Storm-1516․ Հայաստանի դեմ ռուսական տեղեկատվական ցանցի թվային հետքերը

Անի Գրիգորյան, Անդրեաս Շյոստեդտ (Erebusintel.io), Գիվի Գիգիթաշվիլի (DFRLab), Նիկա Ալեքսեևա (DFRLab)

2025-ի գարնանից Հայաստանը հայտնվեց Storm-1516 անվամբ հայտնի ռուսական տեղեկատվական ցանցի թիրախում։ Կայքերի ու սոցիալական մեդիայի հաշիվների լայն ցանցի միջոցով մեկը մյուսի հետևից տարածվեցին սկանդալային, սակայն կեղծ պատմություններ՝ ենթադրյալ մահափորձերից ու թունավորումներից մինչև ընտանեկան ու ամուսնական սկանդալներ։ 

ՍիվիլՆեթի և DFRLab-ի համատեղ հետաքննությունը կայքերի թվային հետքերի և սոցիալական ցանցերի վերլուծության միջոցով ուսումնասիրել է Հայաստանը թիրախավորած՝ Storm-1516-ին վերագրվող 45 արշավ՝ ցույց տալով, թե ինչպես կարող են բաց աղբյուրներով հետաքննության մեթոդները բացահայտել ընտրական միջամտության համար օգտագործվող ենթակառուցվածքը։

Storm-1516-ը ռուսական ամենաակտիվ «տեղեկատվական մանիպուլյացիայի ցանցերից» մեկն է (information manipulation sets, IMS), որի միջոցով ազդեցության գործողություններ են իրականացվում տարբեր երկրների դեմ։ Մի շարք աղբյուրներ Storm-1516-ը կապում են ռուսական պետական դերակատարների հետ։ Microsoft-ը գործողությունը նկարագրում է որպես Ռուսաստանի «Ինտերնետ հետազոտությունների գործակալության» («Агентство интернет-исследований») հավանական ճյուղավորում։ ԱՄՆ ֆինանսների նախարարությունը պատժամիջոցներ է սահմանել Ռուսաստանի «Աշխարհաքաղաքական փորձաքննությունների» կենտրոնի («Центр геополитических экспертиз», CGE) նկատմամբ՝ 2024-ի ԱՄՆ ընտրությունների թեկնածուներին թիրախավորող դիփֆեյքերի և ապատեղեկատվության ստեղծումն ու հրապարակումը ղեկավարելու և ֆինանսավորելու համար։ Ֆրանսիայի արտաքին ապատեղեկատվության դեմ պայքարի գործակալությունը (VIGINUM) իր հերթին նշել է, որ այդ որոշումը կարող է վկայել, որ CGE-ն պատասխանատու է Storm-1516-ի բովանդակության ստեղծման և տարածման համար։ VIGINUM-ը նաև նույնականացրել է ՌԴ Գլխավոր հետախուզական վարչության 29155 ստորաբաժանման մի սպայի, որը, հնարավոր է, Storm-1516-ի ստեղծման օրվանից ֆինանսավորել և համակարգել է դրա գործունեությունը։

2026-ի խորհրդարանական ընտրություններից առաջ Հայաստանը ռուսական ապատեղեկատվական էկոհամակարգի կողմից առավել ինտենսիվ թիրախավորված երկրներից մեկն էր։ Որոշ գնահատականներով՝ Հայաստանի դեմ Storm-1516-ի արշավներն իրենց ծավալով գերազանցել են այլ երկրների դեմ իրականացված արշավները։ Այս հետաքննության մեջ փաստագրված արշավների մեծ մասը նպատակ ուներ վարկաբեկել վարչապետ Նիկոլ Փաշինյանին և խաթարել կառավարության նկատմամբ հանրային վստահությունը։

X հարթակում

Դիտարկված արշավներն ընդգրկում էին քաղաքական, մշակութային, տնտեսական և անվտանգությանը վերաբերող պնդումների լայն շրջանակ, սակայն դրանց մեծ մասը տարածում էր մի քանի կրկնվող նարատիվներ։  Մի շարք արշավներ Փաշինյանին և նրա կառավարությանը ներկայացրել են որպես Հայաստանի ավանդական ու քրիստոնեական ինքնությունը քայքայող ուժ՝ նրանց վերագրելով ԼԳԲՏՔ+ օրակարգի տարածում, մզկիթների կառուցում և իսլամի նկատմամբ արտոնյալ վերաբերմունք։ Մյուսները պնդում էին, թե իշխանությունները թուլացնում են Հայաստանի ինքնիշխանությունը՝ տարածքային զիջումներ կատարելով, թույլ տալով Հայաստանում թուրքական ռազմաբազայի հիմնում, հրաժարվելով Հայոց ցեղասպանության ճանաչումից կամ նպաստելով Մերձավոր Արևելքից փախստականների զանգվածային վերաբնակեցմանը։ Մի քանի արշավներ կենտրոնացել են նաև ենթադրյալ կոռուպցիայի, հանրային միջոցների չարաշահման և օտարերկրյա ընկերությունների հետ ոչ թափանցիկ պայմանագրերի վրա։ Փաշինյանի, նրա կնոջ և այլ բարձրաստիճան պաշտոնյաների վերաբերյալ անձնական բնույթի մեղադրանքները ևս օգտագործվել են՝ ամրապնդելու այն ընդհանուր նարատիվը, թե կառավարությունը կոռումպացված է կամ գործում է Հայաստանի ազգային շահերի դեմ։

Սոցիալական մեդիայի վերլուծության շրջանակում մենք հավաքել ենք 2025-ի հունիսից մինչև 2026-ի հունիս ընկած ժամանակահատվածում Հայաստանը թիրախավորած 45 արշավների շրջանակում X-ում հրապարակված ավելի քան 1 650 բնօրինակ գրառում։ Դրանք վերլուծվել և բաժանվել են հինգ կատեգորիայի։

 Արշավների մեծ մասում ներգրավված ավելի քան 450 X հաշիվների ցանցային վերլուծությունը բացահայտեց սերտորեն փոխկապակցված հաշիվների առանձին կլաստեր։ Այդ հաշիվներից շատերը նախկինում նկատվել են այլ երկրների ընտրությունների շուրջ գործողություններում ևս։ Մենք իրականացրել ենք տարբեր արշավների միջև ցանցային վերլուծություն՝ պարզելու, թե որ հաշիվներն են առավել հաճախ միասին հայտնվել նույն արշավներում։ Կապը հաստատվել է միևնույն արշավում ընդգրկված հաշիվների միջև։ Որքան հաճախ են հաշիվները հայտնվել միասին, այնքան հաստ է կապը ցույց տվող գիծը։ Ստորև ներկայացված գրաֆիկը ցույց է տալիս այն հաշիվների կապերը, որոնք միասին հայտնվել են առնվազն հինգ արշավում։

Ցանցային գրաֆիկը ցույց է տալիս հինգից ավելի արշավներում միասին հայտնված X հաշիվները

Տեքստային նմանության վերլուծությունը բացահայտել է հաշիվների հիմնական և երկրորդային կլաստերներ, որոնք 45 ուսումնասիրված արշավներում հրապարակել են գրեթե նույնական հաղորդագրություններ։ Գրառումները նախ Google Sheets-ի Google Translate գործառույթի միջոցով թարգմանվել են անգլերեն։ Այնուհետև Python-ով գրված ծրագրի միջոցով իրականացվել է նմանության վերլուծություն, որի մշակման համար օգտագործվել է Claude Sonnet 4.6 մեծ լեզվային մոդելը։

Ծրագիրը հաշվարկել է տերմինների հաճախականությունը (TF) ինչպես առանձին բառերի, այնպես էլ բիգրամների՝ իրար հաջորդող բառազույգերի համար, ապա դրանք կշռել հակադարձ փաստաթղթային հաճախականությամբ (IDF)։ Վերջինս հաշվարկվել է որպես ընդհանուր գրառումների թվի և տվյալ բառը կամ բառազույգը պարունակող գրառումների թվի հարաբերության լոգարիթմ՝ առանձնացնելու այն տերմինները, որոնք տվյալ գրառումը տարբերակում են մյուսներից։ Բառի կամ բառազույգի հաճախականության ցուցանիշը (TF) բազմապատկելով IDF-ով՝ ծրագիրը յուրաքանչյուրի համար ստացել է առանձին կշիռ, ապա յուրաքանչյուր արշավի ներսում հաշվարկել է գրառումների կոսինուսային նմանությունը։ Այդ ցուցանիշը 1 է ամբողջությամբ նույնական գրառումների դեպքում և 0՝ երբ գրառումները որևէ ընդհանուր բառ չունեն։ 0.75-ից բարձր ցուցանիշները մենք դիտարկել ենք որպես բարձր նմանություն, ինչը կարող է վկայել համակարգված և նույն կաղապարով գրառումների մասին։

Համեմատության համար 529 գրառումից 56-ը՝ ավելի քան 10 տոկոսը, թարգմանվել են անգլերեն։ Մեքենայական թարգմանությունը տարբեր լեզուներով գրված ձևակերպումները հաճախ վերածում է միանման անգլերեն արտահայտությունների՝ նվազեցնելով բառապաշարային տարբերությունները, որոնց վրա հիմնվում է այս չափումը։ Այդ պատճառով նմանության ցուցանիշները կարող էին փոքր-ինչ բարձր լինել, ինչը մենք նշում ենք որպես մեթոդի սահմանափակում։

Բացի այդ, նույն իրադարձության մասին գրող հաշիվները կարող են օգտագործել նույն բառապաշարը՝ անկախ այն հանգամանքից՝ համակարգված են գործում, թե ոչ։ Օրինակ՝ նույն ընտրությունները լուսաբանող լրագրողներն անկախ իրարից օգտագործում են նույն անունները, տեղանուններն ու եզրույթները, ուստի տեքստային բարձր նմանությունն ինքնին համակարգվածության ապացույց չէ։

Նմանությունը գնահատվել է միայն յուրաքանչյուր արշավի ներսում` կիրառելով այնպիսի բարձր շեմ, որը բացառում է թույլ կամ պատահական համընկնումները։ Միաժամանակ հաշվի ենք առել, որ նույն թեմայի շուրջ գրող հաշիվները կարող են անկախ միմյանցից օգտագործել նման ձևակերպումներ, և մեր մեթոդը միշտ չէ, որ կարող է դրանք տարբերել համակարգված հրապարակումներից։

Վերլուծությունը ցույց տվեց, որ արշավներում առավել հաճախ փոխկապակցված հաշիվները նույնն են, ինչ ցանցային քարտեզում երևացող հաշիվները։ Մասնավորապես՝ @TFMDMIA, @its_The_Dr, @DangerousThinkg, @Mai_ASUR, @MaimunkaNews և @bertalanzoli հաշիվները 8-ից 12 արշավում հրապարակել են գրեթե նույնաբովանդակ հաղորդագրություններ։ @TFMDMIA-ի և @DangerousThinkg-ի հրապարակած տեքստերը ամբողջությամբ նույնական են եղել ընդամենը երկու դեպքում, ինչը մատնանշում է համակարգված, սակայն ոչ ամբողջությամբ ավտոմատացված վարք։

Ամենաակտիվը @DangerousThinkg հաշիվն է եղել․ այն 43 գրառմամբ հայտնվել է 26 արշավում։ Հաշիվը ստեղծվել է 2023-ի մայիսին և մինչև 2026-ի հունիսի 21-ը հրապարակել է ավելի քան 373 000 գրառում։ Սա նշանակում է օրական միջինը 325 գրառում, ինչը խիստ կասկածելի վարքագիծ է և կարող է վկայել, որ հաշիվը վարողները կիրառում են ավտոմատացման որևէ գործիք։ Մենք ուսումնասիրել ենք 2026-ին այդ հաշվից հրապարակված ավելի քան 43 000 գրառում և պարզել, որ դրանց 93.9 տոկոսը վերահրապարակումներ են։ Այսինքն՝ հաշիվը հիմնականում այլ օգտատերերի բովանդակությունն է վերահրապարակում, ոչ թե ինքնուրույն բովանդակություն ստեղծում։

Բացի այդ, կան հիմքեր ենթադրելու, որ մի շարք հաշիվներ կարող էին վճարվել՝  Հայաստանի դեմ ուղղված արշավները տարածելու դիմաց։ Մայիսի 27-ին X-ի օգտատերերից մեկը հրապարակել էր էկրանապատկեր, որից երևում էր, որ ֆրանսիացի օգտատիրոջը առաջարկվում է 100 եվրո՝ Փաշինյանի մասին Storm-1516-ի տեսանյութը հրապարակելու համար։ Թեև այս դեպքը մնում է չհաստատված, VIGINUM-ը զեկույցում նշել է, որ Storm-1516-ի օպերատորներն ուղղակիորեն վճարել են սոցիալական մեդիայի հաշիվներին՝ իրենց նարատիվները հրապարակելու և տարածելու համար։ CNN-ի հրապարակման համաձայն՝ ԱՄՆ նախագահ Դոնալդ Թրամփին սատարող X-ի @AlphaFox78 հաշվի օգտատերը պնդել է, որ Կրեմլին աջակցող Սիմեոն Բոյկովը՝ @aussiecossack-ը, իրեն յուրաքանչյուր գրառման համար վճարում է 100 դոլար։ Թե՛ AlphaFox78-ը, թե՛ Բոյկովը հրապարակել են Storm-1516-ի բովանդակություն։

Քլեմսոնի համալսարանի Media Forensics Hub-ը բացահայտել էր առևտրային մարքեթինգային հաշիվների մի ցանց, որը Հունգարիայի 2026-ի խորհրդարանական ընտրություններից առաջ  տարածում էր Storm-1516-ի պատումները։ Հետազոտողները պարզել էին, որ այս հաշիվները, որոնցից շատերը մետատվյալներով կապված էին Նիգերիայի կամ Աֆրիկայի այլ երկրների հետ, գովազդային կամ օգտատերերի ներգրավվածությունը մեծացնելուն ուղղված բովանդակությունից անցել էին քաղաքական թեզերի տարածմանը և եզրակացրել, որ ամենայն հավանականությամբ, դրանք վարձատրվել են այդ բովանդակությունը տարածելու համար։ Մենք պարզել ենք, որ այդ ցանցի առնվազն յոթ հաշիվ հայտնվել է նաև Հայաստանը թիրախավորած արշավների տվյալների բազայում՝ @sakpo0007_, @ade_babyyyyy, @FemmyVickky, @_ElectricVibex, @PurelyMide, @Buddol01 և @Unusual_Dami։ Այս համընկնումը հուշում է, որ Storm-1516-ի բովանդակությունը տարբեր երկրներում և քաղաքական համատեքստերում տարածելու համար կարող է օգտագործվել նույն առևտրային ցանցը։

Ի դեպ, տվյալների բազայում ընդգրկված X հաշիվներից շատերն անցել էին ինքնության հաստատման գործընթացը։ X-ի առաջարկությունների ալգորիթմի վերաբերյալ փաստաթղթերի համաձայն՝ հաստատված հաշիվները (Verified) ստանում են ալգորիթմային առավելություն X-ի դասակարգման համակարգերում, և դրանց գրառումներն ավելի հաճախ են հայտնվում առաջարկություններում ու որոնման արդյունքներում։

Պարզելու համար՝ արդյոք հաստատված հաշիվներն իրենց կարգավիճակի շնորհիվ ավելի լայն տարածում են ստացել, տվյալների բազայից ընտրել ենք 15 արշավ։ Ուսումնասիրված արշավներում հաստատված հաշիվների մասնաբաժինը տարբեր է եղել։ Վերջին հինգ արշավներում հաստատված հաշիվների մասնաբաժինը զգալիորեն նվազել է։ Եթե Հայոց ցեղասպանության ճանաչումն արգելելու մասին արշավում այդ հաշիվները կազմում էին 59 տոկոս, ապա 250 000 փախստական ընդունելու մասին արշավում՝ 30 տոկոս։ Չնայած այս կտրուկ նվազմանը՝ դիտումների թիվը մնացել է բարձր․ փախստականների մասին արշավը հավաքել է 15,86 մլն դիտում, իսկ Հայոց ցեղասպանության ճանաչումն արգելելու մասին արշավը՝ 12,87 մլն։ Բացի այդ, հաստատված հաշիվների նմանատիպ մասնաբաժին ունեցող արշավները դիտումների առումով խիստ տարբեր արդյունքներ են ունեցել։ Այսպիսով, ընտրանքի վերլուծությունը հուշում է, որ դիտումների քանակը պայմանավորված չի եղել միայն հաստատված հաշիվների մասնաբաժնով։ Այն կարող էր կախված լինել այլ գործոններից, այդ թվում՝ նարատիվի բնույթից կամ, թե որքան արդյունավետ է այն խթանել ալգորիթմային տարածումը այլ եղանակներով։

Ուսումնասիրված 15 արշավների 475 գրառումները միասին հավաքել են ավելի քան 149,5 մլն դիտում և 175 781 արձագանք (interaction)։ Ամենաշատ դիտումները՝ 24,13 մլն, գրանցել է տարածքների հանձնման մասին արշավը։ Դրան հաջորդում է 250 000 փախստական ընդունելու մասին արշավը՝ 15,86 մլն, և Հիսուսի արձանն արգելելու մասին արշավը՝ 14,93 մլն դիտում։ Արձագանքների թվով առաջատարը Փաշինյանի կնոջ՝ մուսուլման տղամարդու հետ հանդիպելու մասին արշավն էր՝ շուրջ 27 260 արձագանքով։ Դրան հաջորդել է նախարարներին ԼԳԲՏՔ ակտիվիստներով փոխարինելու մասին արշավը՝ 26 004 արձագանքով։

Ուշագրավ է նաև դիտումների և արձագանքների տարբերությունը։ Տարածքների հանձնման մասին արշավը, թեև հավաքել է ամենաշատը՝ 24,13 մլն դիտում, մեկ գրառման հաշվով ունեցել է միջինը 434 արձագանք։ Նմանապես, Հայոց ցեղասպանության ճանաչումն արգելելու մասին արշավը հասել է 12,87 մլն դիտման, սակայն մեկ գրառման հաշվով ունեցել է ընդամենը 142 արձագանք։ Մինչդեռ Փաշինյանի կնոջ՝ մուսուլման տղամարդու հետ հանդիպելու մասին արշավը հավաքել է 7 միլիոն դիտում, բայց մեկ գրառման հաշվով՝ միջինը 751 արձագանք։

Storm-1516-ի 15 արշավում ընդգրկված հաշիվների լոկացիայի և գրառումների լեզուների վերլուծությունը բացահայտեց աշխարհագրական և լեզվական բազմազանություն։ Meltwater Explore-ի վերլուծության համաձայն՝ բոլոր գրառումների ավելի քան 52 տոկոսը հրապարակվել է այնպիսի հաշիվներից, որոնց տեղակայման երկիրը հնարավոր չի եղել որոշել։ 224 գրառման դեպքում հաշիվների տեղակայման երկիրը հասանելի է եղել. դրանցից 118-ը հրապարակվել է ԱՄՆ-ում տեղակայված հաշիվներից, որոնք «գործել են» բոլոր 15 արշավներում։ Միացյալ Թագավորությունում գործող հաշիվներին բաժին է ընկել 20 գրառում, Թուրքիայում գործողներին՝ 13 գրառում՝ հինգ արշավում, իսկ Ռուսաստանում գործողներին՝ ընդամենը չորս գրառում՝ երկու արշավում։

Մի շարք արշավներում հանդիպել են նաև Էկվադորում, Ուգանդայում, Ֆիլիպիններում, Նիգերիայում, Կամերունում և Աֆրիկայի կամ Ասիայի այլ երկրներում տեղակայված հաշիվներ։ Կասկածելի է, որ այդ երկրներում գործող հաշիվները կարող էին միմյանցից անկախ հայտնաբերել Հայաստանի ներքաղաքական կյանքի վերաբերյալ նոր հրապարակումները և մի քանի րոպեի տարբերությամբ տարածել դրանք։

Բոլոր 15 արշավներում գրառումները հրապարակվել են 11 լեզվով, սակայն դրանց 91 տոկոսը եղել է անգլերեն։ Երկրորդ ամենատարածված լեզուն թուրքերենն է՝ 12 գրառում, որին հաջորդել է ֆրանսերենը՝ ութ գրառում։ Լեզվական առումով ամենաբազմազանը Հիսուսի արձանն արգելելու մասին արշավն էր, որի բովանդակությունը տարածվել է յոթ լեզվով։ Սա հուշում է, որ նարատիվը տարբեր տարածաշրջաններում տարածելու նպատակով համակարգված աշխատանք է տարվել։ Օրինակ՝ մեկ հաշիվ ընդամենը յոթ րոպեի ընթացքում ադրբեջանական գերությունից վերադարձած Վիգեն Էուլջեքչյանի ենթադրյալ թունավորման մասին գրառումներ է հրապարակել անգլերեն, իսպաներեն և ֆրանսերեն։

Հայերեն բովանդակություն եղել է ընդամենը երկու արշավում։ Սա վկայում է, որ արշավների հիմնական նպատակը ոչ թե Հայաստանի ներսում հանրային կարծիքի վրա անմիջական ազդեցություն գործելն էր, այլ երկրի մասին արտաքին ընկալումների ձևավորումը։

Կայքերի միջև համակարգվածության բացահայտում

Կայքերի հետևում կանգնած օպերատորները հաճախ համընկնող թվային հետքեր են թողնում վեբ ենթակառուցվածքի տարբեր շերտերում։ Պատճառն այն է, որ տասնյակ կայքեր ձեռքով ստեղծելը ծախսատար է, ուստի օպերատորները փորձում են խնայել ռեսուրսները՝ օգտագործելով նույն հոսթինգ մատակարարներին, ձևանմուշները, ծրագրային կոդը և գրանցման տվյալները։ Այս համընկնումները կարող են օգնել բացահայտել կասկածելի կամ համակարգված գործունեությունը։

Մեր տվյալների բազայում ընդգրկված Storm-1516-ի արշավներում օգտագործված կայքերի վերլուծությունը կենտրոնացել է տեխնիկական ապացույցների երեք մակարդակի վրա։ 

Ուժեղ ցուցիչները (strong signals) հիմնված են ինքնության հետ կապված տվյալների վրա և ներառում են տարբեր կայքերում նույն հետագծման նույնականացուցիչների (tracking IDs), հեղինակային հաշիվների, էլեկտրոնային հասցեների և Gravatar պրոֆիլների օգտագործումը (Gravatar-ը ծառայություն է, որը պրոֆիլային նկարը կապում է էլեկտրոնային հասցեին և կարող է այն ավտոմատ ցուցադրել տարբեր կայքերում)։ Դրանք ամենադժվարն է պատահականությամբ բացատրել, քանի որ արտացոլում են օպերատորի գիտակցված ընտրությունը։ 

Օժանդակ ցուցիչները (supporting signals) ընդգրկում են ենթակառուցվածքի և բովանդակության վերաօգտագործումը. նույն IP հասցեներ, բովանդակության կառավարման համակարգի (CMS) նույն ձևանմուշներ, կայքերի էջերի ներքին կառուցվածքի գրեթե նույնականություն (DOM) և նույն պատկերների կիրառումը։ 

Համատեքստային ցուցիչները (context signals) սովորաբար տարածված տեխնիկական ընդհանրություններ են, օրինակ՝ նույն հոսթինգ մատակարարի, հանրահայտ հավելումների (plugins) կամ լայնորեն կիրառվող սերվերային տեխնոլոգիաների օգտագործումը։ Առանձին վերցրած՝ դրանք ապացուցողական արժեք չունեն, սակայն կարող են լրացնել և ամրապնդել ավելի ուժեղ ցուցիչների հիման վրա արված եզրահանգումները։ Այս հետաքննությունում կլաստերները ձևավորվել են միայն ուժեղ և օժանդակ ցուցիչների հիման վրա։ Համատեքստային ցուցիչներն առանձին վերցրած երբեք կլաստեր ձևավորելու հիմք չեն դարձել։

Ցուցիչները հավաքվել են Erebus OSINT Toolkit-ի միջոցով, որը կայքերի թվային հետքերը գրանցում է ենթակառուցվածքի տարբեր մակարդակներում՝ կայքի ընթացիկ HTML-ը և Wayback Machine-ի CDX արխիվում պահպանված նախկին HTML տարբերակները, էջերի կառուցվածքի DOM հետքը, անվտանգ կապի (TLS) տվյալները, լեզվական ցուցիչներն ու մեդիաֆայլերի մետատվյալները։

Յուրաքանչյուր կայքի համար ձևավորվում է առանձին պրոֆիլ, որն այնուհետև համեմատվում է մյուս կայքերի և կլաստերների պրոֆիլների հետ։

Storm-1516-ը մեծապես հենվում է կեղծ կայքերի ցանցի վրա՝ իր կեղծ պատմությունները հրապարակելու, դրանց ծագումը քողարկելու և տարածելու համար։ Մենք առանձնացրել ենք Հայաստանը թիրախավորող՝ Storm-1516-ի գործողություններում օգտագործված կայքերի երեք կլաստեր։ Առաջին կլաստերում ընդգրկվել է 12 կայք, որոնք մեծամասամբ ժամանակավոր օգտագործման կամ, ըստ երևույթին, Storm-ի օպերատորների վերահսկողության տակ անցած կայքեր են։ Երկրորդ կլաստերը ներառում է հայալեզու կայքերի ընտրանք, որոնք CheckFirst-ը վերագրել է Storm-1516-ին։ Երրորդ կլաստերը թուրքական լրատվական կայքերն են, որոնց հրապարակած բովանդակությունը թիրախավորում էր Հայաստանը և ակտիվորեն տարածվում Storm-1516-ի հետ կապվող սոցցանցային հաշիվների ու էջերի միջոցով։ 

Ներքոնշյալ բաժիններում յուրաքանչյուր կլաստերի ենթակառուցվածքը վերլուծվում է առանձին՝ պարզելու համար՝ արդյոք դրանում ներառված կայքերն ունեն ընդհանուր ծագում։ Առաջին երկու կլաստերների վերլուծությունը վկայում է ընդհանուր ծագում ունեցող համակարգված ցանցերի մասին. սակայն դա ինքնին բավարար չէ դրանք Storm-1516-ին կամ որևէ կոնկրետ օպերատորի վերագրելու համար։

Կլաստեր 1․ ժամանակավոր և վերահսկողության տակ անցած կայքեր

Մենք վերլուծել ենք Storm-1516-ի հետ կապվող 12 անգլալեզու և ֆրանսալեզու կայքեր՝ պարզելու՝  արդյոք տեխնիկական և բովանդակային ցուցիչները թույլ են տալիս դրանց միջև կապեր հաստատել։ 12 կայքից 10-ում հրապարակվել է բացառապես Հայաստանը թիրախավորող բովանդակություն, մինչդեռ երկու կայք՝ Torontojournal.ca և Enquetedujour.fr, թիրախավորել են այլ երկրներ ևս, սակայն վերագրվել են Storm-1516-ին։ Այս երկու կայքերը միտումնավոր ներառել ենք ընտրանքում՝ համեմատելու համար Հայաստանի և այլ երկրների դեմ ուղղված արշավներում Storm-1516-ի օգտագործած կայքային ենթակառուցվածքները։ Վերլուծությունը բացահայտել է 10 դոմենից բաղկացած մեկ կլաստեր, որը հաստատվում է մի քանի իրար լրացնող ցուցիչներով, մինչդեռ նախնական ընտրանքում ընդգրկված երկու կայքի դեպքում (mynews24.co.uk և velvetnews.co.uk) ենթակառուցվածքային համակարգվածության որևէ ապացույց չի հայտնաբերվել։

Մեր ուսումնասիրությունը ցույց է տվել, որ տվյալների բազայում ընդգրկված որևէ երկու դոմեն չեն օգտագործել հետագծման նույն նույնականացուցիչները  (tracking identifiers)՝ Google Analytics, AdSense հաշիվ, Facebook Pixel կամ Yandex Metrika ID։ Հետագծման գործիք օգտագործող յուրաքանչյուր կայք ունեցել է իր՝ եզակի նույնականացուցիչը։ Ավելին, այն WordPress կայքերը, որտեղ տեսանելի էին հեղինակների Gravatar պատկերները, օգտագործել են տարբեր հաշիվներ, և հեղինակների էլեկտրոնային հասցեի միևնույն կոդավորված նույնացուցիչը մեկից ավելի դոմենում չի հանդիպել։

Ընտրանքում ընդգրկված երկու դոմեն՝ armeniadaily.am-ը և dailyarmenia.am-ը, առանձնահատուկ ուշադրության են արժանի։ Երկուսն էլ ընդգրկվել են Storm-1516-ի հետ կապվող դոմենների նախնական ընտրանքում և կլաստերի ներսում ամենասերտ կապ ունեցող երկու կայքերն են։ Դրանք ունեցել են գրանցված նույն հեղինակը, էջերի գրեթե նույնական կառուցվածք՝ DOM-ի 86.2 տոկոս նմանությամբ, և երկուսն էլ վերագործարկվել են 2025-ի հոկտեմբերին։ Բացի այդ, մինչև 2019-2020 թվականները երկու կայքերն էլ պատկանել են հայկական ընկերությունների։ Ըստ առկա տվյալների՝ մինչև 2019-ը armeniadaily.am-ը պատկանել է Հայաստանում գրանցված «Գլոբալ նյուզ» ՍՊԸ-ին, իսկ dailyarmenia.am-ը՝ «Ջասթ թրեվլ» տուրիստական ընկերությանը։

Այս կայքերի պատմական WHOIS գրանցումներում 2019-2025 թվականների սեփականության մասին տեղեկություններ չկան։ armeniadaily.am-ը և dailyarmenia.am-ը կրկին գրանցվել են 2025-ի հոկտեմբերին և նոյեմբերին՝ «ԷյԲԻՍիԴոմեն» ՍՊԸ-ի միջոցով. գրանցողի տվյալները թաքցված են։ Մենք կապվել ենք «Global News» ընկերության հետ, որտեղից հաստատեցին, որ դոմենը պատկանել է ընկերությանը մինչև 2019-ի փետրվարը, այնուհետև որևէ առնչություն չեն ունեցել դրա հետ։

2019-2025 թվականներին դոմենի սեփականության մասին տվյալների բացակայությունը և բովանդակության բնույթի կտրուկ փոփոխությունը հուշում են, որ 2025-ին կայքն անցել է նոր օպերատորների վերահսկողության տակ։ DFRLab-ն ավելի վաղ գրել էր նմանատիպ արշավի մասին, երբ Storm-1516-ի օպերատորները վերահսկողություն էին հաստատել հայկական ՀԿ-ին նախկինում պատկանող կայքի նկատմամբ։ Նախկինում ակտիվ հայկական դոմենների վերաօգտագործումը կարող է վկայել որոնողական համակարգերի օպտիմալացման (SEO) նպատակային ռազմավարության մասին։ Երկար պատմություն ունեցող և որոնողական համակարգերում արդեն ինդեքսավորված դոմենները ավելի արագ ու վստահելի դիրքեր են գրավում որոնման արդյունքներում, քան նոր ստեղծված կայքերը։ SEO-ի շնորհիվ այս հին կայքերը կարող են ավելի արդյունավետ լինել ապատեղեկատվության տարածման համար, և դա կարող է բացատրել, թե ինչու են Storm-1516-ի օպերատորներն օգտագործել նախկինում գործող դոմեններ։

Այս կայքերի հայերեն հոդվածներում ռուսերենի հետքերը երկու ձևով են դրսևորվում, և երկուսն էլ ավելի շուտ մատնանշում են թարգմանության ավտոմատացված շղթա, քան պարզապես գրավոր սխալներ։ Հոդվածները գրված են սահուն հայերենով, սակայն առանձին ռուսերեն բառեր նախադասությունների մեջ մնացել են չթարգմանված։ Առաջին խումբը ռուսերեն այն բառերն են, որոնք օգտագործվում են մեջբերման հեղինակին նշելու կամ պնդման հավաստիությունը մեղմելու համար։ Заявил (հայտարարեց) բառը չի թարգմանվել armeniadaily.am-ի չորս հոդվածում և ամեն անգամ գործածվել ռուսերենին բնորոշ նույն կառուցվածքով՝ «մեջբերում», заявил [անուն] (1,2,3,4)։ Նույն բառը հանդիպել է նաև dailyarmenia.am-ի մեկ հոդվածում։ Якобы (իբր, ենթադրաբար) բառը մեկական անգամ չթարգմանված է մնացել armeniadaily.am-ի և armenianinsider.am-ի հոդվածներում։

Երկրորդ ցուցիչը ռուսերեն արմատով և հայերեն վերջավորությամբ բառերի առկայությունն է։ Օրինակ՝ «штаб-квартиրում» բառը հանդիպել է armeniadaily.am-ի երկու հոդվածում։ Մեկ այլ հոդվածում օգտագործվել է «криминалистиական» բառը։ Երկու բառերն էլ պահպանվել են էջերի արխիվացված տարբերակներում։ Դրանց ռուսերեն արմատները գրված են կիրիլիցայով, իսկ հայերեն վերջավորությունները՝ հայատառ և քերականորեն ճիշտ ձևով։ Սա կարող է վկայել, որ բովանդակությունը ստեղծվել կամ մշակվել է ռուսերենից ավտոմատացված թարգմանության միջոցով։ Սակայն սա դեռ վարկած է, ոչ թե հաստատված փաստ։ Այս ցուցիչը կապում է միայն armeniadaily.am, dailyarmenia.am և armenianinsider.am կայքերը և ինքնին չի վերաբերում կլաստերի մյուս կայքերին։

Կլաստերում ամենատարածված ցուցիչը WordPress-ի նույն՝ Fox ձևանմուշի օգտագործումն էր։ Այն կլաստերի կայքերի միջև ամենատարածված տեխնիկական ընդհանրությունն է՝ կապելով կայքերը, որոնց միջև առկա են նաև տարբեր աստիճանի այլ ընդհանրություններ։ Առանձին վերցրած՝

սա բավարար ապացույց չէր լինի, քանի որ Fox-ը վաճառվող ձևանմուշ է և կարող է իրարից անկախ օգտագործվել կապ չունեցող օպերատորների կողմից։ Սակայն դրա նշանակությունն աճում է, քանի որ գրեթե բոլոր դոմեններում այն հետևողականորեն զուգակցվում է ավելի ուժեղ ցուցիչների հետ։

Այս կայքերում նույն ձևանմուշի օգտագործումը համապատասխանում է CopyCop-ի ենթակառուցվածքային գործելակերպին։ CopyCop-ը կայքերի ցանց է, որը ղեկավարում է ԱՄՆ ոստիկանության նախկին ծառայող Ջոն Մարկ Դուգանը և որը, ըստ VIGINUM-ի, հրապարակում ու տեղեկատվական «լվացման» է ենթարկում ռուսական ազդեցության մի շարք գործողությունների բովանդակությունը։ Storm-1516-ը դրա հիմնական շահառուներից է։ Ըստ Recorded Future-ի՝ CopyCop-ն իր կայքերի կլաստերում նախկինում ևս օգտագործել է WordPress-ի մեկ ընդհանուր ձևանմուշ։ Այսպիսով, մեկ ձևանմուշի վրա կառուցված կայքերի ցանցը CopyCop-ի ենթակառուցվածքին բնորոշ արդեն հայտնի հատկանիշ է, և ոչ թե եզակի պատահականություն։ Հայկական կլաստերում նույն հատկանիշի առկայությունը ցույց է տալիս, որ այն համապատասխանում է CopyCop-ի արդեն հայտնի գործելակերպին։

Erebus-ը գրանցել է յուրաքանչյուր կայքի գլխավոր և հոդվածների էջերի ներքին կառուցվածքը (DOM) և այն համեմատել մյուս կայքերի էջերի հետ։ Ամենամոտ համընկնող էջերի զույգը գնահատվել է 0-ից 100 միավորի սանդղակով։ Իրար հետ կապ չունեցող կայքերի ցուցանիշը սովորաբար 50-ից ցածր է։

80-ից բարձր ցուցանիշները նշանակում են, որ երկու կայքերի HTML տարրերի ներքին դասավորությունը, էջերի կառուցման տրամաբանությունն ու ընդհանուր ճարտարապետությունը գրեթե նույնական են։ Ամենաբարձր նմանություն ունեցող զույգերը տարբեր լեզուներով և տարբեր երկրներում գործող կայքերն են․

• 86.2 տոկոս՝ armeniadaily.am և dailyarmenia.am

• 88.3 տոկոս՝ armeniadaily.am և torontojournal.ca

• 83.2 տոկոս՝ armenianinsider.am և dailyarmenia.am

• 81.1 տոկոս՝ armeniadaily.am՝ հայերեն, և infofrancaisedujour.fr՝ ֆրանսերեն

Մանրամասն ուսումնասիրությունը ցույց է տալիս, որ կայքերի նմանությունը պայմանավորված է բովանդակության կառավարման նույն համակարգի (CMS), նույն ձևանմուշի, մի շարք նույն հավելումների  (plugins) և նույն կարգավորումների օգտագործմամբ։ Երկու կայքերը որքան շատ ընդհանուր տեխնիկական տարրեր ունեն, այնքան բարձր է դրանց նմանության ցուցանիշը։ Նման պատկեր է ստացվում, երբ նույն օպերատորը մեկ ձևանմուշը փոքր փոփոխություններով կիրառում է մի քանի դոմենում։

Հոսթինգի մակարդակում կլաստերի 12 կայքերի միջև ուղղակի կապեր չեն հայտնաբերվել․ որևէ երկու կայք չեն օգտագործել նույն IP հասցեն կամ SSL վկայագիրը։ Սակայն հոսթինգ մատակարարների մասով համընկնումներ կան։ Հինգ կայք՝ armeniadaily.am-ը, armenianinsider.am-ը, dailyarmenia.am-ը, timescanada.ca-ն և velvetnews.co.uk-ը, տեղակայված են Hostinger-ի ենթակառուցվածքում։ Եվս չորսը՝ courrierfrance24.fr-ը, dailymail.uk.net-ը, euleaks.eu-ն և torontojournal.ca-ն, ուսումնասիրված ժամանակահատվածի տարբեր փուլերում օգտագործել են մալայզիական Shinjiru հոսթինգի ծառայությունները։ Յուրաքանչյուր դեպքում, սակայն, կիրառվել են տարբեր IP հասցեներ։ Նույն հանրային հոսթինգ ծառայությունից օգտվելն ինքնին թույլ ցուցիչ է։ Այն լրացնում է կոդի և բովանդակության վերլուծությամբ հայտնաբերված կապերը, սակայն առանձին վերցրած չի ապացուցում կայքերի միջև կապը։

Այսպիսով, առկա ապացույցները ցույց են տալիս, որ մեծ հավանականությամբ կլաստերի մի շարք կայքեր ստեղծվել և կառավարվել են նույն անձի կամ խմբի կողմից՝ ընդհանուր տեխնիկական ենթակառուցվածքով։ Դոմեններում հայկական, ֆրանսիական, կանադական և բրիտանական աշխարհագրական հղումների օգտագործումը վկայում է տարբեր երկրներում գործող առանձին ու անկախ աղբյուրների պատրանք ստեղծելու ռազմավարության մասին։

Կլաստեր 2․ Storm-1516-ի արշավների հետ կապվող հայալեզու կայքեր

Ֆիննական CheckFirst հետաքննական կազմակերպության՝ Storm-1516-ին վերագրած կայքերի ցանկից պատահական սկզբունքով ընտրել ենք 18 հայալեզու կայք՝ դրանց միջև ենթակառուցվածքային կապերը ուսումնասիրելու համար։

Ամբողջ կլաստերում կայքերի ամենաուժեղ ընդհանուր վարքագծային ցուցիչը պատկերների անվանման ձևն է։ Բոլոր 18 կայքերը պատկերները հրապարակում են nTCCV1Y.jpg կամ TZZNSFHTR.jpg տիպի կարճ ու պատահական թվացող անվանումներով։ Այդ անվանումները ձևավորվում են սահմանափակ և ոչ ստանդարտ տառաթվային հավաքածուից, որը մենք անվանում ենք «հատուկ այբուբեն» (bespoke alphabet)։ Դրանում ընդունված տառաթվային նիշերի զգալի մասը չի օգտագործվում, իսկ անվանումները հիմնականում կազմվում են մի քանի նախընտրելի նիշերից։

Այս ձևաչափն այնքան առանձնահատուկ է, որ պատկերների անուններ գեներացնող՝ մեր փորձարկած հանրայնորեն հասանելի գործիքներից ոչ մեկը նման անվանումներ չի ստեղծում։ Նույն օրինաչափությունը չի հանդիպում նաև տվյալների բազայում ընդգրկված՝ այս կլաստերից դուրս որևէ կայքում՝ ո՛չ մյուս երկու կլաստերներում, ո՛չ էլ համեմատության համար ուսումնասիրված հայկական 43 լրատվամիջոցներում։ Վերջիններիս թվում են ինչպես խոշոր լրատվամիջոցներ, այնպես էլ ռուսամետ հայկական հարթակներ։

Նույն օրինաչափությունը պահպանվում է, երբ դիտարկում ենք 2025-ի կեսից հետո հրապարակված պատկերները։ Բոլոր 18 կայքերն առանձին-առանձին օգտագործում են նույն «հատուկ այբուբենը», թեև աշխատում են WordPress-ի 16 տարբեր թեմաներով (թեմաներից միայն երկուսն են կրկնվում՝ յուրաքանչյուրն ընդամենը երկու կայքում) և WordPress-ի երեք տարբեր տարբերակներով։ Այս ընդհանուր օրինաչափությունը հուշում է, որ բոլոր 18 կայքերում բովանդակությունը կարող է հրապարակվել նույն՝ հատուկ մշակված գործիքի միջոցով։ 

Այս ենթադրությունը ամրապնդում է ևս մեկ փաստ․ կայքերում կրկնվում է 10 կիլոբայթից մեծ՝ թվային տվյալներով ամբողջությամբ նույնական 476 պատկեր, որոնք յուրաքանչյուր կայքում սովորաբար ունեն տարբեր՝ ավտոմատ ստեղծված անուններ։

Այս երկու ցուցիչները թույլ են տալիս կլաստերում ներառել նաև մնացած երկու կայքերը։ Միայն ենթակառուցվածքային և մետատվյալների ցուցիչներով 18 կայքից 16-ը կապված են միմյանց հետ, իսկ reportarmenia.am-ը և yerevanpress.am-ը մնում են այդ կապերից դուրս։ Սակայն 18 կայքերն օգտագործում են ֆայլերի անվանման նույն «հատուկ այբուբենը», և յուրաքանչյուր կայքում առկա են պատկերներ, որոնք օգտագործվել են նաև կլաստերի մյուս կայքերում։ Հենց այս երկու հատկանիշներն էլ թույլ են տալիս կլաստերում ներառել reportarmenia.am-ը և yerevanpress.am-ը․ առաջինը մյուս կայքերի հետ ունի 93, երկրորդը՝ 83 նույնական պատկեր, և երկուսն էլ օգտագործում են նույն «հատուկ այբուբենը»։

Նույն չափումը կիրառել ենք նաև հետաքննության մյուս երկու կլաստերների նկատմամբ։ «Հատուկ այբուբենը», ըստ էության, հանդիպում է միայն երկրորդ կլաստերում, ինչը հաստատում է, որ այս օրինաչափությունը չափման մեթոդի արդյունք չէ։

Ավելին, 2026-ի մայիսի 13-ին թվային տվյալներով նույնական պատկերային ֆայլը 45 րոպեի ընթացքում հրապարակվել է 15 կայքում։ Յուրաքանչյուր կայք այն պահպանել է նոր՝ պատահականորեն ստեղծված ֆայլանունով, արդեն այլ անվանման համակարգով։ Այդ օրվանից ի վեր կայքերից ոչ մեկն այլևս չի օգտագործել «հատուկ այբուբենը», ինչը վկայում է ընդհանուր գործիքակազմի կենտրոնացված կառավարման մասին։

Նույն պատկերի տարածումը ևս ցույց է տալիս, որ այն կլաստերի բոլոր կայքերում հրապարակվել է համակարգված ձևով։ 18 կայքերից 16-ում պատկերը հրապարակվել է բայթ առ բայթ նույնական PNG ֆայլով՝ ներառյալ նույնական փոքրացված տարբերակները (thumbnail)։ Մյուս երկու կայքերում նույն պատկերը հաջորդ առավոտ հրապարակվել է JPEG ձևաչափով՝ դարձյալ միմյանց լիովին նույնական ֆայլերով։ Բոլոր կայքերում այն նույն հոդվածի գլխավոր պատկերն է։ Հոդվածները հրապարակվել են URL-ների նույնական վերջնամասերով և պատմում են, թե ինչպես են ոմն ամերիկացի լրագրողներ վարչապետ Փաշինյանին մեղադրում Հայաստանի դեմ «տնտեսական ահաբեկչություն» իրականացնելու մեջ։ Ֆայլերի ու հոդվածների URL-ների նույնականությունը, ինչպես նաև դրանց գրեթե միաժամանակյա հրապարակումը վկայում են, որ բովանդակությունը պատրաստվել և տարածվել է մեկ կենտրոնից, ոչ թե տարբեր խմբագրությունների անկախ որոշմամբ։

Ենթակառուցվածքային մեկ այլ կարևոր կապ է 208.109.215.186 ընդհանուր IP հասցեն, որտեղ միաժամանակ տեղակայված են վեց դոմեն՝ hayreniknews.am-ը, armreporter.am-ը, armenianews24.am-ը, armenianjournal.am-ը, arevmedia.am-ը և yerevantimes.am-ը։ Դրանցից յուրաքանչյուրը այս հասցեին է տեղափոխվել 2025-ի նոյեմբերից 2026-ի հունվարն ընկած ժամանակահատվածում։ Գրեթե միաժամանակ կատարված տեղափոխությունները, ինչպես նաև 2025-ի նոյեմբերի 18–29-ը սեղմ ժամանակահատվածում վկայագրերի վերաթողարկումը հուշում են, որ կայքերը կարող էին համակարգված կերպով տեղակայվել նույն օպերատորի կողմից։

Մեկ այլ ընդհանուր հոսթինգի կապ կա armbreaking.com-ի և haypressinfo.com-ի միջև․ երկուսն էլ տեղակայված են 31.210.50.51 IP հասցեում, գրանցվել են ընդամենը չորս օրվա տարբերությամբ՝ 2025-ի նոյեմբերի 25-ին և 29-ին, և օգտվել են նույն՝ Ultahost մատակարարից։

Ինչ վերաբերում է հոդվածների հեղինակներին, մի քանի կայքերում հանդիպում են նույն անունները։ Օրինակ՝ armreporter.am-ում և newsyerevan.am-ում որպես հեղինակ նշված են Ժորա Պողոսյանը, Իշխան Ստեփանյանը և Լեռնիկ Յավրյանը։ armbreaking.com-ում և haypressinfo.com-ում ընդհանուր հեղինակներ են Զարուհի Գուլումյանն ու Սեդա Բեգլարյանը, իսկ armword.am-ում և newsyerevan.am-ում՝ Էդուարդ Մուրադյանը։ Սակայն այս անուն-ազգանուններով իրական լրագրողների մեզ չհաջողվեց գտնել, ուստի, ամենայն հավանականությամբ, դրանք հորինված անուններ են։

Ստորև աղյուսակում ամփոփված են կլաստերի կայքերի միջև բոլոր զույգային կապերը։ Յուրաքանչյուր վանդակի գույնը ցույց է տալիս տվյալ զույգի միջև հայտնաբերված ամենաուժեղ ցուցիչի մակարդակը։ Այստեղ նկարագրված ընդհանուր հոսթինգի, հեղինակների և մետատվյալների կապերը ներկայացված են կարմիր և նարնջագույն վանդակներով։

Պատկերների մետատվյալները ևս մեկ լրացուցիչ կապ են ցույց տալիս armreporter.am-ի և hayreniknews.am-ի միջև։ Ֆայլերում պահպանված ստեղծման ժամկետները ցույց են տալիս, որ սկզբնական երկու փաստաթղթերը ստեղծվել են ընդամենը մի քանի րոպեի տարբերությամբ, ինչը հուշում է, որ դրանք մշակվել են նույն խմբագրման ընթացքում։ Սա ևս վկայում է բովանդակության ընդհանուր աղբյուրի կամ հրապարակման միասնական գործընթացի մասին, սակայն չի բացահայտում, թե որ համակարգչով է կատարվել խմբագրումը։ 

Ցանցի տարբեր կայքերում հանդիպող ավելի թույլ տեխնիկական համընկնումները (նույն տեսախցիկների մոդելներն ու պատկերների ստեղծման համար օգտագործված Photoshop-ի նույն տարբերակը, որոնք ներկայացված են ցուցիչների աղյուսակում) ևս լրացնում են ընդհանուր պատկերը, սակայն չափազանց տարածված են՝ առանձին վերցրած նշանակալի ցուցիչ համարվելու համար։ Կապը լրացնում է նաև կայքերի կառուցվածքային նմանությունը․ ստորև ներկայացված են կլաստերի՝ էջերի ներքին կառուցվածքով առավել նման երկու զույգերը։

Կլաստեր 3․ թուրքական լրատվամիջոցներ

Թուրքական կայքերն ու դրանց նշանակությունը տարբերվում են առաջին երկու կլաստերների կայքերից։ Դրանք Storm-1516/CopyCop-ի կողմից մեկ կոնկրետ արշավի համար ստեղծված ժամանակավոր կայքեր չեն։ Այս արշավներում հանդիպող թուրքական լրատվամիջոցները կայացած հարթակներ են՝ իրական լսարանով և հստակ խմբագրական ուղղվածությամբ։ Դրանց թվում առկա են ազգայնական, ձախակողմյան, իսլամիստական և պետական աջակցություն ստացող լրատվամիջոցներ։ Ուսումնասիրված նարատիվները սովորաբար համահունչ են այն լրատվամիջոցի խմբագրական ուղղվածությանը, որտեղ առաջին անգամ հայտնվում են։ Սա ևս համապատասխանում է Storm-1516-ի գործելակերպին՝ բովանդակությունը հարմարեցնել տվյալ լսարանի նախասիրություններին։ Վերոնշյալ նարատիվների կեսից ավելին սկզբում հրապարակվել է հենց այս լրատվամիջոցներում, ապա լայնորեն տարածվել Storm-ի հետ կապված X հաշիվների միջոցով։

Ըստ VIGINUM-ի և Ռազմավարական երկխոսության ինստիտուտի (Institute for Strategic Dialogue, ISD)՝ ցանցն աստիճանաբար հեռանում է հեշտ բացահայտվող կեղծ կայքերից և արհեստական բանականությամբ ստեղծվող բովանդակության ֆերմաներից՝ անցնելով «նարատիվների լվացման» ավելի բարդ մեխանիզմի։ Հորինված պատմությունները նախ հրապարակվում են արտասահմանյան գործող լրատվամիջոցներում, ապա լայնորեն տարածվում համակարգված բոտային ցանցերի և ազդեցիկ հաշիվների միջոցով՝ այդպիսով թաքցնելով տեղեկության ռուսական ծագումը։ Այս հետաքննությամբ լրացուցիչ ապացույցներ չեն հայտնաբերվել, որ այդ կայքերը իրականացնում են նման գործունեություն։ Միևնույն ժամանակ, Storm-1516-ի՝ X-ում գործող ցանցը տարածում էր այդ հոդվածները՝ ներկայացնելով որպես «թուրքական լրատվամիջոցների հրապարակումներ»՝ տպավորություն ստեղծելու, թե նարատիվները հաստատվել են անկախ աղբյուրների կողմից։

Արտաքուստ միմյանցից անկախ այս լրատվամիջոցների միջև ենթակառուցվածքային կապերի առկայությունը ստուգելու համար կիրառել ենք առաջին և երկրորդ կլաստերների վերլուծության նույն տեխնիկական մեթոդաբանությունը։ Սակայն, ի տարբերություն նախորդ երկու կլաստերների, այս դեպքում վերլուծությունը համակարգված գործունեության որևէ նշանակալի ցուցիչ չի հայտնաբերել։

Ենթակառուցվածքային տվյալների ուսումնասիրությունը ևս չի հաստատում, որ կայքերը կառավարվում են նույն օպերատորի կողմից։ Որևէ երկու դոմենի միջև ընդհանուր հետագծման նույնականացուցիչներ չեն հայտնաբերվել՝ ոչ Google Analytics-ի, ոչ AdSense-ի, ոչ Facebook Pixel-ի, ոչ էլ Yandex Metrika-ի ընդհանուր ID-ներ։ Դոմենների գրանցման տվյալները կա՛մ թաքցված են գաղտնիության պաշտպանության ծառայությունների միջոցով (Domains By Proxy, PrivacyProtect.org), կա՛մ կապված էին միմյանց հետ առնչություն չունեցող կազմակերպությունների հետ։ Գործիքը հայտնաբերել է միայն մեկ ընդհանուր հատկանիշ․ «Kamil Erdoğdu» անունով հեղինակը նշված է ինչպես aydinlik.com.tr-ում, այնպես էլ cgtnturk.com-ում։ Սակայն սա, ամենայն հավանականությամբ, տեղական լրատվամիջոցի և պետական հեռարձակողի թուրքալեզու ծառայության միջև նյութերի սովորական վերահրապարակման արդյունք է, ոչ թե քողարկված համակարգված գործունեության նշան։ Կայքերի էջերի կառուցվածքի համեմատությունը ևս էական նմանություն չի ցույց տվել։

Մի քանի դոմեն օգտագործում է նույն երրորդ կողմի գովազդային և վերլուծական հարթակները, այդ թվում՝ jsc.idealmedia.io-ն և cdn2.bildirt.com-ը։ Սակայն սա ավելի շուտ բնորոշ է Թուրքիայի թվային մեդիա միջավայրին և չի վկայում ենթակառուցվածքի կանխամտածված համատեղ օգտագործման մասին։ Որոշ դեպքերում հայտնաբերվել է նաև նույն IP հասցեի օգտագործում։ Օրինակ՝ aydinlik.com.tr-ը, odatv.com-ը և ulusal.com.tr-ը տարբեր ժամանակներում կապված են եղել 195.142.135.35 հասցեի հետ։ Սակայն երեք կայքերը երբեք միաժամանակ չեն տեղակայվել այնտեղ։ aydinlik.com.tr-ը նույն IP հասցեում եղել է միայն մեկ օր՝ 2022-ի փետրվարի 19-ին, երբ մյուս երկու կայքերը դեռ այդ հասցեն չէին օգտագործում։ Իսկ odatv.com-ը այնտեղ հայտնվել է միայն 2023-ի սեպտեմբերի 8-ին՝ այն ժամանակ, երբ ulusal.com.tr-ն արդեն հունիսի 16-ից օգտագործում էր այդ հասցեն։ IP հասցեների մյուս թվացյալ համընկնումները ևս չեն կարող կայքերի միջև կապի ապացույց համարվել։ Դրանք վերաբերում են Cloudflare-ի 104.21.x և 8.x anycast հասցեների տիրույթներին (AS13335) և պայմանավորված են CDN ծառայության աշխատանքով, ոչ թե նույն հոսթինգի օգտագործմամբ։

Այսպիսով, այս հետաքննությունը փաստագրում է Հայաստանի դեմ ուղղված ռուսական տեղեկատվական երկարատև գործողությունը՝ 2026-ի հունիսին կայացած խորհրդարանական ընտրություններից առաջ։ Կայքերի տեխնիկական վերլուծությամբ բացահայտվել է համակարգված ենթակառուցվածքով երկու կլաստեր։ Առաջինում ընդգրկված անգլալեզու և ֆրանսալեզու կայքերի էջերի կառուցվածքային նմանությունը հասել է մինչև 88 տոկոսի։ Երկրորդը կազմված է հայալեզու կայքերից, որոնք միմյանց հետ կապված են պատկերների անվանման յուրահատուկ համակարգով։ Այդ օրինաչափությունը վկայում է, որ կայքերում կարող է օգտագործվել նույն՝ հատուկ մշակված հրապարակման գործիքը։

Հայալեզու հոդվածներում մնացած ռուսերեն բառերը հուշում են, որ բովանդակությունը պատրաստողները, ամենայն հավանականությամբ, ռուսախոս են և օգտվում են ավտոմատ թարգմանությունից։ Նման սխալները կարող են աննկատ մնալ ընթերցողների մեծ մասի համար, սակայն բացահայտվում են տեխնիկական վերլուծության միջոցով։

Գործողությունը հիմնականում ուղղված էր արևմտյան և սփյուռքի լսարաններին․ հրապարակումների 91 տոկոսն անգլերեն էր։ Սա հուշում է, որ դրա հիմնական նպատակը ոչ այնքան հայ ընտրողների վրա անմիջական ազդեցություն գործելն էր, որքան արտաքին լսարանների շրջանում Հայաստանի և նրա ղեկավարության վերաբերյալ ընկալումներ ձևավորելը։

Հետաքննությունը նաև ցույց է տալիս, որ Storm-1516-ը կարող է արդեն գործող ենթակառուցվածքն արագորեն ուղղել նոր երկրի կամ տարածաշրջանի դեմ։ Սա այն դարձնում է շարունակաբար գործող և փոփոխվող պայմաններին հարմարվող տեղեկատվական մանիպուլյացիայի ցանց։