Есть новости, которые интересны сами по себе, а есть такие, где интересна не новость, а то, как красиво старое переоделось в новое. История с Phia — второй случай. Стартап оценивают в 185 миллионов долларов, в инвесторах — Kleiner Perkins и половина обложки таблоида, сооснователь — дочь Билла Гейтса, а сам продукт гордо называет себя "AI-агентом для шопинга" и "слоем выравнивания для коммерции". И вот этот слой выравнивания поймали на приеме, за который другого человека в 2014-м посадили в федеральную тюрьму. Прием называется cookie stuffing, ему лет двадцать с гаком, и он не стал ни капли новее оттого, что теперь его подают под соусом искусственного интеллекта.
Если вы льете трафик, работаете с партнерками или хотя бы раз в жизни ждали подтверждения конверсии — эта история про вас. Потому что деньги, которые Phia, по данным расследования, тихо забирала себе, — это ровно те деньги, за которые вы деретесь каждый день. Комиссия за продажу. И забирала она их не у Гейтсов, а у таких же аффилиатов, как вы.
Давайте разберем по косточкам: что случилось, как эта механика устроена изнутри, кого на ней уже ловили — и почему шопинг-расширения будут заниматься этим ровно до тех пор, пока существует модель last-click.
Что продает Phia (и как она на самом деле зарабатывает)
Сначала фактура, без нее никак. Phia запустилась в апреле 2025-го. Две сооснователицы — Фиби Гейтс (младшая дочь Билла Гейтса и Мелинды Френч Гейтс) и София Кианни (климатическая активистка, Forbes 30 under 30), познакомились случайными соседками по комнате в Стэнфорде. Продукт — браузерное расширение и приложение, которое сравнивает цены на вещь в ритейле и на ресейле. "Google Flights для моды": жмешь кнопку "Should I Buy This?", и тебе показывают, дешевле ли взять это платье новым или б/у. База — 250 миллионов вторичных товаров, больше 40 тысяч магазинов-партнеров.
Раунды впечатляют. Сид на 8 миллионов вел Kleiner Perkins, в списке ангелов — Хейли Бибер, Крис Дженнер, Сара Блейкли, Шерил Сэндберг. В январе 2026-го — Series A на 35 миллионов при оценке в 185 миллионов, теперь уже с Notable Capital и Khosla Ventures.
Больше миллиона пользователей за десять месяцев, 6200 брендов-партнеров, одиннадцатикратный рост выручки. Фиби Гейтс в интервью настойчиво повторяла, что хочет успеха "без всякой связи с моими привилегиями и с моей фамилией".
А теперь ключевой вопрос, который в глянцевых заметках обычно теряется: на чем Phia зарабатывает? На партнерских комиссиях. Когда пользователь после подсказки расширения что-то покупает, магазин платит Phia процент за приведенного клиента — как заплатил бы любому паблишеру, блогеру или арбитражнику. Это не побочка, это и есть бизнес-модель. Держите этот факт в голове, он сейчас пригодится.
Механика: когда последний клик решает все
Чтобы понять, в чем Phia обвиняют, надо десять секунд поговорить про то, как вообще устроена атрибуция в партнерках. Индустрия почти целиком живет на модели last-click: комиссию получает тот, чья метка (кука) легла в браузер последней перед покупкой. Не тот, кто реально познакомил человека с товаром, не тот, кто написал обзор и прогрел — а тот, кто оказался ближе всех к кнопке "оформить заказ". Логика понятная и по-своему честная, но у нее есть врожденная дыра: систему интересует не заслуга, а тайминг. Кто последний подсунул куку, тот и молодец.
Cookie stuffing — это эксплуатация ровно этой дыры. Ты подсовываешь свою партнерскую куку пользователю, который тебя в глаза не видел, без единого клика по твоей ссылке. Классика жанра: невидимый пиксель 1×1, скрытый iframe, который в фоне подгружает партнерскую ссылку магазина, редирект через свой домен. Человек просто ходит по интернету, а на нем уже висит десяток чужих меток, и та, что легла последней, соберет комиссию с любой его покупки.
Что, по данным Bloomberg и независимого исследователя Бена Эдельмана, делала Phia. Пользователь заходит в интернет-магазин — сам, по прямой ссылке, или вообще перейдя по партнерской ссылке другого паблишера, например Wirecutter.
На айфоне расширение Phia без всякого действия пользователя открывало второй вкладкой в фоне партнерскую ссылку и на этапе оформления заказа перебивало чужой referral-код своим. То есть законная метка того, кто реально привел покупателя, затиралась, а последней ложилась метка Phia. Last-click срабатывал как задумано — просто выигрывал в нем тот, кто жульничал. Комиссию за продажу, которую Phia не приводила, получала Phia.
Отдельно отмечу, кто это раскопал. Бен Эдельман — не блогер-энтузиаст, а бывший профессор Гарвардской школы бизнеса, который ловит партнерский фрод с 2004 года. Запомните фамилию, мы к ней еще вернемся — она связывает всю эту историю в один узел через двадцать лет. Параллельно неладное заметил и Capital One Shopping — то есть конкурирующее шопинг-расширение. Соседи по нише сдали соседа. В индустрии, где все пасутся на одном пастбище, чужую куку в чужом чеке замечают быстро.
Ничего личного, просто очень старый прием: от eBay до Honey
Теперь то самое обещанное "ничего нового". Cookie stuffing — не свежая уязвимость эпохи ИИ, а фрод-долгожитель, на котором успели обжечься все.
Акт первый — eBay против Шона Хогана. Начало нулевых, Хоган — глава Digital Point Solutions и один из крупнейших партнеров eBay. Схема: его сайты в фоне подгружали ресурсы с серверов eBay, ставя партнерские куки посетителям без единого клика по рекламе.
Дальше человек что-то покупал на eBay сам по себе — а комса капала Хогану. За несколько лет он выкачал из eBay порядка 28 миллионов долларов. Отдельная деталь для ценителей: он использовал обратный геотаргетинг по IP, чтобы не подсовывать куки компьютерам рядом со штаб-квартирой eBay — не спалиться перед сотрудниками. Не помогло. Ловил его тот самый Бен Эдельман, которого eBay попросил "поймать кого сможешь". В 2010-м — обвинение в мошенничестве с использованием электронных средств, в 2012-м — признание вины, в 2014-м — пять месяцев федеральной тюрьмы, штраф 25 тысяч и три года на пробации.
Второй по величине партнер eBay, попавший в ту же сеть, сел на пятнадцать месяцев. Вот вам цена вопроса, когда "микроскопическая правка кода" вскрывается.
Акт второй — PayPal Honey. Декабрь 2024-го, ютубер MegaLag выкатывает 23-минутное расследование, и интернет вздрагивает. Механика — родная сестра нынешней: расширение Honey на этапе чекаута подменяло партнерскую куку криэйтора своей — даже когда никакого купона не находило и не применяло.
Была даже отдельная внутренняя настройка, Selective Stand Down: в индустрии "stand down" — это когда купонное расширение обязано отключиться, если пользователь уже пришел по ссылке блогера. Honey эту вежливость применяла избирательно. Итог: расширение потеряло миллионы пользователей (счет шел от двадцати миллионов вниз), а на PayPal посыпались иски креативщиков, которые свели в консолидированное дело в Северном округе Калифорнии.
Дело живет до сих пор: первую версию иска в ноябре 2025-го отклонили (суд не увидел достаточно конкретного ущерба), но без права на окончательное закрытие — в январе 2026-го истцы подали расширенную 101-страничную версию, а сам PayPal тихо отключил спорный код.
Акт третий — Phia. Июль 2026-го. Все то же самое, только теперь с оценкой в 185 миллионов, фамилией Гейтс на обложке и формулировкой "AI-агент". Спорная сборка, если верить реакции самой Phia, выкатилась еще в декабре 2025-го, а всплыла в июле. Impact.com — крупная платформа, соединяющая бренды с аффилиатами и инфлюенсерами, — отстранила Phia. Официальный ответ компании выдержан в лучших традициях жанра:
"В последние 24 часа мы узнали, что в недавнем релизе наш код вызывал неверную атрибуцию у части пользователей… команда за ночь все выявила, локализовала и с тех пор устранила".
То есть — досадный баг, не схема, чиним на лету. Ровно та же музыка, что играла у Honey. Верить или нет — решайте сами, но напомню: у Honey "баг" жил достаточно долго, чтобы обзавестись отдельной внутренней настройкой.
Кто в итоге платит за этот банкет
Тут важно не купиться на удобную мысль "ну подумаешь, крупные корпорации перекидывают друг другу копейки". Платят не корпорации.
Первыми платят честные паблишеры и криэйторы — те, кто реально пригнал покупателя.
Блогер написал обзор платья, прогрел аудиторию, человек кликнул по его ссылке и пошел покупать — а на чекауте расширение перебило куку, и комиссия ушла мимо. Блогер сделал всю работу и не получил ничего. Для крупного Wirecutter это строчка в отчете, для среднего арбитражника или ниши-креатора — это прямо вынутые из кармана деньги, за которые он лил трафик.
Вторыми, как ни странно, платят бренды — просто не сразу это понимают. Магазин отдает комиссию за клиента, который и так пришел бы и купил. Он платит не за привлечение, а за то, что кто-то ловко встал последним в очереди у кассы. Это чистый налог на воздух: конверсия была бы и без расширения, но по бумагам ее "привел" посредник, и бренд оплатил несуществующую заслугу.
И третьим платит сама модель доверия в перформансе. Каждый такой скандал — это еще один повод для рекламодателя урезать партнерские бюджеты, ужесточить проверку, добавить ручную модерацию и с подозрением смотреть на любой инструмент в конце воронки. Страдают в первую очередь чистые игроки, потому что фрод всегда оплачивают те, кто рядом с ним стоял, но им не занимался.
Почему расширения системно обречены на этот грех
Вопрос на миллион (буквально): почему именно шопинг-расширения раз за разом попадаются на одном и том же? Потому что они по своей природе сидят в самой сладкой точке воронки — на чекауте. Не наверху, где надо тратиться на прогрев и привлечение, а внизу, в двух сантиметрах от кнопки "оплатить". А модель last-click, напомню, награждает того, чья кука легла последней. Расширение физически находится в браузере в момент покупки — ему технически проще всех на свете оказаться этим "последним". Соблазн не просто велик, он встроен в саму позицию.
Добавьте к этому экономику. Бизнес-модель шопинг-расширения — это партнерская комиссия и только она. У Phia нет другого источника выручки, кроме процента с приведенных (или "приведенных") покупок. Когда весь твой P&L зависит от того, скольким чекаутам ты успел подсунуть свою метку, граница между "мы помогаем пользователю экономить" и "мы подписываемся на чужие продажи" становится соблазнительно тонкой. Особенно когда сверху давит Series A, одиннадцатикратный рост выручки и обещание инвесторам, что дальше будет только круче.
Вот почему это не баг конкретной Phia или конкретной Honey. Это структурный конфликт интересов, зашитый в саму конструкцию "расширение-посредник плюс last-click". Пока атрибуция определяется по последней куке, а не по реальному вкладу, у любого, кто стоит у кассы, будет искушение перевести стрелки на себя. Одни удерживаются, другие "случайно выкатывают релиз".
Что с этого нам
Мораль тут не про Гейтсов и не про этичность стартапов из Кремниевой долины. Мораль сугубо прикладная.
Первое. Если вы аффилиат и работаете в нишах, где на пользователе висит зоопарк браузерных расширений (мода, электроника, тревел, любой массовый ecom), то вы уже давно платите этот невидимый налог — часть ваших законных конверсий кто-то тихо перебивает на чекауте. История с Phia хороша тем, что делает невидимое видимым. Смотрите на разрывы между кликами и подтвержденными продажами, сверяйте атрибуцию, задавайте партнерке неудобные вопросы про cookie-window и про то, кто у них выигрывает спорные конверсии.
Второе. Last-click — не закон природы, а договоренность, и она дырявая по конструкции. Умные рекламодатели уже двигаются в сторону data-driven атрибуции, стенд-даун-политик и прямого отслеживания через постбэки и серверную сверку, где куку в браузере не так просто перебить. Чем ближе ваша работа к server-to-server трекингу, тем меньше вас грабят на последнем метре.
Третье и главное. Не ведитесь на обертку. "AI-агент для шопинга" и "слой выравнивания для коммерции" — это красивые слова поверх абсолютно того же водопровода, по которому Шон Хоган гнал чужие куки в начале нулевых. ИИ не изобрел новый способ отъема комиссий, он просто дал старому способу свежий питч-дек и оценку в девять нулей. Под глянцем всегда стоит смотреть на трубы: кто кому и за что платит, и кто в этой схеме делает работу, а кто просто удачно встал у кассы.
Фиби Гейтс хотела построить бизнес "без всякой связи с ее фамилией". В некотором смысле у нее получилось: она переоткрыла фрод, за который сажают людей без всяких громких фамилий. Правда, с одной поправкой — у людей без фамилии за такое обычно не бывает пиар-команды, которая за ночь все "локализует и устранит".