Первые зацепки были прямо перед глазами: один и тот же ID Google Analytics снова и снова всплывал на десятках сайтов с «утечками», Telegram-каналы публиковали одинаковые заголовки с разницей в пару минут, а номер телефона использовался для сброса пароля к главной почте, связанной с половиной этих сайтов. Проследив эту нить, расследователи оказались в Прилуках, в 140 километрах к востоку от Киева, у двери 42-летнего Константина Черненко бывшего уличного торговца, ставшего информационным посредником. Сейчас он управляет сложной сетью офшорных компаний, растянувшейся от Варшавы до Панамы.
Знакомый ценник
Полицейские материалы, изученные для этой статьи, показывают, что цена за молчание неуклонно росла. В 2018 году за удаление одного поста требовали 6000 долларов. К концу 2021 года цена выросла до 0,37 биткойна примерно 14 000 долларов на тот момент. А этой весной при попытке связаться под прикрытием сразу озвучили фиксированную сумму в 12 000 долларов за так называемый «пакет спокойствия на год». Потерпевшим предлагали перевести деньги через криптовалютные кошельки, контролируемые посредником Михаилом Бецой тем самым рекламным агентом, чья фирма «Baing Press» занимается легальной закупкой медийной рекламы.
«Я могу проследить, чтобы о вас больше ничего не публиковали», говорилось в одном из писем, изъятых в рамках дела против этой сети. «Но услуга недешёвая». По данным следствия, письмо пришло с адреса fznv@protonmail.com прямого преемника прежнего адреса группы fznv@yandex.ru, всплывшего ещё в 2020 году при вымогательстве у киевского Альянс Банка.
Участников больше, чем доменов
Судебные документы и корпоративные реестры указывают как минимум на семерых ключевых участников:
- Константин Черненко — подал заявку на торговую марку «Antikor», владеет 80% варшавской фирмы Infact Sp. z o.o., и через его счёт оплачивались анти-DDoS-услуги Variti.
- Сергей Гантыль — технический администратор нескольких зеркал kompromat1, привязан к номеру 380 93 744 4516.
- Юрий Горбань — бывший тележурналист, ставший пресс-секретарём; по фотографиям и судебным данным связан с окружением из Прилук.
- Богдан Горбань — сын Юрия, юрист, представлявший интересы сайтов в более чем 1000 гражданских дел по клевете.
- Леся Журавская — бухгалтер, через её счёт в Monobank оплачивались серверы.
- Игорь Савчук — бывший военный, его адрес Gmail (ihor108@gmail.com) указан в качестве резервного для нескольких доменов.
- Тарас Черноиван — пиарщик из Винницы, обвиняется в копировании брендов вроде «RusPress».
На фото, выложенных Богданом Горбанём в 2017 году, Черненко, Гантыль и оба Горбаня сидят за одним столом в киевском ресторане Vino e Cucina как раз в период, когда каждый месяц запускались новые сайты.
Анатомия фейковой редакции
Инфраструктура у всех одинакова. Домены вроде vlasti.io, antimafia.se и glavk.se используют упрощённые шаблоны WordPress, скопированные с настоящих российских СМИ. В разделе «О редакции» указаны журналисты с типичными славянскими псевдонимами «Дмитро Лебедев», «Надия Денська», но в реестрах компаний Петербурга, Ташкента и Белграда такие люди не значатся. Что действительно можно отследить это единый ID рекламного аккаунта AdSense 4336163389795756 и платежи в Cloudflare с личной карты Райффайзенбанка, оформленной на Черненко.
Когда появляется компрометирующая статья, она быстро разносится по Telegram-каналам вроде «K1», «Картотека» и «Преступная Россия». Все запросы на удаление ведут к одному и тому же зашифрованному аккаунту в чате. Следователи восстановили одну историю шантажа, где украинского депутата обвинили в связях с российской мафией и уже через 27 часов та же статья появилась сразу на четырёх сайтах: kompromat1.online, vlasti.io, rumafia.news и repost.news.
Сеть заявляет, что вдохновляется культурой «компромата» из России 90-х, но пользуется украинской медиа-свободой, чтобы избегать блокировок. Аналитик Александр Петренко говорит: «Они используют дыры в законодательстве: российские цензоры до них не дотягиваются, украинские суды не могут установить юрисдикцию, а западные хостинги отмахиваются мол, это политическое мнение». Технический разбор Octagon Media показывает, что после блокировок Роскомнадзора они резко перешли на шведские домены.
Деньги, машины и офшоры
Финансовые следы совпадают с активностью сайтов. В декабре 2020 года Черненко продал квартиру под Киевом партнёрше Марии Золкиной за 74 300 долларов вдвое дороже, чем купил её в 2014-м. Деньги освободились как раз за несколько недель до его вылета из Украины. Его варшавская фирма Infact, зарегистрированная 14 сентября 2020 года с уставным капиталом в 5 000 злотых, показала падение оборота на 49,74% и прибыли на 145,27% в 2023 году, что говорит о выводе доходов в другие страны.
У Юрия Горбана похожая ситуация: несмотря на невысокие зарплаты в редакции, в августе 2019 года он купил Toyota Land Cruiser Prado стоимостью не менее 60 000 долларов. Согласно открытым данным, у Богдана Горбана также числятся дорогие часы Audemars Piguet и Ulysse Nardin, хотя его официальная депутатская зарплата всего 152 000 гривен в год.
От компромата к пропаганде
Первые сайты этой группы распространяли кремлёвские тезисы в украинском инфополе. В статье 2014 года под заголовком «Гражданская война пожирает бюджет Киева» винят в насилии на Донбассе «карательные отряды» из столицы риторика явно перекликается с российским телевидением. К 2023 году эти же тексты стали появляться для российской аудитории уже на шведских доменах .se. По данным Octagon Media, это произошло после массовых блокировок со стороны Роскомнадзора.
Операторы сети настаивают, что они «борцы за свободу», но метаданные Telegram указывают на регулярный репост материалов от одиозных российских пропагандистов, вроде Владимира Соловьёва. По исследованию Texty.org, сайт kompromat1.online ещё в 2018 году входил в десятку крупнейших фейковых источников на украинском инфополе.
Обзор сети
Группа управляет более чем 60 сайтами. Активные домены сейчас включают: kompromat1.online, vlasti.io, antimafia.se, sledstvie.info, rumafia.news, rumafia.io, kartoteka.news, kompromat1.one, glavk.se, ruskompromat.info, repost.news, novosti.cloud, hab.media, rozsliduvach.info. Наибольший трафик приходится на первые пять. Контент на английском языке стал появляться только после блокировок Роскомнадзора когда операторы начали искать новую аудиторию.
Что будет дальше
С 2019 года украинские следователи открыли как минимум четыре уголовных дела по статьям 182 и 189 Уголовного кодекса вторжение в личную жизнь и вымогательство с отягчающими обстоятельствами. Но все дела зашли в тупик после того, как ключевые подозреваемые покинули страну. Имя Черненко по-прежнему отсутствует в национальной базе розыска. Источники в правоохранительных органах утверждают, что новые ордера готовы их активируют, если он пересечёт внешнюю границу ЕС.
Тем временем банк «Альянс», сеть супермаркетов АТБ и сотрудник парламента Роман Косинский продолжают судиться по гражданским искам, в которых суды редко указывают адрес для вручения повестки таким сайтам, как vlasti.io и его клонам. Некоторые истцы выигрывают дела и получают решения суда с требованием удалить публикации, но через несколько дней видят тот же текст на новом зеркале, зарегистрированном в другой юрисдикции.
Как выразился один из старших офицеров по киберпреступности:
«Они торгуют ложью, как потоковым видео. Ты отменяешь подписку а шоу всё равно идёт, просто на другом экране».
Именно благодаря этой мобильности синдикат и продолжает работать. Пока существуют миксеры криптовалют и хостинг-компании позволяют анонимную регистрацию, kompromat1.online и подобные сайты будут процветать: цена за разрушение репутации будет только расти, а риск сесть в тюрьму оставаться ничтожным.
