Bellingcat опублікував розслідування щодо “вагнергейту”

Після арешту 33 найманців у Білорусі в липні 2020 року і перших ознак того, що це стало наслідком перерваної української операції з виманювання та затримання бойовиків, Bellingcat  вирішила почати зйомки документального фільму, присвяченого цій історії.

У серпні 2020 року Bellingcat виявив, що кілька високопоставлених співробітників ГУР МОУ (військової розвідки України), включаючи його директора, були відсторонені від роботи лише через кілька днів після арештів (бойовиків з ПВК “Вагнер” – ркд.)у Мінську. Що незвично для Bellingcat, розслідування “Вагнергейт” значною мірою спиралося на джерела, імена яких не вдалося назвати, оскільки вони просили про анонімність для обговорення секретних питань, або, як у випадку з російськими найманцями, які просили не називати їх імена заради їхньої безпеки.

І все ж методи з відкритим вихідним кодом все мали вирішальне значення для критичного аналізу заяв опитаних людей.

Колишні оперативники ГУР МОУ

Bellingcat звернувся до двох з цих оперативників з проханням про інтерв’ю для майбутнього фільму. Офіцери спочатку відмовилися, пославшись на міркування щодо законодавства, національної безпеки та моралі.

Наступні кілька тижнів спостерігався сплеск суспільного інтересу до невдалої операції, який українські ЗМІ охрестили “Вагнергейтом”. Це супроводжувалося кількома суперечливими наративами, деякі з яких виявилися активними заходами з дезінформації – як з російських, так і з українських джерел.

Російські пропагандистські канали зображали операцію як невдалий захід американської розвідки під “фальшивим прапором”, спрямовану на зрив відносин між Білоруссю та Росією. У російському наративі роль України в операції була виставлена другорядною та тривіальною, а сама операція була представлена   як цілковите фіаско.

Українські політичні партії, зі свого боку, використали цю операцію у своїх цілях. Офіс президента та пов’язані з ним депутати заперечували українське походження операції та стверджували, що це була російська провокація. Опозиційні партії та пов’язані з ними ЗМІ безпідставно стверджували, що операцію активно саботували представники найближчого оточення президента.

На початку осені 2020 року відсторонені від виконання обов’язків оперативники зв’язалися з Bellingcat і погодилися обговорити деталі операції. Протягом кількох днів детальних інтерв’ю, які спочатку були лише довідковими через юридичну “делікатність” обговорення секретних операцій, колишні оперативники надали покрокову хронологію підготовчої та активної фаз спецоперації.

Згодом, після витоку аудіозаписів дзвінків про вербування в українські ЗМІ (які були відредаговані, щоб замаскувати голос “Сергія Петровича”), ми звернулися до цих самих офіцерів і запросили оригінальні, невідредаговані копії дзвінків, щоб перевірити їхню достовірність. Аналогічно, ми подали запит на  оригінальні файли даних для документів і фотографій, надісланих найманцями електронною поштою під час подання заяв на роботу — багато з яких також просочилися в українські ЗМІ. Ми отримали великий вибір аудіофайлів і документів, надісланих найманцями.

Через потенційний конфлікт інтересів з боку відсторонених від виконання обов’язків офіцерів надані ними дані потребували критичну оцінку та перевірку.

Перевірка файлів зображень і PDF

Кожна з колекцій файлів найманців складалася з трьох підтек на одну людину: аудіо, документи та (необов’язково) анкети.

Папка Documents містила файли – як правило, скани або фотографії документів, які надсилали кандидати в найманці. Папка “Форми” (бланк) містила заповнену анкету особи на PMC MAR.

Схоже, що усі надіслані документи зберегли свої вихідні метадані, включаючи дату створення та дату зміни, а в деяких випадках – дані геолокації.

Згідно з метаданими, ця фотографія заявки була зроблена за допомогою Redmi Note 4. Силует телефону видно в тіні на аркуші, він має ідентичні розміри та вигини нахилу з Redmi Note 4 (праворуч). Назва файлу відповідає фотографії, зробленій 3 червня 2020 року, а метадані свідчать про ту саму дату. Ця ж дата також записана на сторінці підпису заяви. Геолокаційні дані показують “Макіївку”, місто за 10 кілометрів від Донецька на сході України, де було зроблено фото. Адреса, зазначена у його заяві, знаходиться в Донецьку, а з розмови “Шамана” з “Сергієм Петровичем” стає зрозуміло, що найманець мешкає у Макіївці. Ці дані представляють рідкісний випадок цілісної, взаємно підтвердженої перевірки достовірності даних про цього найманця.

Хоча не всі файли найманців містили достатню кількість даних для такої всебічної перевірки, у файлах, перевірених Bellingcat, не було випадків суперечливої або явно неавтентичної інформації. Це стосується й документів з більш актуальними анкетами, які, найімовірніше, можуть будуть підробними.

Перевірка аудіофайлів (дзвінків).

Отриманий нами архів містить 236 аудіофайлів, що стосуються 72 різних найманців. Ця вибірка охопила приблизно 40% усіх, хто надіслав свої анкети фальшивому військовому підряднику — і всіх заарештованих у Мінську білоруськими спецслужбами. Аудіофайли були у форматі ogg (контейнер), а деякі — у форматі mp3. Файли ogg були фактично закодованими opus аудіофайлами у форматі, який зазвичай записується програмою WhatsApp, і в контейнері ogg, що призводить до завантаження через WhatsApp Web .

Аудіофайли ogg мали обмежені метадані, але те, що вони містили, підтверджує, що вони були створені WhatsApp. Звукові характеристики записаного аудіо свідчать про те, що “Сергій Петрович” був записаний з у повній звуковій пропускній здатності голосу безпосередньо мікрофоном біля нього, тоді як його співрозмовника чутно через обмежену смугу пропуску телефонної лінії, а потім ретранслюється через гучний зв’язок. Таким чином, аудіо було записане не на телефон, з якого відбувалися дзвінки, а на інший пристрій у тій самій кімнаті, що й “Сергій Петрович” — можливо, через додаток голосових нотаток на іншому телефоні або навіть безпосередньо як голосові нотатки WhatsApp на телефоні. Кодування у формат WhatsApp не було зроблено того ж дня, коли були здійснені дзвінки; насправді багато дзвінків мають дату зміни 1 червня 2020 року.

Метадані з файлу ogg

Через те, що аудіофайли були перекодовані, неможливо встановити справжній час запису. Проте немає жодних доказів редагування, обрізки чи склеювання звуку в аудіозаписах, а послідовність викликів відповідає логічній схемі. Наприклад, у випадку дзвінків “Шаману”, кожен наступний (пронумерований) дзвінок логічно випливає з попереднього.

Щоб додатково підтвердити справжність дзвінків, Bellingcat також зателефонувала на кілька телефонних номерів найманців, чиї голоси були доступні з дзвінків. Номери були ідентифіковані за допомогою сервісів, які розкривають власників телефонів із відкритих вихідних даних, починаючи від сервісів агрегації, таких як GlazBoga , до програм для збірки контактів, таких як NumBuster і GetContact , а також служб месенджерів, таких як Telegram . Ця ж техніка використання кількох незалежних баз даних із відкритим кодом з завантажуваним користувачами контентом, була використана для ідентифікації багатьох співробітників ФСБ, причетних до отруєння Олексія Навального у 2020 році.

Один із колишніх найманців, якому ми зателефонували — який був серед затриманих у Мінську — погодився поговорити з нами і поділитися своєю історією, за умови, щоб ми не називали його імені. Це дозволило нам порівняти його голос з голосом аудіодзвінків у папці з його іменем. Голос та інтонаційні характеристики були ідентичними. Вичерпне та більш технічно спеціалізоване порівняння голосів було визнано непотрібним, оскільки чоловік також підтвердив, що мав три телефонні розмови з особою, яку він вважав “Сергієм Петровичем”.

Підтвердження історії

Значна частина версії подій, яка була представлена оперативниками, підтвердилася шляхом перевірених телефонних дзвінків та документів. Іншу частину можна було б перевірити за допомогою об’єктивних відкритих вихідних даних.

Наприклад, їхня розповідь про перебронювання квитків на літак найманців — спочатку на 25 липня, а потім на 30 липня 2020 року — може бути підтверджена системою керування онлайн-бронюванням Turkish Airlines. Електронні квитки, які нам надали оперативники, містили коди бронювання, які отримує будь-який клієнт при бронюванні. Це дозволило провести просту перевірку в онлайновій базі даних Turkish Airlines — і в кожному випадку вони виявили повне ім’я особи. Крім того, це підтвердило дату бронювання (15 липня 2020 року у випадку з ранніми квитками та 24 липня у випадку переброньованих квитків на 30 липня), тим самим підтвердивши ще одну точку даних у графіку, запропонованому оперативниками.

Знімок з екрану з інформацією про рейс, який порівняно з інформацією, знайденою в інструменті онлайн-бронювання Turkish Airlines.

Інші частини розповіді оперативників можуть бути порівняно з розповідями опитаних найманців. Незалежно один від одного вони описали той самий перебіг подій, починаючи від дзвінків на вербування, смерті “Сергія Петровича”, зміни напрямків із Сирії та Лівану на Венесуелу, обставин поїздки до Мінська, включно з перетином кордону , перебронювання рейсів і остаточне затримання у Мінську.

Єдині частини розповіді оперативників, які не вдалося підтвердити за допомоги незалежної перевірки, стосувалися описаних ними зустрічей, які нібито відбулися з представниками Офіса президента щодо рішення про відкладення операції. Ми також не отримали відмову чи підтвердження про такі контакти з Офісу президента України, незважаючи на численні запити та прохання про коментар.

Опитані найманці

Bellingcat зв’язався з одним із чоловіків, затриманих у Мінську, який охоче дав інтерв’ю для цього розслідування. Він погодився на анонімне відеоінтерв’ю в Москві, а також на більше 10 наступних телефонних інтерв’ю, які були необхідні для повного уточнення наданих деталей. Він також поділився документами, зокрема електронними квитками та стягненнями від білоруської поліції та прокуратури.

Ця особа познайомила нас з іншою особою з групи найманців. Однак ця особа була менш відвертою і зробила значно менший внесок у загальне розслідування, давши лише одне інтерв’ю, яке здебільшого було зосереджено на історії військових операцій “вагнерівців”. Третій учасник, якого перший контакт привів на відеоінтерв’ю, завмер перед камерою і не зміг надати будь-яку інформацію.

Мотивація бойовика розмовляти з Bellingcat не зовсім зрозуміла. Частково це можна пояснити його бажанням з’ясувати деякі помилки в попередніх розслідуваннях на цю тему (тобто не всі полонені найманці служили у ПВК “Вагнер”, не всі брали участь у боях на Донбасі). Він також розповів, що розчарувався у ПВК “Вагнер” й хотів поділитися своїм досвідом. Не можна скидати з рахунків, що його мотивація могла бути узгоджена з пропагандистськими інтересами Росії. До середини серпня 2020 року російська влада відкрито пропагувала вервсію про те, що найманці стали жертвами іноземної спецоперації, а російські державні ЗМІ брали інтерв’ю з деякими із затриманих найманців. Схоже, Кремль визнає провал російської контррозвідки, але мінімізує цінність розвідувальних даних, переданих українським спецслужбам, і приписує операцію американській розвідці.

Ці можливі приховані мотиви були враховані при перевірці доказів, отриманих від опитаного найманця. Опис хронології подій і документів, які він надав, збігаються з тими, які були отримані зі свідчень та телефонних дзвінків українських оперативників. Крім того, надані електронні квитки були перевірені за допомогою інструмента керування бронюванням Turkish Airlines. Документи з білоруської поліції можна було підтвердити через групу активістів Cyber Partisans, яка отримала доступ до баз даних білоруських правоохоронців та змогла самостійно отримати текст звинувачення з ідентичним формулюванням.

Витяг з бази даних білоруської поліції, люб’язно наданий білоруськими “кіберпартизанами”

Проте свідчення цього джерела (бойовика ПВК “Вагнер” – ред.) виявилися сумнівними з точки зору його оцінки цінності розвідувальних даних, переданих Україні як ним, так і іншими найманцями, а також оцінці професіоналізму українських спецслужб. Він описав лише один телефонний дзвінок із “Сергієм Петровичем”, який не містив конфіденційних даних про його попередню військову службу. Однак чотири телефонні дзвінки, отримані Bellingcat, містять суттєву інформацію, зокрема, про кураторську роль ФСБ під час перебування бойовика на сході України в 2014 році.

Він (бойовик – ред.) також знецінює досягнення українських спецслужб у виманюванні найманців з Росії, пояснюючи це збігом обставин: одночасно у Венесуелі відбувався інший, справжній процес набору співробітників служби безпеки для “Роснефти”. Російські служби безпеки помилково припустили, що українська операція була частиною цього законного процесу вербування, тому, за його словами, успіх України був просто щасливим збігом обставин.

Джерело (бойовик- ред.) також стверджує, що майже ніхто з найманців не мав реального бойового досвіду і не вчинив злочинів на Донбасі, а також багато з них завищили свої військові досягнення, щоб підвищити шанси отримати роботу. Однак цьому суперечать як дані, надані заявниками (включаючи рекомендаційні листи їхнього начальства та медалі), так і незалежно отримані дані про їхню роль у Східній Україні.

Незважаючи на це, внески джерела виявилися цінними, оскільки вони забезпечили документальне підтвердження розповіді українських оперативників. Це також пролило світло на раніше невідомий факт, що російські спецслужби тримали найманців протягом двох тижнів після їхнього повернення з Білорусі та допитували їх, щоб спробувати з’ясувати передісторію української спецоперації.

Джерела розвідки, які надають дані парламентській комісії ВРУ

За два тижні до оприлюднення проміжної доповіді спеціальної слідчої комісії Верховної Ради України, яка частково розглядала українську спецоперацію, Bellingcat попросили перевірити деякі розсекречені розвідувальні дані, надані комісії українського парламенту. Ці два масиви даних являли собою передбачуваний доказ того, що російські та/або білоруські спецслужби знали про українську спецоперацію або навіть брали у ній участь.

Перший масив даних

У першому з цих випадків розсекречені дані свідчать про те, що кілька найманців (які в кінцевому підсумку не були частиною першої групи) зв’язалися з Федеральною службою безпеки Росії (ФСБ) у травні 2020 року, а згодом і з російською військовою розвідкою (ГРУ), розкривши деталі про вербування на роботу та висловили сумніви щодо її законності.

Це твердження не можна було ані перевірити, ані спростувати, оскільки воно базувалося переважно на секретних розвідувальних даних, до яких немає доступу. Однак розповідь про те, що один або кілька новобранців звернулися до спецслужб, узгоджується з версією подій, описаною колишніми оперативниками, які описали випадок, коли один невдоволений новобранець погрожував поскаржитися у ФСБ. Згідно з розповіддю оперативників, це не призвело до активного втручання російських спецслужб, частково завдяки (колишньому) агенту ГРУ, який був скомпрометований Україною і тому лише працював на успіх спецоперації.

Деякі інші кандидати вибули з процесу вербування, попри те, що їх було затверджено. Це Дмитро Григорян та Ігор Тараканов, які вже мали вилітати у складі першої групи. Цілком можливо, що вони вибули, оскільки мали підозри щодо законності чи безпеки вербування.

Опитаний найманець також сказав, що зв’язався – як і інші потенційні кандидати на роботу  – ззі своїм “керівником” у ФСБ, щоб запитати про законність вербування, і йому сказали, що все законно. На його думку, це стало результатом дуже схожого проєкту вербування “Роснефти” у Венесуелі, що призвело до плутанини серед контррозвідувальних кіл ФСБ.

Bellingcat не виявила жодних доказів активних заходів російських спецслужб з протидії українській спецоперації. Цього також немає у розсекреченій частині розвідувальних даних, переданих відповідній Комісії Верховної Ради України .

Другий масив даних

Друга інформація стосувалась можливого проникнення в спецоперацію білоруських спецслужб. Розсекречені докази щодо цього містили інформацію про ймовірну справжню особу найманця з білоруським паспортом, він нібито був агентом, який під прикриттям працював на білоруські спецслужби.

Bellingcat, використовуючи дані, надані білоруськими “кіберпартизанами”, визнав це твердження неправдивим і проінформував Спеціальну тимчасову комісію Ради, яка врахувала це у своєму звіті.

Інша непідтверджена інформація

Під час свого розслідування Bellingcat проаналізував документи, які просочилися в українські та російські ЗМІ, які здебільшого були підтверджені як справжні.

Проте були також нібито витоки документів, які потрапили до Bellingcat різними каналами, які були доведені як неавтентичні.

В одному випадку предмет і дані свідчать про те, що неавтентичний документ міг бути отриманий з української розвідки, оскільки він частково збігався з одним із пунктів даних, наданих Спеціальній комісії Верховної Ради українською розвідувальною спільнотою (альтернативним поясненням може бути, що те саме недостовірне джерело надало дані українській розвідувальній спільноті)

Цей анонімний витік містив нібито докази того, що білоруський учасник угруповання найманців Андрій Бакунович насправді був іншою особою та надав ім’я цієї особи (Bellingcat не розкриває це інше ім’я, оскільки воно належить справжній непов’язаній зі справою особі). Згідно з цією гіпотезою Бакунович був фальшивою особистістю.

Крім того, джерело передало фотографію цієї імовірної особи.

Цей “витік” було визнано фейком на основі даних, отриманих від хакерської групи Cyber Partisans. Повна перевірка всіх білоруських осіб на ім’я Вадим С. виявила, що особа, зазначена у звіті розвідки, існує, але є іншою особою.

Крім того, за даними Cyber Partisans, ідентифікаційного номеру паспорту не тільки немає у централізованій базі даних громадян, але й не відповідає правилам створення ідентифікаційних номерів у Білорусі .

Нарешті, фотографія у “паспорті” збігається з фотографією іншого відомого найманця, Павла Самаріна . Незрозуміло, яка мотивація була для цього неправдивого витоку інформації, як і чому вона могла потрапити до української військової розвідки.

Так, президент Володимир Зеленський визнав факт проведення спецоперації по захопленню російських найманців з ПВК “Вагнера”, однак назвав її “ідеєю інших країн”.

Відомо, що в Зеленського просили британську розвідку МІ-6 зупинити вихід фільму про “вагнерівців”.

Водночас секретар Ради національної безпеки Олексій Данілов заявив, що жодного документа про зірвану спецоперацію щодо “вагнерівців” в РНБО немає.

Однак журналіст Юрій Бутусов зазначив, що в Офісі президента починають розуміти масштаби наслідків від провалу спецоперації щодо “вагнерівців”

Раніше Юрія Бутусова та Яніну Соколову викликали на допит до ДБР через справу “вагнерівців”.

Також Володимир Ар’єв повідомив, що “Європейська Солідарність” має неспростовні докази, що Офіс президента зірвав спецоперацію щодо “вагнерівців”. У зв’язку з цим фракція вимагає створити Тимчасову слідчу комісію.

Крім того, головний редактор сайту “Цензор.НЕТ” Юрій Бутусов заявив, що затримання “вагнерівців” мало бути українською операцією, яка зірвалась після доповіді в Офісі президента Володимира Зеленського.

Як відомо, 14 вересня скасували засідання ТСК “слуг” з розслідування справи “вагнерівців”. За десять хвилин до прибуття одного з головних свідків — ексголови ГУР Міноборони Василя Бурби — зник кворум.

До слова, народних депутатів від фракцій “Європейська Солідарність” і “Голос” не допустили на засідання Тимчасової слідчої комісії “слуг” щодо справи “вагнерівців”, попри те, що вони мають повний доступ до закритої інформації та право бути присутніми під час засідань.

Водночас в Офісі президента Володимира Зеленського вважають, що свідчення джерел, на яких будується матеріал CNN про операцію з “вагнерівцями”, ненадійні, а самі дані нічим не відрізняються від тих, що були викладені у “Комсомольській правді” 2020 року.

Також слідкуйте за “Прямим” у Facebook, Twitter, Telegram та Instagram.