Investigația pe care autoritățile române refuză să o facă. Firele operațiunii de kompromat duc către grupul Realitatea Plus

Emilia Şercan

Știri

13/07/2022

*** 

Londra, 30 iunie 2022. Mă pregătesc să închei prezentarea de o oră pe care am ținut-o la Conferința de vară 2022 a The Centre for Investigative Journalism, o organizație profesională din Marea Britanie care se definește drept „un laborator experimental care îi învață pe reporteri noi instrumente, alături de meseria tradițională a jurnalismului de investigație”.

Am fost invitată să le vorbesc zecilor de jurnaliști de investigație din amfiteatrul de la Goldsmiths, University of London, despre cei șapte ani în care am descoperit zeci de plagiate în tezele de doctorat ale celor mai puternici oameni din România și despre rețelele de influență prin care se protejează unii pe ceilalți. 

În „laboratorul experimental” de la University of London jurnaliști de investigație din întreaga lume își împărtășesc, în fiecare an, experiențele. Printre ei s-au numărat, în 2019, Maria Reesa, jurnalista filipineză care anul trecut a primit Premiul Nobel pentru Pace, și Christo Grozev, jurnalistul de investigație bulgar care a condus, printre altele, investigațiile Bellingcat despre implicarea GRU, serviciul militar de informații a Rusiei, în otrăvirea lui Aleksei Navalnîi (2020) și a lui Serghei și a Iuliei Skripal (2018).

Mi-am intitulat prezentarea „Copy, Lie, Smear” - „Copiați, mințiți, defăimați”. 

Spre final le-am vorbit jurnaliștilor de investigație prezenți despre operațiunea de kompromat orchestrată în februarie de autoritățile statului, care au scurs o probă dintr-un dosar penal pentru a mă discredita.

Proba e o captură de ecran a unui mesaj primit pe Facebook de la un necunoscut care mi-a trimis cinci fotografii personale, realizate în urmă cu aproape 20 de ani. 

Respectivele fotografii mi-au fost furate, iar apoi încărcate pe zeci de site-uri pentru adulți. 

Am reclamat furtul fotografiilor și violarea vieții private la poliție, însă acea captură de ecran a mesajului de pe Facebook - devenită probă într-un dosar penal - a fost publicată la 40 de minute după ce am părăsit secția de poliție pe un site din Republica Moldova deținut de fugarul Cristian Rizea, condamnat definitiv la 4 ani și 8 luni de închisoare. 

Le-am vorbit jurnaliștilor de investigație și despre operațiunea de mușamalizare a kompromatului pusă la cale imediat după ce am descoperit că din Poliția Română s-a scurs captura de ecarn.

„Acum, autoritățile din România încearcă să îngroape investigația referitoare la scurgerea unei probe dintr-un dosar penal astfel încât cei vinovați să scape.

Dacă e cineva care cunoaște pe cineva care mă poate ajuta să găsesc proprietarii site-urilor care au publicat fotografiile, vă rog mult să îmi spuneți”, mi-am încheiat prezentarea.

Câțiva jurnaliști prezenți în sală au venit la mine să mă felicite pentru munca mea sau să mă întrebe lucruri tehnice despre plagiat.

La câțiva metri, în lateral, mă aștepta un bărbat îmbrăcat într-o cămașă albă, pe care îl observasem așezat undeva în primele rânduri ale amfiteatrului.

S-a apropiat de mine și mi-a spus că știe exact care este persoana de care am nevoie. Am făcut schimb de cărți de vizită.

Câteva ore mai târziu, mă pusese deja în contact cu Tord Lundström, șeful departamentului Digital Forensic Investigations la Qurium - The Media Foundation, o fundație suedeză care militează pentru libertatea de exprimare, drepturile omului și ale jurnaliștilor. 

A doua zi dis de dimineață, pe 1 iulie 2022, acesta își începea investigația despre cei aflați în spatele operațiunii de kompromat.

***

Echipa de specialiști în securitate cibernetică coordonată de Tord Lundström a făcut public pe 11 iulie, la zece zile după ce a demarat propria investigație, raportul de expertiză și concluziile la care a ajuns.

Investigația suedezilor de la Qurium s-a axat pe verificarea a trei site-uri:  patrianoastra[.]com, realitateadinmoldova[.]md și realitateadinmoldova[.]net. 

Toate aceste site-uri au publicat un număr de cinci fotografii care provin dintr-o infracțiune cibernetică, iar patrianoastra[.]com și realitateadinmoldova[.]md au publicat și o probă scursă din Poliția Română. 

În data de 18 februarie, am depus o plângere penală în care am reclamat că o probă pe care am dat-o unei subcomisare cu o zi înainte a fost scursă imediat după ce am părăsit sediul poliției și publicată pe site-ul realitateadinmoldova[.]md, care îi aparține fugarului Cristian Rizea, fost deputat PSD, a cărui extrădare este tergiversată din 2019 încoace. 

Pe 21 februarie, șeful Poliției Române, chestorul Benone Matei, mi-a prezentat o analiză făcută de Unitatea Centrală de Analiză a Informaţiilor din care reieșea că proba cu pricina a fost publicat prima dată pe site-ul patrianoastra[.]com, și nu pe realitateadinmoldova[.]md a lui Rizea. 

Analiza Poliției Române indica faptul că site-ul patrianoastra[.]com a publicat acea probă la ora 05:45 în dimineața de 17 februarie, adică cu 4 ore și 44 de minute înainte ca eu să i-o fi dat polițistei, la ora 10:29. 

Acea analiză a Unității Centrale de Analiză a Informaţiilor exonera Poliția Română, practic, de orice vină. 

Echipa de investigație de la Qurium, coordonată de Tord Lundström, a găsit dovezi incontestabile că analiza Poliției Române nu reflectă realitatea, confirmând un set de concluzii formulate anterior de o expertiză Bitdefender: patrianoastra[.]com nu a publicat captura de ecran la 17 februarie,  ora 05:45 dimineața, ci ulterior, pe 18 februarie, la ora 10:14. 

Deși prin mai multe cereri și plângeri penale am solicitat Parchetului de pe lângă Curtea de Apel București, care anchetează cazul, să investigheze site-ul patrianoastra[.]com, acest lucru nu s-a întâmplat. 

În concluzie, raportul de expertiză realizat de Qurium va fi depus la dosar și va furniza dovezile pe care autoritățile statului român au refuzat să le adune. 

Iată ce au descoperit experții suedezi despre site-ul patrianoastra[.]com: 

patrianoastra[.]com - un site fantomă

Investigația Qurium a pornit de la premisa că un raport a Poliției Române a indicat site-ul patrianoastra[.]com ca fiind primul site care a publicat captura de ecran pe care eu am dat-o poliției în data de 17 februarie. 

Site-ul patrianoastra[.]com a fost înregistrat în aprilie 2020 pe Namecheap, un registrator acreditat, care oferă servicii de înregistrare pentru nume de domenii și găzduire web cu sediul în Phoenix, Arizona, SUA. 

Qurium a obținut o copie completă a site-ului patrianoastra[.]com și a verificat proveniența tuturor articolelor, inclusiv data și ora de publicare a acestora.

Analiza indică faptul că toate articolele publicate pe patrianoastra[.]com reprezintă preluări de tip copy-paste ale unor texte de pe următoarele site-uri: digi24[.]ro; digisport[.]ro; elle[.]ro; agerpres[.]ro; sport[.]ro; stirileprotv[.]ro; realitatea[.]net; ziare[.]com și antena3[.]ro. 

Constatarea Qurium: patrianoastra[.]com nu a publicat niciun text original de la lansarea sa, întreg conținutul fiind copiat din alte surse. 

***

Specialiștii suedezi au analizat și referința la sursa articolelor, menționată pe site cu formula „Sursa:”, dar și frecvența de publicare a articolelor. 

Toate textele de pe patrianoastra[.]com au fost publicate sub numele de utilizator asdzxcqwe123/Patriot, frecvența acestora fiind de 3-5 articole pe lună și niciodată mai mult de două articole pe zi, în zilele în care a publicat conținut.

„Am extras momentul în care a fost postat fiecare articol și am observat că, chiar înainte ca site-ul să fie scos din funcțiune, nu mai puțin de 11 articole au fost postate în februarie 2022, ceea ce reprezintă 10% din numărul total de articole pe care le-am colectat de la lansarea sa în aprilie 2020”.

Constatarea Qurium: Site-ul a postat în medie 3-5 articole pe lună timp de aproape doi ani. În februarie 2022, a postat 11 articole. Prin urmare, a existat o creștere bruscă a numărului de articole publicate în februarie 2022, după ce proba și pozele furate au fost făcute publice, și chiar înainte ca site-ul să fie scos din funcțiune.

***

Pentru o analiză mai bună a datelor, Qurium a creat o bază de date proprie în care a inclus fiecare articol, data publicării acestuia și sursa de proveniență pentru fiecare text în parte. 

Specialiștii suedezi în cyber security au constatat existența a două grupuri de articole care nu conțineau mențiunea „Sursa:”.

Primul grup este format din 16 materiale datate 9 aprilie 2020, la o săptămână după ce domeniul patrianoastra[.]com a fost înregistrat. Aceste articole au fost postate, cel mai probabil, pentru a lansa conținutul inițial. 

După 9 aprilie 2020, timp de aproape doi ani, toate articolele au conținut mențiunea „Sursa:” până la 17 februarie 2022, data la care Poliția Română pretinde în analiza sa că a fost publicată pe patrianoastra[.]com proba din dosarul penal și fotografiile care mi-au fost furate. 

Al doilea grup de articole care nu conține mențiunea „Sursa:” a fost publicat în perioada 17-26 februarie 2022.

Constatarea Qurium: Timp de aproape doi ani, patrianoastra[.]com a inclus întotdeauna o referință de tip „Sursa:” la articolele pe care le-a republicat, excepție făcând toate articolele postate începând cu data de 17 februarie 2022, ziua în care a fost declanșată operațiunea de kompromat.

***

Qurium a investigat cele opt articole fără sursă, publicate după 17 februarie, și a descoperit câteva tipare interesante:

1. Articolele au lăsat urme că au fost prelucrate pe un computer care folosește Windows, după care au fost transferate cu „copy-paste” într-un server Linux.

2. Toate articolele includ textul HTML <p> publicat în data de  ## februarie 2022, ora ##:##<p>. Atunci când ora de publicare este inclusă automat de platforma Wordpress, acesta începe întotdeauna cu literă mare, adică <P>. Doar dacă ora este adăugată manual atunci va apărea cu <p>. 

3. Analiza plugin-urilor de pe arată cu nu există nicio bucată de cod care să creeze intrarea „publicat la data de...”. Această intrare, „ora publicării”, a fost adăugată manual de către editor la crearea articolelor.

Specialiștii Qurium au stabilit că editorul acestor opt articole a făcut un efort deosebit: 

1. pentru a nu include nicio referire la sursa articolelor;

2. pentru a include manual o oră de publicare pentru fiecare articol, care a fost codificată în HTML-ul articolului însuși.

Constatarea Qurium: Ultimele opt articole publicate pe patrianoastra[.]com au fost editate special pentru a include data publicării codificată în HTML-ul articolului și pentru a nu include „Sursa:”, mai exact site-ul de pe care au fost copiate textele. 

***

Qurium a verificat în mod independent data și ora de publicare a capturii de ecran și a fotografiilor care mi-au fost furate pentru a stabili dacă articolul a fost publicat cu adevărat în data de 17 februarie 2022 la ora 5:45 AM, așa cum se menționează în analiza Poliției Române.

Investigatorii suedezi au reconfirmat constatările făcute de Bitdefender, care a investigat inițial cazul, constatări pe care le-am făcut publice deja la finalul lunii mai.  

Analiza metadatelor incluse în imaginile publicate de patrianoastra[.]com relevă faptul că proba scursă din dosar și fotografiile au fost încărcate pe 18 februarie 2022, în intervalul 10:14 - 10:15. 

Constatarea Qurium: Metadatele din imaginile incluse în articolul patrianoastra[.]com indică faptul că imaginile au fost încărcate pe 18 februarie 2022 și nu pe 17 februarie, așa cum sugerează codul HTML.

***

În seara de 19 iunie, într-un interviu pe care i l-am acordat jurnalistei Sorina Matei la postul de televiziune Aleph News, am declarat că fotografiile încărcate pe site-ul fugarului Cristian Rizea, realitateadinmoldova[.]md, au fost șterse la începutul lunii mai. 

De pe site-ul patrianoastra[.]com dispăruseră odată cu ștergerea completă a site-ului constatată de mine pe data de 10 martie 2022. 

Ștergerea imaginilor de pe site-ul lui Rizea a fost rezultatul efortului de peste două luni depus de o organizație non-guvernamentală din Statele Unite ale Americii, care militează pentru securitate în spațiul online, și care oferă asistență în situații de încălcare a drepturilor civile pe internet în special jurnaliștilor și militanților civici. 

A doua zi după ce am făcut această declarație, fotografiile au fost din nou postate, însă de această dată nu a mai fost făcută publică și captura de ecran scursă din Poliția Română. 

De ce nu a fost publicată această imagine dacă ea nu e una problematică? 

Prima dată, potrivit metadatelor colectate, fotografiile au fost publicate de site-ul realitateadinmoldova[.]net, la 20 iunie 2022, ora 06:56. Domeniul acestui site este deținut, potrivit informațiilor descoperite de investigatorii Qurium, de o firmă care-i aparține Alexandrei Păcuraru, iar serverul unei firme a lui Cosmin Sorin Păcuraru, ambii copiii omului de afaceri Maricel Păcuraru.

După 17 minute, la ora 07:13, imaginile au apărut într-o formă identică pe site-ul realitateadinmoldova[.]md, deținut de Cristian Rizea. 

Deși site-urile realitateadinmoldova[.]net și realitateadinmoldova[.]md pot fi ușor confundate, ele nu sunt unul și același. 

Bunăoară, realitateadinmoldova[.]net este înregistrat în Statele Unite, pe când realitateadinmoldova[.]md este înregistrat în Republica Moldova. 

Un alt material care a făcut trimitere cu link către textul de pe realitateadinmoldova[.]net, în care sunt publicate fotografiile, a fost distribuit ulterior pe 45 de site-uri într-un interval de 1 minut și 37 de secunde. 

Toate aceste site-uri aparțin grupului media Realitatea, patronat de copiii lui Maricel Păcuraru, condamnat la închisoare în dosarul „Poșta Română”. 

Reconstrucția unui calendar editorial:

Republicarea în iunie a fotografiilor pe un site care aparține familiei Păcuraru arată că nici preluarea link-ului către site-ul lui Rizea, în februarie, de către circa 60 de site-uri care aparțin grupului Realitatea nu a fost o întâmplare, ci a fost parte a aceleiași operațiuni de discreditare pusă la punct prin intermediul unui site din afara României, deținut de un fost deputat PSD care se sustrage de la executarea pedepsei cu închisoarea. 

Ambele momente arată ca aceste două operațiuni masive de discreditare, orchestrate prin inundarea internetului cu zeci de articole denigratoare și neasumate printr-o semnătură, s-au bazat pe proba scursă din poliție și pe informația că mai multe fotografii personale ale mele, care îmi fuseseră furate, erau încărcate pe zeci de site-uri pentru adulți. 

Analiza realizată de specialiștii Qurium a scos la lumină date incontestabile care arată că domeniul site-ul realitateadinmoldova[.]net este deținut de Alexandra Păcuraru, iar serverul de către Cosmin Păcuraru, copiii patronului din umbră a postului Realitatea Plus.

Aceste informații pun într-o nouă lumina operațiunea de kompromat. 

Iată care sunt descoperirile făcute de investigatorii suedezi despre site-ul realitateadinmoldova[.]net: 

realitateadinmoldova[.]net

Domeniul realitateadinmoldova[.]net este înregistrat pe numele firmei Prestige Media PHG SRL, care o are ca acționar unic pe Alexandra-Beatrice Bertalan-Păcuraru. 

Alexandra Păcuraru este fiica lui Maricel Păcuraru, proprietarul neasumat al postului de televiziune Realitatea Plus. 

Specialiștii Qurium au identificat mai multe domenii care încep cu realitatea###[.net|.ro|.md] (realitateadin… sau realitateade…), și care au servere comune în Clouldflare, o platformă cloud globală pentru conectare la internet. 

Qurium a reușit să obțină date referitoare la IP-ul care găzduiește site-ul  realitateadinmoldova[.]net în spatele Cloudflare și astfel a descoperit că acesta aparține firmei CompactView MP SRL.

Constatarea Qurium: realitateadinmoldova[.]net este găzduit la adresa IP 77.81.101[.]116 în spatele Cloudflare CDN.

Firma CompactView MP SRL este deținută de Cosmin Sorin Păcuraru, cu o participație de 99% și de Petruța Mocanu, cu 1%, administrator fiind Cosmin Sorin Păcuraru, fiul lui Maricel Păcuraru. 

Constatarea Qurium: Articolul care a republicat în 20 iunie fotografiile furate este găzduit în infrastructura Realitatea/Global Network System SRL prin intermediul CompactView MP SRL. Ambele companii (Global Network System SRL și CompactView MP SRL) îl au acționar pe Cosmin Sorin Păcuraru.

***

În timp ce verificau site-urile înregistrate de Prestige Media PHG, specialiștii suedezi au descoperit trei domenii care au date de proprietate comune: testpentru[.]site, partidulrealitatea[.]net și partidulrealitatea[.]com.

Domeniul testpentru[.]site împarte locația de găzduire cu mai multe site-uri din grupul Realitatea.

Potrivit paginii de Facebook realitateadinmoldova[.]net, site-ul folosește adresa de e-mail locale{@}realitatea.net.

Această adresă de contact este utilizată de cele mai multe dintre site-urile realitateadin### sau realitateade###. 

De exemplu, site-ul realitateadeneamt[.]net - care este site-ul local dedicat județului Neamț al grupului Realitatea - nu are adresă de mail găzduită de propriul site, ci este găzduită de site-ul realitatea.net. Mai exact, această adresă este locale{@}realitatea.net. 

***

Site-ul care a publicat pentru prima dată captura de ecran scursă dintr-un dosar instrumentat de Poliția Română este realitateadinmoldova[.]md, deținut de infractorul fugar Cristian Rizea. 

Legăturile lui Rizea cu postul de televiziune Realitatea Plus, dar și cu patronul din umbră al acestuia, Maricel Păcuraru, sunt mai mult decât evidente. 

Site-ul deținut de Rizea - realitateadinmoldova[.]md - are aceeași denumire cu cea a entității media care și-a căpătat notorietatea în România sub numele de Realitatea. 

Chiar și firma care a deținut realitateadinmoldova[.]md până în luna mai se numește Realitatea-PHG SRL. 

Acronimul PHG se regăsește în mai multe firme deținute în trecut de Maricel Păcuraru, iar în prezent, de copiii acestuia. 

Firma Realitatea-PHG SRL, care e înregistrată în Republica Moldova, îi are ca asociați cu participații egale, de câte 50%, pe Cristian Rizea și pe Iulian Ditcov. 

Ditcov a fost condamnat definitiv în 2014 la 3 ani și 6 luni de închisoare cu executare în dosarul „Poșta Română”, în care a fost condamnat și Maricel Păcuraru, tatăl Alexandrei Păcuraru, patroana din acte a televiziunii Realitatea Plus. 

Rizea însuși este invitat frecvent la Realitatea Plus în diverse emisiuni din prime-time-ul postului. 

Iată care sunt informațiile descoperirile de investigatorii suedezi despre site-ul realitateadinmoldova[.]md: 

Sursa originală: realitateadinmoldova[.]md

Articolul care a publicat captura de ecran devenită probă într-un dosar penal a apărut pe realitateadinmoldova[.]md în data de 17 februarie, ora 14:51.

Îi transmisesem acea captura de ecran unei subcomisare la ora 10:29, deci cu 4 ore și 22 de minute mai devreme de apariția pe site-ul lui Rizea. 

Qurium a verificat înregistrarea domeniului realitateadinmoldova[.]md și a confirmat că acesta a fost deținut la momentul publicării capturii de ecran și a fotografiilor, în februarie 2022, de firma Realitatea-PHG SRL, înregistrată în Republica Moldova. 

Datele despre proprietarii site-ului realitateadinmoldova[.]md le-am făcut publice într-o anchetă proprie la finalul lunii mai. 

Tot din luna mai, proprietarul realitateadinmoldova[.]md figurează ca fiind Cristian Mihai, adică Cristian Rizea. 

Acesta și-a schimbat numele pe cale legală în Republica Moldova, astfel că acum apare în toate actele oficiale ca fiind Cristian Mihai. 

Site-ul realitateadinmoldova[.]md este găzduit la adresa IP 66.29.143{.}36.

Constatarea Qurium: realitateadinmoldova[.]md este găzduit la adresa IP 66.29.143{.}36,  a fost înregistrat pe numele Realitatea-PHG SRL, iar acum este deținut de Cristian Mihai (alias Cristian Rizea).

Concluziile Qurium

Investigația criminalistică a Qurium arată că articolele de pe site-ul patrianoastra[.]com publicate în cursul lunii februarie 2022 au fost special create cu textul „publicat în data de 17 februarie, la #:##” pentru a manipula ora reală de publicare.

Analiza imaginilor din articolul intitulat «dezvaluiri-explozive-din-românia-ce-ascunde-emilia-sercan» conține informații în metadate care indică faptul că imaginile au fost încărcate pe server în data de 18 februarie și nu la data de 17 februarie, așa cum sugerează ancheta poliției și cum apare afișat în articol.

Data și ora din metadatele imaginilor găsite inițial pe site-ul realitateadinmoldova[.]md sugerează că articolul a fost încărcat prima dată pe acest site și nu pe patrianoastra[.]com.

Domeniul realitateadinmoldova[.]md a fost înregistrat pe numele Realitatea-PHG SRL, iar ulterior a fost schimbat pe numele Cristian Mihai (Rizea), în mai 2022.

Un al doilea articol, care include în continuare fotografiile personale furate, a fost publicat pe 20 iunie pe site-ul realitateadinmoldova[.]net care este găzduit la adresa IP 77.81.101[.]116 în spatele Cloudflare CDN.

Spațiul IP este administrat de firma CompactView MP SRL.

Directorul CompactView MP SRL este Cosmin Sorin Păcuraru care îndeplinește și funcția de administrator al Global Network System, care a dezvoltat aplicația mobilă pentru Realitatea TV.

Probele analizate, printre care copiile de rezervă complete ale site-urilor implicate (este vorba despre realitateadinmoldova[.]net și realitateadinmoldova[.]md - n.m.) arată că imaginile au fost scurse inițial pe realitateadinmoldova[.]md pentru a fi ulterior redistribuite de alte site-uri, inclusiv realitateadinmoldova[.]net.Ancheta oficială a poliției sugerează că imaginile au fost încărcate inițial pe site-ul patrianoastra[.]com, dar dovezile găsite și analizate în timpul investigației Qurium arată că patrianoastra[.]com a fost cel mai probabil folosit pentru a ascunde sursa reală de distribuire a materialelor.