Деанон без контента: как метаданные Telegram, штрафы ГИБДД и перелёты складываются в один профиль

Одно сообщение в Telegram не даёт почти ничего.


Десять сообщений — тоже.


Даже сотня сообщений — это всего лишь зафиксированные моменты активности: пользователь был онлайн, написал что-то в публичном чате и исчез.
Но что, если таких сообщений тысячи?


Что, если они распределены во времени не хаотично, а с повторяющимися интервалами, провалами и всплесками? 
Что, если эти точки на таймлайне начать сопоставлять с другими, внешними источниками данных?
В этой статье я показываю, как даже при строгом соблюдении OPSEC и полном отсутствии личной информации в публичных сообщениях, человек оставляет устойчивый поведенческий след, который можно зафиксировать, визуализировать и проанализировать.

Речь пойдёт не о «сливе», не о взломе и не о содержании переписок.


Только метаданные. Только корреляция. Только паттерны.

 

Постановка задачи
В центре анализа — Telegram-аккаунт NET-WORKER @net_worker_suppport и конкретный человек — Курашов Алексей Михайлович 23.02.1986.
Задача предельно проста и одновременно сложна:
* проявляет ли активность с аккаунта NET-WORKER один и тот же человек;
* можно ли связать эту активность с Курашовым;
* с какой степенью точности это возможно сделать, не прибегая к контенту сообщений;
* существуют ли аномалии, и как их интерпретировать;
* позволяет ли совокупность данных сделать обоснованный вывод о деаноне.

Я намеренно избегаю категоричных формулировок. Речь идёт не о «доказательстве в суде», а об оценке вероятности и устойчивости совпадений.

 

 

Источники данных
Для анализа были использованы исключительно доступные метаданные из нескольких независимых источников:
1. Telegram-активность
    * более 10 000 сообщений аккаунта NET-WORKER @net_worker_suppport ID 6162917461;
    * источники: телеграм-боты FanStat Bot @ShamiGems_bot и imsg Bot @imsg_bot;
    * обязательная синхронизация часовых поясов с UTC+3 (MSK) (в этих сервисах они различаются).
2. История штрафов из ГИБДД
    * автомобиль Lamborghini Urus, госномер в888тк53 СТС 9941614859;
    * автомобиль Tesla Cybertruck, госномер а469мр77 СТС 9963939949;
    * данные могут быть получены через сайты Автокод, Дром, Авинфо и другие - ссылки https://vin.drom.ru/report/b888tk53/  и https://vin.drom.ru/report/a469mp77/ 
    * за период 2023–2025 годов — 542 штрафа по Urus и 241 штраф по Tesla (без дубликатов);
    * все штрафы оплачены.
    * дополнительно - данные по штрафам ГИБДД (в том числе архивные) можно получить с источника https://probiv.space
3. Фотографии и парковочные данные
    * оба автомобиля регулярно фиксируются на парковочных местах;
    * парковочные места №3027, 3027, 3028 находится в собственности Алексея Курашова (см. досье);
    * оба автомобиля неоднократно зафиксированы там в разные месяцы 2024 и 2025 годов.
    * фотографии данных автомобилей с парковочными местами взяты с сайта Номерограм.
4. Авиаперелёты
    * данные получены через систему «Магистраль» (источник https://probiv.space )
    * использовано четыре независимых отчёта от разных исполнителей;
    * период: 2023 — декабрь 2024.
6. Прилагаемые документы
    * файл “NET-WORKER 6162917461 Timeline.ods” СКАЧАТЬ в котором все сообщения, штрафы и перелеты объеденены в единую таблицу. Перелеты и штрафы выделены цветом для быстрого поиска.

 

 

Методология
Ключевой принцип анализа — отказ от деталей, которые отвлекают от паттернов.
На первом этапе:
* не анализируется текст сообщений;
* не учитывается, за какое именно нарушение выписан штраф;
* не важна география перелёта.
Каждое событие — это всего лишь точка на временной шкале:
* сообщение в чате;
* фиксация нарушения камерой;
* вылет или прилёт.
По отдельности такие точки ничего не значат.


Ценность появляется только тогда, когда тысячи точек из разных источников размещаются параллельно на одном таймлайне.

 

Первичные наблюдения
При анализе таймлайна сразу бросаются в глаза некоторые паттерны. Для детализации смотрите параллельно таблицу сообщений , где я разметил и выделил цветами авиаперелеты и штрафы для удобства.

 

 

Отсутствие наложений: штрафы и сообщения не пересекаются по времени
При наложении двух независимых потоков данных — сообщений в Telegram и фиксаций штрафов ГИБДД — бросается в глаза абсолютное отсутствие временных пересечений.
Из всех 750+ штрафов только один случай показал минимальное наложение (разница в десятки секунд, эпизод от 07.08.2025, описанный ниже). Во всех остальных случаях между ближайшим сообщением NET-WORKER и моментом фиксации штрафа проходит не менее нескольких минут, чаще — 10–15 минут и больше.
Это не случайный шум. Это систематическая картина на протяжении почти трёх лет.
Почему это важно:
* Штрафы ГИБДД (в основном за превышение скорости) фиксируются в момент, когда водитель активно управляет автомобилем на дороге (либо нарушил правила парковки - но это очень редкие штрафы).
* Активное общение в Telegram-чате (NET-WORKER пишет часто, бывает по нескольку сообщений подряд) это требует внимания: читать, набирать текст, отправлять.
* Человек способен иногда бросить короткое сообщение или однословный ответ за рулём, но поддерживать регулярный чат — крайне рискованно и нетипично, особенно на высоких скоростях.
Если бы за аккаунтом NET-WORKER и за рулём автомобилей находились разные люди, мы ожидали бы увидеть хотя бы десяток-другой эпизодов, когда человек пишет в чат, а в это же время один из автомобилей Курашова получает штраф. Но таких эпизодов практически нет.
Это создаёт очень сильный маркер: активности «чат» и «вождение» у одного и того же профиля строго разделены во времени. Один человек не делает оба дела одновременно.

 

Единственная заметная аномалия (исключение)
Есть ровно один эпизод, где разница минимальна:
07.08.2025, дневное время:
* 13:06:40 — сообщение
* 13:07:00 — штраф за превышение 
* 13:07:50 — сообщение
* 13:08:00 — ещё один штраф за превышение
* 13:08:32 — сообщение
Разница между штрафами и сообщениями — 10–50 секунд. Сообщения короткие, теоретически их можно набрать одной рукой на светофоре или в пробке, но в контексте двух штрафов за превышение подряд это выглядит маловероятно. Более правдоподобные объяснения:
* в этот момент за рулём был не владелец аккаунта (кто-то другой управлял Tesla);
* или сообщения отправлял не водитель (маловероятно).
Это единственный такой случай за весь период. Он не разрушает паттерн, а подчёркивает его силу: даже в поиске противоречий найдено лишь одно слабое исключение.

Использование автомобилей как поведенческий маркер
На таймлайне чётко видны две линии — штрафы по двум автомобилям Курашова.
Наблюдение простое, но показательное:
* в подавляющем большинстве случаев штрафы фиксируются либо на одном автомобиле, либо на другом;
* в один и тот же день почти никогда не бывает штрафов сразу на обоих;

* почти никогда автомобиль не используется в утреннее время и до обеда (12:00) - исключение было пару раз.
* заметно, когда автомобили используются поочерёдно, день за днём (визуально в виде змейки из точкек на графике).
Исключения:
* первый день после покупки Tesla;
* несколько эпизодов, начиная с июля 2025 года.
На протяжении почти двух лет это формирует устойчивый вывод:
оба автомобиля используются одним и тем же человеком, регулярно, но непредсказуемо. Это не «разовые поездки», а часть повседневного графика.

 

Перелёты и провалы активности
Дополнительный слой — авиаперелёты.
На таймлайне заметно:
* в периоды перелётов активность в Telegram-чатах резко исчезает;
* после возвращения активность восстанавливается;
* эти «провалы» совпадают по времени с перелётами.

ОБНОВЛЕНИЕ К ТАБЛИЦЕ: важная поправка, рейс сочи-москва от 07.10.24 - оказывается был отменен, был возврат билета. 
07.10.24 20:10    АДЛЕР - СОЧИ  ШЕРЕМЕТЬЕВО (МОСКВА) ВОЗВРАТ

Я выяснил, что Курашов летел сначала из Сочи в Санкт-Петербург, и затем из СПБ в Москву - одним днем. Время сместилось на 1ч. 50мин.. То есть, было 2 рейса в этот день, а не один. Он летел через Питер.
07.10.24 16:40  07.10.24 20:55  СОЧИ ()  ПУЛКОВО ()  07.10.24 16:12  ПОСАДКА

07.10.24 22:00  07.10.24 23:30  ПУЛКОВО ()  ШЕРЕМЕТЬЕВ ()  07.10.24 21:30  ПОСАДКА

 

 

Другие важные закономерности:
* в периоды когда Курашов улетает из Москвы - штрафы ГИБДД полностью отсутствуют. Когда прилетает - штрафы появляются.
Данные из разных источников никак не противоречат друг другу, а взаимно дополняются.

 

Аномалии и их интерпретация
Как и в любом живом массиве данных, здесь есть отклонения:
* отдельные дни с пересечением штрафов по двум автомобилям;
* изменения паттернов в середине 2025 года.
Эти аномалии не ломают общую картину, а наоборот:
* подчёркивают, что речь идёт о реальном поведении, а не о синтетических данных;
* допускают несколько интерпретаций: смена привычек, передача автомобиля, изменение режима.
Важно: аномалии редки и локальны, основной паттерн сохраняется.

 

Ключевые вопросы и ответы

Один ли человек стоит за аккаунтом NET-WORKER?


На рассматриваемом временном отрезке данные указывают на высокую вероятность этого.
Можно ли связать эту активность с Курашовым?


Корреляция между Telegram-активностью, штрафами, перелётами и повседневными привычками указывает на одного и того же человека.
Можно ли сделать однозначный вывод?


Абсолютный — нет.


Обоснованный с высокой степенью уверенности — да.
Можно ли «спрятаться», соблюдая OPSEC?


Можно скрыть контент.


Но скрыть ритм жизни — значительно сложнее.

 

Вывод
Каждая дата и время отправки сообщения — это всего лишь маленький след.
Но когда таких следов тысячи, а рядом появляются другие независимые маркеры, они складываются в чёткий поведенческий профиль.
Эта история про деанон за 500 рублей.


Она про то, как метаданные, которые кажутся безобидными, оказываются куда опаснее любого текста.
И про то, что идеальной анонимности не существует — есть только иллюзия, пока никто не собрал таймлайн целиком.

 

Контекстные факты: Добиваем деанон дополнительными подтверждениями

Чтобы развеять любые оставшиеся сомнения, давайте добавим слой контекста. Хотя основной анализ опирается исключительно на метаданные, редкие "аномалии" в данных — это не слабости, а дополнительные доказательства. Возьмём два случая, где активность NET-WORKER продолжалась во время перелётов Курашова (рейсы с Wi-Fi интернетом на борту). На первый взгляд, это могло бы намекать на второго человека за аккаунтом. Но при ближайшем рассмотрении контекста сообщений (без нарушения правила "без контента" — только для интерпретации аномалий) всё встаёт на места. Эти эпизоды не рушат гипотезу, а укрепляют её, показывая реального человека в реальной ситуации.

 

Рейс Стамбул — Жуковский (Москва), 10.09.2023

Перелёт Курашова запланирован на 13:00. Активность NET-WORKER не затихает полностью, но её контекст идеально вписывается в сценарий "пассажир в самолёте":

• За 50–55 минут до вылета (12:07–12:08): NET-WORKER активно шутит о стюардессах в чате. Сообщения полны энтузиазма: "Бля стюардессы такие секси", "Какие милфы балять", "Вот первый класс в Аэрофлоте каком-то", "Бля там такие стюардессы". Это типичный "аэропортовый" юмор — человек только что прошёл регистрацию или сел в самолёт, где видит экипаж. Тема стюардесс прямо отсылает к полёту, и тайминг совпадает с предвылетным временем.
• Во время взлёта (13:23–13:25): Активность продолжается, но заметно, как NET-WORKER пытается завершить разговор: "Слишком много внимания тебе уделил, на сегодня достаточно, давай)", "Я не говорил, что такого не было) Я иду делать дела, а ты продолжай сидеть в телеграм чатикам 24/7)". Финальное сообщение: "Отправляй, что хочешь" — и тишина. Это классика: пассажир завершает чат, потому что самолёт начинает взлёт, Wi-Fi прерывается, или стюардесса просит убрать гаджеты. Никаких сообщений во время полёта — связь обрывается именно на старте рейса.

Если бы аккаунтом управлял кто-то другой (не в самолёте), зачем такие отсылки к стюардессам и внезапный "уход на дела" ровно в момент взлёта? Это не совпадение — это поведенческий след реального пассажира.

 

Рейс Дубай — Домодедово (Москва), 14.09.2023

Перелёт Курашова на 15:00–20:15 (с учётом посадки). Активность NET-WORKER возобновляется ближе к концу рейса, и снова контекст кричит "я в самолёте":

 

• Во время полёта/посадки (20:02–20:17): NET-WORKER внезапно начинает шутить об "угоне самолётов" — "@blxckfromway зачем самолет угнал?", "Блэки угнал самолет", "Гаспачо самолет угнал", "САМОЛЕТЫ ЗАЧЕМ УГНАЛ", "Самолетики запустили в башни". Тема — 11 сентября (рейс через несколько дней после годовщины), но с юмором про "угон самолётов". Это не случайный флуд: человек в самолёте, возможно, смотрит новости или шутит с соседом, отсылая к трагедии.
• Ключевой факт: На этом рейсе с Курашовым летел его друг и партнёр Иван Швайков (оба — участники хакерской группы Conti, как подтверждают мои расследования на канале GangExposed). Упоминаемые в сообщениях ники ("Блэки" или "Гаспачо") могут быть отсылками к Швайкову или их общим знакомым в чате. Активность приходится на фазу посадки — когда Wi-Fi работает, но полёт ещё не завершён, затем прерывается на 20 минут и затем сообщения продолжаются.

Опять: такие шутки про 'угон самолётов' с упоминанием конкретных ников ("Гаспачо", "Блэки", "@blxckfromway") во время полёта крайне маловероятны для кого-то, кто не на борту. Учитывая, что Курашов летел с партнёром Иваном Швайковым (известным как 'hammer' в Conti, по досье и утечкам группы), эти ники могут быть отсылками к их общему кругу или шуткой над попутчиком в реальном времени — классический прорыв OPSEC в момент скуки на рейсе.

 

Это не аномалия — это реальный "слив" OPSEC в реальном времени, где контекст полёта прорывается сквозь метаданные.

 

Почему это "добивает" деанон?
Эти два случая — из 30 перелётов — единственные с активностью в воздухе, и оба объясняются наличием Wi-Fi на международных рейсах (в отличие от внутренних по РФ, где интернета нет). Контекст сообщений не просто нейтрален — он напрямую отсылает к ситуации полёта: стюардессы, взлёт, шутки про угон самолётов. Добавьте все вышеперечисленные выводы из первой части статьи. Это не случайные совпадения — это поведенческий профиль, где метаданные + минимальный контекст аномалий оставляют ноль места для сомнений: NET-WORKER — это Алексей Курашов.
В итоге, даже попытки найти "второго человека" приводят к обратному: всё указывает на одного, с его ритмом жизни, привычками и окружением. Деанон завершён.

 

 

Черновые Заметки: Дополнения к Анализу Деанонимизации NET-WORKER
(без редактуры и структуры, черновики) для исследователей