Как я вычислил мошенника по комментариям в соцсетях: реальное расследование OSINT-детектива

День 1. Пятница, 23:48

Я не собирался никого разоблачать. Просто листал Telegram, пока не наткнулся на странный комментарий под постом о биржевых мошенниках: «Инвестирую только с этим человеком — помог выйти на стабильный доход!». Комментарий был банален, но что-то в нём зацепило — возможно, шаблонность. Я нажал на профиль комментатора. Аккаунт был создан неделю назад. Фотография — мужчина в пиджаке, будто вырезанный из фотостока. Постов нет, только лайки и комментарии — всё под постами с финансовыми темами.

Тогда я сказал себе: а что, если попробовать вычислить, кто за этим стоит? Только ради интереса. Так началось моё маленькое OSINT-расследование, которое оказалось куда глубже, чем я ожидал.

День 2. Суббота, 11:17

Я начал с самого простого — скачал аватар пользователя и прогнал его через обратный поиск изображений (Google Images и Yandex). Почти сразу получил результат: та же фотография использовалась на англоязычном сайте по продаже онлайн-консультаций. Имя совпадало частично — там он назывался Эндрю, у нас — Алексей.

Это была типичная уловка: использовать стоковое фото для создания доверия. Переключился на username. В Telegram он значился как @InvestAlexX. Быстро пробил через whatsmyname.app и нашёл пару совпадений: аккаунт на Quora и комментарии на YouTube под похожими видео. Всё с той же риторикой: «Этот трейдер помог мне...», «Рекомендую без сомнений».

Я начал собирать шаблоны текста. В папке появилось 7–8 комментариев, явно принадлежащих одному и тому же автору — или, точнее, одной и той же схеме. Их структура была идентична: сначала эмоция («не верил раньше...», «думал, обман...»), затем утверждение («но всё оказалось честно»), и в финале призыв («пишите ему напрямую», с @ссылкой). Всё это могло быть просто фейковой активностью — но я хотел понять, кто за этим.

День 3. Воскресенье, 16:02

Решил пойти от противного: посмотреть, где ещё комментируют те же аккаунты. Я написал небольшой скрипт на Python, который искал в Telegram Web открытые сообщения от пользователей с @Invest в нике и собирал их контекст. Получилось нечто неожиданное: большинство этих пользователей проявляли активность под постами определённой группы, посвящённой инвестициям в крипту.

Я присмотрелся к группе — открытый Telegram-канал с 35 тысячами подписчиков, много ботов в комментариях. Затем я сделал вторую волну сбора данных — уже по другим аккаунтам, которые писали те же формулировки, но под разными именами.

Тогда я заметил повторяющиеся речевые шаблоны. Стиль сообщений был одинаков: эмоциональная подводка, краткая история, призыв. Подозрительно похожий синтаксис. Включилась стилометрия — я воспользовался open-source инструментом JStylo и загрузил фрагменты текста. Результат: 92% совпадение по авторскому стилю. Фактически — разные аккаунты, один автор.

День 4. Понедельник, 01:03

Я решил попробовать установить связь между аккаунтами. Для этого нужно было найти совпадения по времени, контексту и реакции. Мне повезло: на одном из фейковых аккаунтов забыл выключить геометку в посте. Местоположение — Батуми, Грузия. Это стало зацепкой.

Через Censys и простую команду site:*telegram* AND "Батуми" я нашёл обсуждение на форуме, где один пользователь упоминал, что «Алекс из Батуми» обещал ему удвоить вложения. Далее — отследил e-mail, фигурировавший в жалобе: andrey.invest.ge@mail.com. Почта оказалась засвечена в утечке — в ней упоминался Telegram ID, а также ссылка на сайт «быстрого обогащения». Там же — кнопка на чат-бота.

Я нажал.

День 5. Вторник, 09:21

Чат-бот моментально ответил в стиле классического «психологического трюка»: «Мы помогаем зарабатывать, а не рассказываем сказки. Хотите наконец начать?» — и кнопка [ДА]. Я зашёл в режим «на живца», притворившись доверчивым пользователем. Мы пообщались: мне быстро предложили пополнить кошелёк на $300 в крипте. Попросил ссылку на «трейдера». Получил тот же @InvestAlexX.

Это был полный круг. Аккаунт, начавший с комментария под новостью, вел к целой вязанке схем: фейковые страницы, скриптованные ответы, бот, подключённый к сайту. Всё шло к централизованной воронке мошенничества, где комментарии в соцсетях — только верхушка айсберга.

День 6. Среда, 13:47

Решил проверить, где ещё дублируется структура комментариев. Использовал Google Dorks:

vbnet

КопироватьРедактировать

intext:"я не верил раньше но теперь" site:vk.com

и аналогичные конструкции на форумы и сайты-отзовики. Получил массу совпадений — в том числе на иностранных сайтах, где текст переведён, но структура та же. Я почти не сомневался: за этим стоит фарм-компания аккаунтов, возможно, с управлением через панель. Дальнейшее подтвердилось при анализе временной активности: все аккаунты писали строго в определённые часы. Я выгрузил время публикаций — активность шла по схеме «волнами», как при массовом постинге.

После проведения расследования я сделал следующие выводы:

Итак, какие же советы я могу дать обычным пользователям?

Интернет — поле битвы, где каждый комментарий может быть наживкой. Мошенники не дремлют, а маскируются всё изощрённее. Но у нас тоже есть инструменты — внимание, критическое мышление и немного OSINT. И если использовать их вовремя, можно не только защититься, но и ударить в ответ.