую привязку к Mobyrix. Это доказывает связь Nicegram с Беларусью, которую Шиманович намеренно не афиширует.
Сегодня Nicegram насчитывает 10,5 миллиона активных пользователей, а общее число загрузок превысило 50 миллионов.
Другое популярное приложение Шимановича — eSIM Plus. Оно позволяет получать виртуальные номера и в поездках выходить в интернет без роуминга. В политике конфиденциальности указано, что программа собирает IP-адреса пользователей, технические данные и идентификаторы их устройств, получает доступ к точной локации, контактам, камере и неназванным «другим функциям» телефона.
Эксперты Human Constanta назвали использование точной локации избыточным.
Следующая программа в каталоге Андрея Шимановича — фоторедактор InLab. Он не запрашивает доступ к камере, микрофону, контактам и геолокации, однако получает очень широкие права на контент пользователей.
Когда вы загружаете в этот редактор свое фото, компания Шимановича автоматически получает на него лицензию. Она бессрочная, передаваемая, бесплатная и всемирная. Это позволяет владельцу приложения использовать ваше фото в рекламных и коммерческих целях. Также InLab может передавать собранные данные аффилированным компаниям, бизнес-партнерам, госорганам, суду и новым владельцам приложения.
Похожая ситуация и с программой StickyLab, которая создает стикеры. Эксперты Human Constanta назвали ее функционал самым безопасным среди всех программ, которые проанализировали. StickyLab не запрашивает избыточного доступа и не собирает личные данные клиентов, однако в пользовательском соглашении есть настораживающие пункты. Например, все загруженные в приложение материалы становятся собственностью Appvillis, и компания может использовать контент «как угодно». При этом в случае претензии третьих лиц ущерб обязан возместить пользователь.
Новейшая программа в каталоге Шимановича — ИИ-ассистент Aivan. Если Nicegram был надстройкой для Telegram, то это приложение — обертка для Chat GPT. Aivan собирает технические данные устройства, запрашивает доступ к камере, микрофону, хранилищу, локации и неназванным «другим функциям», а также анализирует общение клиентов с ИИ.
В Aivan есть платные функции. При покупке пользователи вводят свои данные, включая код безопасности карты. Приложение собирает эту информацию, но не раскрывает, где хранит ее: поле с названием провайдера в политике конфиденциальности не заполнено. При этом в документе отмечается, что данные могут передаваться партнерам Appvillis, правоохранителям и новым владельцам приложения.
Последний пункт очень важен, потому что некоторые программы уже были проданы. «Бюро» изучило, кому они теперь принадлежат.
В «надежные» руки
В каталогах Mobyrix и Appvillis есть приложение для записи звонков Recordeon. Оно работает не как диктофон, который просто сохраняет звук на телефоне, а подключает к разговору внешнюю линию для записи. Такой звонок уже нельзя назвать приватным: его слушает, хранит и обрабатывает владелец Recordeon.
Судя по карточке в App Store, минимум до конца 2020 года программа принадлежала Appvillis — литовской компании Шимановича. Именно ее команда отвечала на отзывы пользователей. Однако сегодня собственником приложения указана кипрская фирма Smertrios Limited.
Компания не раскрывает политику конфиденциальности и условия пользования Recordeon, но «Бюро» обнаружило общие регламенты для всех продуктов фирмы.
В соответствии с ними Smertrios Limited собирает персональную информацию клиентов, технические данные их устройств, данные о подписках и платежах, а также весь пользовательский контент. Последний пункт в случае Recordeon почти наверняка касается истории и записей звонков. Компания отмечает, что может использовать собранный контент, «как считает нужным» — в том числе для продажи.
Устанавливая приложения Smertrios Limited, человек также дает согласие на мониторинг своей активности и подтверждает, что не ожидает приватности. При этом персональные данные хранятся без конкретного срока — «не дольше, чем следует».
Вот такой фирме Андрей Шиманович передал права на свой продукт — и не один. Smertrios Limited также получила переводчик аудио и фото Voicelator. Его пользователи соглашаются на те же условия, что и клиенты Recordeon. Дополнительный риск — в том, что Voicelator может подключаться к другим приложениям, в которых используется клавиатура.
Судя по карточке App Store, сегодня Voicelator в собственности у третьей компании — Appjiggly Limited, которая зарегистрирована в Гонконге. Однако на самом деле у приложения просто сменилась вывеска. Предыдущий, кипрский, владелец входит в холдинг швейцарской компании AppCapital. Новый, гонконгский, тоже управляется из Швейцарии — через материнскую фирму Bloxolid. Эти швейцарские структуры зарегистрированы по одному адресу, а руководит ими один человек — Матиас Шмидт.
С каким еще бизнесом связан Шиманович
Этот бизнесмен имел и имеет управляющие роли в многочисленных компаниях из разных сфер: айти, консалтинг, добыча полезных ископаемых, технологии и строительство.
В бизнес-портфеле Андрея Шимановича помимо беларусской и литовской компаний есть шотландский актив — Strongtech Corporation. В 2017 году бизнесмен стал контролирующим акционером этой фирмы.
Управление к Шимановичу перешло от двух фирм из Белиза (это небольшое государство в Центральной Америке, на побережье Карибского моря), которые зарегистрировали Strongtech Corporation в 2015 году. Обеими компаниями управляла резидентка этой офшорной территории Тиффани Николь Браун. Она — фигурантка «Панамского архива». Это крупнейшая в истории утечка секретных финансовых данных, которая вскрыла масштабы уклонения мировой элиты от уплаты налогов.
Strongtech Corporation не предоставила никаких финансовых документов в реестры. Не была раскрыта даже сфера деятельности фирмы, однако ее сайт дал «Бюро» подсказку. Он практически идентичен сайтам Mobyrix и Appvillis — беларусской и литовской компаний Шимановича. Это позволяет предположить, что шотландская фирма с ними связана. Например, там может оседать прибыль от мобильных приложений — на это косвенно указывают финотчеты.
У Appvillis в 2024 году выручка составила почти 2 миллиона евро, но больше 1,5 миллиона евро списали по статье «приобретенные ресурсы», а еще 326 тысяч евро — как «прочие расходы». В итоге чистая прибыль — меньше 3 тысяч евро. При этом долгосрочных активов, к которым относятся в том числе права на приложения, в отчетах фирмы не представлено.
Mobyrix в 2024 году получила 3,3 миллиона беларусских рублей выручки, но закончила год с убытком. Основные выплаты ушли на зарплаты, налоги и управленческие расходы. Нематериальные активы компании составили всего 9 тысяч беларусских рублей. Для бизнеса, который показывает портфолио из десяти мобильных приложений, это слишком мало.
Иными словами, в отчетах Appvillis отображены продажи, а в документации Mobyrix — расходы на команду. Но ни в одной из компаний не видно главного актива — самих приложений. На этом фоне Strongtech с ее скрытой бухгалтерией выглядит как возможный владелец прав, а значит, получатель основной прибыли.
Андрей Шиманович также руководит компанией Lestebrond Assets, которая зарегистрирована на Кипре. Впервые кресло директора Шиманович получил в 2019 году — но только на один день. В 2024 году он вернулся на пост и занимает его до сих пор.
Также «Бюро» обнаружило у Шимановича бизнес в ОАЭ.
Окно в Европу
В 2023 году Андрей Шиманович получил вид на жительство в Литве как стартапер, а в 2025 году продлил документ. Это «Бюро» выяснило с помощью коллег из литовского расследовательского центра Siena.
«Оба раза перед выдачей разрешения на временное проживание проводились консультации с компетентными государственными учреждениями. В обоих случаях Департамент миграции не получил никакой существенной информации, которая могла бы помешать выдаче временного вида на жительство указанному иностранцу», — прокомментировала литовская миграционная служба.
На момент получения ВНЖ Андрей Шиманович, как полагает «Бюро», развелся с Ольгой Шейман. На его семейных фото она не появляется уже несколько лет, а с конца 2022 года фигурирует в базах ФСЗН под другой фамилией. Вероятно, именно развод позволил Шимановичу пройти проверку литовских ведомств.
Тем не менее при регистрации бизнеса в Литве в 2018 году Андрей Шиманович точно был членом семьи Шеймана. Его брак с Ольгой продолжался как минимум до конца 2021 года, следует из данных «Киберпартизан».
Вдобавок именно литовская компания стала привлекательной европейской витриной для приложений Шимановича, которые были разработаны в Беларуси и собирали чувствительные данные пользователей по всему миру.
Не ушел в прошлое и первый крупный проект Шимановича — mSpy. Сервис для скрытой слежки работает до сих пор, насчитывает миллионы пользователей и продолжает попадать в скандалы с утечками данных.
Андрей Шиманович проигнорировал звонки журналистов «Бюро». На момент публикации расследователи также не получили от Шимановича ответа на свое письменное обращение. Не прокомментировали запросы «Бюро» и компании Шимановича: Mobyrix, Appvillis и Strongtech Corporation.
