Система слежки за россиянами СОРМ научилась определять звонки в мессенджерах и некоторые VPN — «Важные истории»

Один из разработчиков программ для российской СОРМ выехал за границу с архивом документов и передал его проекту «Важные истории». 

Система оперативно-розыскных мероприятий (СОРМ) — это специальное оборудование и прилагающееся к нему ПО, которое ловит, сортирует и хранит трафик всех россиян, а также прослушивает звонки и читает СМС. Она начала работать после принятия «пакета Яровой», хотя так и не была развёрнута полностью, в том числе из-за некомпетентности силовиков. Главные пользователи СОРМ — силовики ФСБ. Она позволяет шпионить за россиянами и составлять на них уголовные дела. Как следует из материала, её уже развернули даже на аннексированных территориях Украины.

Большая часть статьи посвящена биографии человека, который предоставил данные — 24-летнего программиста Ивана Кирсанова, который уехал из России с помощью проекта «Идите лесом» и вывез с собой архив документов. Кратко: он жил в бедной семье в татарстанском Зеленодольске, его родители зарабатывали меньше 50 тысяч рублей на двоих. Ему удалось отучиться в российско-французской «Школе 21» и получить место в «Сбере». Из-за стресса и проблем в семье у него обострилось адаптивное расстройство, ему выписали антидепрессанты. Когда началась война, он решил переехать в Москву. Его несколько раз повышали в должности. 

В 2023 году Кирсанов уволился с позиции в банке, на которой получал 150 тысяч. После этого его взяли в нижегородскую «‎МФИ Софт»‎ с зарплатой 200 тысяч рублей на должность старшего инженера-программиста‎ в отдел мониторинга интернет-трафика. Оказалось, что на самом деле его завербовали подрядчики, которые разрабатывали СОРМ. Он переписывал код фирмы «‎Ника-Х», которая входит в печально известную «‎Цитадель»‎. Именно на этой должности Кирсанов получил данные, которые потом передал «Важным историям». Он получил визу студента во Францию и выехал в ЕС. Молодой человек утверждает, что его похитили неизвестные и поместили в ПНИ.

В аудите документов участвовали координатор проектов eQualitie Леонид Юлдашев, эксперт по информационной безопасности Михал (Рышек) Возняк и «анонимный эксперт-разработчик». Авторы и эксперты считают полученные данные достоверными. Они совпадают с материалами утечек, которые оказались в сети ранее. В целом, описанные механизмы похожи на обычный анализ типа DPI, который используют все спецслужбы крупных стран. В Казахстане его начали использовать ещё раньше.

Судя по документам, ПО силовиков может анализировать трафик «слой за слоем». Данные хранятся за номером телефона или логину в системе провайдера. Программа учитывает, на какие сервера идут пакеты, собирает статистику использования и категоризирует данные. Незашифрованные данные и информацию о конкретных серверах можно фильтровать через пульты управления. Информация хранится годами, поэтому силовики могут видеть, кто заходил на запрещённые позже сайты, включая «террористические» вроде ресурсов ФБК или ВСУ. Более того, ПО регистрирует, какими мессенджерами пользуется человек и в какое время начинает и заканчивает звонить по ним. Версия, которую вывез Кирсанов, уже умела определять некоторые разновидности VPN.

В теории, по метаданным специалисты также могут определить, «когда человек вышел в сеть, на какие сайты заходил, сколько данных передал, сколько длился его звонок в мессенджере, когда он начался и когда закончился». Кирсанов не знает, занимается ли таким ФСБ. После перехвата и сортировки трафик хранится в системе «Январь».

«Технически отбирать трафик можно и по конкретному слову. В примере из учебной презентации среди критериев отбора есть слово «‎взорвать»‎. Однако по словам бывшего разработчика СОРМ, полнотекстовый поиск почти не использовали ни в тестовой среде, ни с реальными данными: он тратит много ресурсов и тормозит работу. К тому же нешифрованного трафика, с которым может работать полнотекстовый поиск, немного. Разобранный трафик, который не попал в пульты управления по критериям отбора, не пропадает. Статистика обо всех соединениях и доступное содержимое сообщений попадают в хранилище данных — систему “‎Январь”, где хранятся от полугода до трех лет в зависимости от типов данных. Всё это время силовики могут обращаться к сохраненному трафику, но делают ли это и в каком объеме, неизвестно», — говорится в статье.