Russiske Telegram-kanaler: Over 40 nordmenn navngitt og hånet

«Hver utlending som kjemper for Ukraina må vite at alle hans data vil være kjent for denne dødelige verden, og at han selv vil bli ydmyket og drept - eller ydmyket etter døden.»

Meldingen ble publisert i den russiske Telegram-kanalen JokerDPR 12. november i fjor. Faktisk.no har kartlagt russiske Telegram-kanaler og identifisert et nettverk av fire kanaler som har spredt informasjon, personlige opplysninger og hets om flere tusen internasjonale statsborgere som har engasjert seg i krigen i Ukraina, og vist støtte til ukrainere. Nettverket kan kobles til russiske hackermiljøer, viser kartleggingen.

Faktisk.no har identifisert og verifisert over 40 navngitte nordmenn som har fått spredt og lekket informasjon om seg selv på en eller flere av de fire Telegram-kanalene. På listen over nordmenn finner vi:

• 21 nordmenn som har drevet hjelpearbeid eller gitt medisinsk bistand i Ukraina.
• 13 nordmenn som har kriget i Ukraina på ukrainsk side.
• Syv nordmenn som er offentlig ansatte. Flere er politikere eller ansatte i Forsvaret.
• Én nordmann som får direkte drapstrusler. Ni nordmenn som får indirekte drapstrusler eller andre typer trusler.
• To nordmenn som får delt personnummer.
• Én nordmann som får delt bilde av pass.

I august i år ble gründer og administrerende direktør i Telegram, russiske Pavel Durov, arrestert i Frankrike. Durov har også fransk pass, og det er bakgrunnen for at fransk politi nå etterforsker om Telegram har bidratt til kriminelle handlinger ved ikke å moderere og fjerne poster med ulovlig innhold.

Mens Faktisk.no har jobbet med denne artikkelen, har flere nye nordmenn fått spredt informasjon om seg selv på Telegram-kanalene. Gif: Faktisk.no

Navngis etter medieomtale

Informasjon om nordmennene har ligget åpent tilgjengelig på Telegram i opptil halvannet år. Faktisk.no har lastet ned i overkant av 18 000 poster som de fire Telegram-kanalene har publisert siden begynnelsen av krigen, og gjort en nettverksanalyse for å undersøke kanalenes informasjonsspredning, strukturer og forbindelser ved å analysere innhold og delinger.

• Hovedvekten av informasjonen og hetsen som spres om nordmennene er publisert i to av de fire Telegram-kanalene. Faktisk.no har kartlagt at disse kanalene primært driver med det som på engelsk kalles «doxing». Ordet stammer fra hackermiljøer på 1990-tallet og begrepet «dropping documents». I dag brukes ordet «doxing» også om deling av åpen informasjon. Informasjonen de sprer ligger åpent tilgjengelig på Telegram. For ikke å øke spredningen ytterligere, har Faktisk.no valgt å ikke publisere navnene på disse to kanalene.
• De to andre Telegram-kanalene Faktisk.no har kartlagt, JokerDPR og nemeZ1da_ru, har «spesialisert seg» på å publisere lekket informasjon og dokumenter, og publiserer utelukkende dette. Faktisk.no har funnet lekket informasjon om nordmenn gjennom disse kanalene, men mindre enn i de to «doxing»-kanalene. Informasjonen ligger ikke åpent på Telegram, men «skjult» i dokumentene.

Faktisk.no har forsøkt å komme i kontakt med samtlige av de over 40 nordmennene eller deres pårørende, og har snakket med flertallet av dem. Flere forteller at informasjon om dem har blitt spredt på de russiske Telegram-kanalene etter at de har latt seg intervjue i norske medier om sitt engasjement for Ukraina, og at hver gang de ytrer seg kommer det nye poster om dem på Telegram. Flere har opplevd «doxingen» som så skremmende at de ikke vil la seg intervjue til denne artikkelen, i frykt for mer hets.

Få Faktisk.no rett i innboksen. Klikk her for å melde deg på vårt ukentlige nyhetsbrev.

Både i selve postene og i kommentarer blir nordmenn det spres informasjon om hetset og truet. Gif: Faktisk.no

Drapstrusler

De fleste Telegram-postene om nordmennene er skrevet i en nedlatende tone. I tillegg til den ene direkte drapstrusselen, og de ni indirekte drapstruslene og andre typer trusler, så finner Faktisk.no at 31 av nordmennene omtales i krenkende ordlag. Både på russisk, engelsk og norsk. Utsagn som «you will burn in hell», «there will be someone to kill you» og «nazi scum» går igjen.

Flere av dem Faktisk.no har snakket med, sier at de i etterkant av «doxingen» har fått direktemeldinger eller telefonoppringninger med trusler. Flere har sett seg nødt til å slette sine sosiale medier-kontoer.

En nordmann i 50-årene som leverte medisinsk utstyr til Ukraina i starten av krigen, fikk i etterkant spredt informasjon om seg selv på en av de fire russiske Telegram-kanalene.

– De la ut hele adressen min. Til og med leilighetsnummeret. Jeg turte ikke bo der lenger, sier nordmannen.

Han forteller at det gjorde ham så redd at han så seg nødt til å flytte. Ett år etter er han fortsatt kontinuerlig på vakt. Mannen bor nå på en adresse som ikke er offentlig kjent, og Faktisk.no har derfor anonymisert mannen.

Personnummer og pass lekket

Faktisk.no finner at to nordmenn får delt personnummeret sitt i en av de to kartlagte «doxing»-kanalene. En av dem er en nordmann i 40-årene. Han har kriget i Ukraina på ukrainsk side. Han tror personnummeret kan ha kommet på avveie da han delte opplysninger med den ukrainske bataljonen han skulle være en del av.

Faktisk.no har også funnet kopier av en rekke pass som skal tilhøre utenlandske statsborgere som har kriget i Ukraina på ukrainsk side. Publiseringen av passene har skjedd på egne nettsider som knyttes til Telegram-kanalen JokerDPR, en av de fire kartlagte kanalene. Faktisk.no har funnet flere holdepunkter for at det er koblinger mellom de fire Telegram-kanalene.

• Kanalene har sammenfallende innhold ved at de utelukkende sprer informasjon og hets av personer som engasjerer seg i krigen på ukrainsk side, og lekker dokumenter.
• Kanalene har delt hverandres poster flere hundre ganger. Kanalene har også delt andre kanalers poster, så de fire kanalene er ikke kun knyttet til hverandre.
• De to «doxing»-kanalene har overlappende poster, og bruker flere av de samme kanalene som kilde for videresendte poster.
• Nettverksanalysen viser at alle de fire kanalene har en tilknytning til hverandre gjennom delinger, overlappende poster og bruk av kilder. Det er fra før kjent at JokerDPR og «Project Nemesis», gruppen bak kanalen nemeZ1da_ru, er knyttet til det russiske hackermiljøet.

Blant de lekkede passene, har Faktisk.no verifisert at ett av passene tilhører en norsk mann i 30-årene som har kriget på ukrainsk side i Ukraina.

Faktisk.no har vært i kontakt med mannen. Han vet ikke hvordan passet er blitt lekket.

– Det ble tatt kopier av pass og andre dokumenter ved rekrutteringskontoret i Ternopil i Ukraina.

Han vet ikke om og eventuelt hvordan dokumentene kan ha blitt lekket ut av Ternopil.

Ni norske barn

De fleste nordmennene som navngis på de russiske Telegram-kanalene er menn, men det er også norske kvinner som omtales.

Kvinnene hånes seksuelt, for utseende, for å være psykisk ustabile eller for å være dårlige mødre som har forlatt barn og ektemenn hjemme i Norge.

Tekstutdragene er hentet fra Telegram-poster om to ulike norske kvinner som har hjulpet ukrainere. Gif: Faktisk.no

Flere norske kvinner får delt informasjon om barna sine.

– De la ut navn på barna mine, skrev hvor gamle de var, adressen vår. Det rant inn meldinger om hva de skulle gjøre med meg om de fikk tak i meg, sier en norsk kvinne i 30-årene.

Faktisk.no har anonymisert henne av hensyn til barna.

• Faktisk.no finner til sammen ni norske barn som er nevnt i Telegram-poster om en av foreldrene. Ingen av barna nevnes ved navn, men flere omtales med alder, kjønn eller adresse og alle er indirekte identifisert gjennom foreldrene som navngis.
• Åtte av de identifiserte nordmennene får spredt informasjon om ektefeller eller andre familiemedlemmer.

Koblinger til hackergrupper

Den ene av «doxing»-kanalene, der hovedvekten av innholdet om nordmennene er publisert, har også en nettside med samme navn. Den ligner i utseende på en slags Wiki-side og består av navn, informasjon og bilder av det den kaller «fremmedkrigere fra hele verden som kjemper på ukrainsk side i krigen mot Russland». Nettsiden ble nylig utilgjengelig, men Faktisk.no har tidligere hatt tilgang og sett innholdet. Serverne «doxing»-nettsiden har brukt, er lokalisert i Slovakia og i Russland.

Et domenesøk på nettadressen viser at nettsidens opphavsperson er skjult. Domenets IP-adresser peker til tjenesteleverandøren Safe Value Limited, som er tilknyttet Seychellene. Safe Value Limited er en kjent og mye brukt internett-tilbyder.

Samme IP-adresse har på samme tidspunkt også blitt brukt av Rybar, en populær prorussisk Telegram-kanal. Den uavhengige russiske avisen The Bell avdekket i 2022 at personene bak Rybar har tilknytninger til det russiske forsvarsdepartementet og den nå avdøde lederen av Wagner-gruppen.

På kanalen nemeZ1da_ru har det også blitt delt innhold fra en av Telegram-kanalene som tilhører Sandworm-nettverket, et av flere russiske hackermiljøer. I en «Threat Intelligence»-rapport for Google fra april i år har cybersikkerhets-firmaet Mandiant kartlagt Sandworms aktivitet. De mener at Sandworm har spilt en stor rolle i å støtte Russlands militære og at de kan være en statlig-støttet hackergruppe.

Lekket liste med 3200 navn

I juli i år publiserte nemeZ1da_ru, en av kanalene Faktisk.no har kartlagt, en lenke til en nettside med en liste med 3200 navn på personer de mener har kriget i Ukraina på ukrainsk side. I listen finner Faktisk.no flere av nordmennene som er «doxet» på Telegram.

Ifølge artikler i teknologimagasinet Wired og den uavhengige russiske avisen Meduza, er det gruppen RaHDit (Russian Angry Hackers Did It) som står bak Telegram-kanalen nemeZ1da_ru i det som kalles «Project Nemesis». I artiklene hevdes det at den består av tidligere og nåværende russiske etterretningsoffiserer, og amerikanske myndigheter mener at «Project Nemesis» utgjør en trussel og kan komme til å gjennomføre påvirkningsoperasjoner før valget i USA i november.

«Destroy the clowns»

Telegram-kanalen JokerDPR ble først opprettet i oktober i 2019 og fikk nesten 60 000 følgere før den ble blokkert i mars 2022. Senere samme måned ble en ny kanal med likt navn opprettet. I dag har kanalen over 200 000 følgere. Som navnet og bildet til kanalen tilsier, tar avsender(ne) på seg en persona som etterlikner skurken «The Joker» fra Batman-universet. Dette er også tydelig i måten avsender kommuniserer på, og kanalen har uttalt at målet er å «destroy the clowns».

JokerDPR har fått mye oppmerksomhet under krigen, og har blant annet selv hevdet at de bruker både «spioner og hackere» for å skaffe informasjon.

I en cybertrusselanalyse fra Insikt Group på oppdrag for The Irish Information Security Forum, kommer det frem at JokerDPR innhenter sensitiv informasjon om ukrainske myndigheter og militære. Insikt Group mener at det er en «god mulighet for at kanalen også samarbeider med russiske myndigheter».

Varslet PST

Nordmannen Tom Knigge forteller at det ble lagt ut informasjon om ham på Telegram høsten 2023, etter at han hadde transportert utstyr til Ukraina.

– Jeg visste ikke hvor alvorlig jeg skulle ta det, så jeg kontaktet PST. De fortalte at hvis det skulle anmeldes, så måtte det gjøres hos det lokale politidistriktet.

Knigge bestemte seg for å ikke anmelde saken, og heller ikke rapportere det til Telegram.

– Jeg tror ikke det har noe for seg, jeg tror de bare ville tatt det som et tegn på at jeg er skremt og det er jeg ikke. Jeg tenker at det må bety at jeg gjør noe bra, siden de legger merke til det. Det gir meg bare mot til å fortsette arbeidet.

Knigge og minst fire andre nordmenn Faktisk.no har snakket med, sier at de har varslet PST.

PST har som hovedoppgave å forebygge og etterforske alvorlige trusler mot Norges nasjonale sikkerhet. Ifølge dem har de kun ansvar for sikkerheten til myndighetspersoner, som ansatte på Stortinget. Flertallet av nordmennene Faktisk.no har funnet at har fått spredt informasjon om seg selv, er ikke myndighetspersoner. De skal ifølge PST ha fått beskjed om å kontakte sitt lokale politidistrikt.

– Vi har utstrakt kontakt med myndighetspersoner, og enhver type aktivitet de melder ifra om vil vi ta alvorlig, også hvis det gjelder fremmed etterretning, uten at det betyr at dette er en sak vi har registrert at gjelder det. Skulle det vært at en lokalpolitiker eller andre blir tilnærmet, så vil det være naturlig at det håndteres av politidistriktene.

Det sier seksjonsleder i Avdeling for beskyttelse av myndighetspersoner i PST, Olav Rognlid. Han sier at han ikke kjenner til at nordmenn får spredt informasjon og hets om seg selv på Telegram. Rognlid vil ikke svare på om PST har blitt kontaktet av noen av politidistriktene om at nordmenn får spredt informasjon og hets om seg selv på Telegram.

Faktisk.no har spurt PST om når saken blir et nasjonalt sikkerhetsproblem og PST sitt anliggende. PST har ikke svart på dette.

Politianmeldte Telegram-trusler

En nordmann i 40-årene, som har kriget i Ukraina på ukrainsk side, forteller at han etter å ha kommet hjem til Norge, stilte opp i flere intervjuer i norske medier.

– Dagen etter ble jeg hengt ut på Telegram med bilder og personalia. Så gikk det bare en dag før kona mi fikk trusler på SMS fra et ukjent nummer, forteller mannen.

Han politianmeldte truslene i desember 2023. Tre uker senere, i januar 2024 ble saken henlagt med begrunnelsen «ikke forholdsmessig ressursbruk». Det bekrefter politiadvokat Marthe Kvalsvik Rørstad ved Oslo politidistrikt.

Faktisk.no har vært i kontakt med de ulike politidistriktene, og det finnes ingen oversikt over antall anmeldelser som gjelder lekket informasjon og hets på Telegram. Norsk senter for informasjonssikring opplyser at de ikke har mottatt henvendelser relatert til problemstillingen.

Mannen i 40-årene sier at han også meldte fra til PST om innlegget på Telegram. Han sier videre at han ikke forstår hvor de som står bak Telegram-kanalene har fått informasjonen om ham fra.

– Har gått systematisk til verks

Flere av nordmennene Faktisk.no har snakket med, bemerker at de har lurt på hvordan informasjonen som publiseres om dem er funnet. Flere mener at det er blitt skrevet ting om dem som de ikke selv har delt i redaktørstyrte eller sosiale medier.

– Jeg føler meg sikker på at de som står bak har gått systematisk til verks.

Det sier Milan Zangana. Han er en tidligere norsk yrkessoldat og har blant annet tjenestegjort i Telemark bataljon og har erfaring fra Afghanistan. Han har også på eget initiativ kjempet mot IS i Irak, og etterpå vært i Ukraina og gitt militær trening til ukrainske soldater. Han er ikke bekymret for sikkerheten sin, men forstår at andre blir det.

Faktisk.no har spurt Telegram om de er klar over «doxingen» og hva de gjør med det. Telegrams presseavdeling kan kun kontaktes via en bot-kanal, det er også i boten svaret kommer:

Telegram-postene om nordmennene er ikke blitt fjernet.

Politikere og forsvarsansatte

Flere høytstående politikere Faktisk.no har kontaktet, sier at de ikke vil uttale seg om at informasjon om dem er delt på Telegram. De er redde for at det skal eskalere situasjonen, og føre til mer «doxing».

Lokalpolitiker for Venstre, Tore Wilken Nitter Walaker, er leder av foreningen Slava Ukraini Norway. Han er en av flere politikere som får spredt informasjon om seg på Telegram. I motsetning til de andre politikerne er han ikke bekymret.

– Jeg bryr meg ikke, men jeg har meldt inn saken til PST på anbefaling, sier han.

Den norske ambassadøren til Ukraina i perioden 2006 til 2011, Olav Berstad, er heller ikke bekymret over at informasjon om ham spres. Berstad har skrevet flere kronikker om Russlands invasjon av Ukraina, og blant annet tatt til orde for at Norge må øke våpenstøtten til Ukraina. Han er ikke overrasket over at informasjon om ham er blitt publisert på en russisk Telegram-kanal.

Også flere forretningsfolk er «doxet».

– Jeg har ikke visst om det, men jeg anser det ikke som truende eller skadelig, sier en forretningsmann i 40-årene til Faktisk.no.

Forretningsmannen jobber med våpenindustri og har solgt teknologisk utstyr til Ukraina. Heller ikke han er bekymret.

Tre omkomne nordmenn som før de døde engasjerte seg i krigen i Ukraina, har fått spredt informasjon om seg selv på russiske Telegram-kanaler. Postene Faktisk.no finner er publisert bare dager etter nordmennenes død. I flere av postene og kommentarene hånes nordmennene. Gif: Rim Hjelde Elmofty

Hånet etter at de døde

Blant nordmennene som har fått delt informasjon om seg selv på de russiske Telegram-kanalene, er også tre avdøde nordmenn. Alle tre har fått hets og opplysninger om seg spredt etter sin død.

En av de omtalte døde mennene er tidligere marinejeger Geir Kenneth Bjerkelund. Han hadde nylig kommet tilbake fra Ukraina der han drev hjelpearbeid, da han tok sitt eget liv i juni 2022. I Telegram-innlegget om Bjerkelund spekuleres det i om han ble drept i Ukraina.

– Dette har jeg slettes ikke vært klar over.

Det sier Kirsten Marie Bjerkelund, moren til Geir Kenneth Bjerkelund.

– Det er fælt at de skriver slik om ham. Han døde hjemme i Norge. Det var ingenting kriminelt, jeg har fått bekreftet at han tok sitt eget liv. Jeg tenker på at døtrene hans kan komme over dette på internett, sier moren.

Faktisk.no har også vært i kontakt med familiene til de to andre mennene. De ønsker ikke å la seg intervjue, men et familiemedlem forteller at hun er knust over å få vite om Telegram-postene, og forventer at norske myndigheter gjør noe med det.