„Killnet häkkis teid.“ Kuidas Vene sõjaväeluure saatis Lätist kaks meest Tallinna hirmu külvama
(203)
Kaks aastat tagasi aprillis tabasid Eestit ulatuslikud küberrünnakud. Samal ajal ilmus Tallinna sõjaväeosa seinale häkkimisest kuulutav grafiti. Tegemist oli Venemaa sõjaväeluure katsega külvata Eesti ühiskonnas paanikat.
Kui musta värvi sõiduauto keeras väikses Rembate külas ühe majapidamise sissesõiduteele, toimetas selle perenaine parasjagu tagaaias. Autost väljus noor mees. Selleks ajaks kui perenaine värava juurde jõudis, oli aga auto juba välja tagurdanud ning sõitis minema. Noormehest jäi teele vaid kokku volditud A4 paber. Naine korjas selle üles, ent unustas paberi peagi, sest postiljon tõi värsked ajalehed.
Ta luges paberit alles järgmisel päeval ning andis selle kohe üle oma väimehele, kes töötab Läti kaitseväes. Viimane edastas paberi oma ülemusele ning too andis selle üle juba sõjaväeluurele. Käivitus sündmusteahel, mis viis lõunanaabrite julgeolekuasutused läbimurdeni. Nad tabasid Venemaa sõjaväeluure ülesandeid täitnud võrgustiku, kes tegutses nii Ukrainas ja Lätis kui ka Eestis.
Leitud paber andis kätte mitu niidiotsa
Rembate küla asub Riiast tunniajase autosõidu kaugusel. Selle lähedal asub ka Lielvārde sõjalennuväli, mis on nagu meie Ämari lennubaas. Lielvārdes asuvad muu hulgas nii Läti õhuväe Black Hawki kopterid kui ka liitlaste hävituslennukid. See tõsiasi tingiski lõunanaabrite uurijate kiire reaktsiooni.
Maast leitud paberi peale oli kirjutatud „Ülesanne, Lielvārde sõjaväelennuväli“. Selle alla oli sinist värvi pastakaga kirjutatud juhis, mida lennuväljal pildistada ja kuidas vastata, kui keegi hakkab küsimusi pärima. Lehe tagumisele küljele oli pastakaga kritseldatud väike lennukijoonistus.
Paberil seisis ka üksikasjalik ülevaade ülesande täitmisega seotud kuludest, nagu külalistemaja nimi, kus täideviija ööbis, ja ettevõtted, kust renditi ülesande täitmiseks vajalik fotovarustus ja auto. Lehe allservas seisis ka meeldetuletus, et pärast ülesande täitmist on vaja koostada raport „kriteeriumidest“: transport, perimeeter, puhkealad ja kõikide fotode asukohad.
Uurijad alustasid paberiomaniku jälgede ajamist külaskäiguga lennuvälja ligidal asuvasse külalistemajja. Selle omanikud meenutasid, et kõnealusel päeval ööbis nende juures vaid üks inimene – pikka kasvu noor mees, keegi Sergejs. Mehe juuksed olid seotud patsi ning ta kandis T-särki ja rebenenud teksasid. Sergejs rääkis läti keeles ja maksis sularahas. Ühtlasi oli tal kaasas kitarr ja Canoni fotoaparaat.
Külalistemaja omanike meenutuste järgi ütles Sergejs, et ülemus tegi talle puhkuse välja tänutäheks hea töö eest ühes Riia kaubanduskeskuses. Sergejs olla küsinud ka, kus sõdurid vaba aega veedavad. Omanikud soovitasid tal külastada läheduses asuvat Kante kohvikut.
Järgmisena külastasid uurijad CarGuru autorendifirmat. Nimelt seisis sellegi firma nimi maast leitud paberil ning külalistemaja omanikud mäletasid, et sama kiri oli ka Sergejsi auto peal. Rendifirmast said uurijad küll auto kasutamise GPS-andmed, aga nad ei teadnud ikka veel, keda nad otsivad, sest auto rentijana oli märgitud hoopis ühe naisterahva nimi.
Läbimurre saabus siiski kiiresti. Tehnikapood, kust paberi kohaselt renditi fotokaamera, oli alles hoidnud mehe ID-kaardi koopia. Selgus, et otsitav mees on 21-aastane Sergejs Hodonovičs.
Õige pea otsisid uurijad läbi Hodonovičsi korteri Riias Maskava linnaosas, mis on umbes nagu Kopli Tallinnas. Muu hulgas võtsid uurijad sealt kaasa mobiiltelefoni, mille fotogaleriis olid pildid Kante kohvikust ning ühest mahajäetud sõjaväepunkrist metsas.
Hodonovičsi kohta alustati kriminaalmenetlust ning talle esitati kahtlustus Venemaa heaks luuramises. „Võib väita, et S. Hodonovičsi tegevus on seotud ülesannetega, mida andis Vene Föderatsiooni GRU,“ seisab uurimistoimikus. Täheühend GRU tähistab Vene luure peavalitsust ehk Venemaa sõjaväeluuret.
Ülekuulamisvideolt nähtub, kuidas voodriga teksajakis ja habetunud Hodonovičs istub kössitades ning räägib, kuidas ta tutvus kanepit otsides Telegrami suhtlusrakenduses kellegagi, kelle hüüdnimi oli Green. Viimati mainitu otsis omakorda kedagi, kes sõidaks Eestisse ja „joonistaks“ seal kuskile midagi spreivärviga. Hodonovičs nõustus.
Üleöö ilmus kolmesõnaline sõnum
20. aprillil 2022. aastal – napilt kaks kuud pärast Venemaa täiemahulise sissetungi algust Ukrainasse – lahkus Hodonovičs töölt varakult ja sõitis bussiga Tallinna. Reisi ajal sai ta teate, et samas bussis on veel üks sama ülesandega inimene ning tema käes on ka värvipurgid. Tegemist oli umbes 18-aastase lühikest kasvu, näägutava vene keelt rääkiva poisiga, keda Hodonovičs nimetaski lihtsalt Poisiks. Viimati nimetatu telefonis oli Hodonovičsi sõnul kirjas asukoht, kuhu pidid nad maalinguid tegema.
Hodonovičs rääkis ülekuulajatele, et Tallinna jõudes kõndisid nad umbes tund aega, kuni jõudsid betoonmüürini. Poisi telefonis oli ka pilt, mille nad pidid müürile joonistama. Enda sõnul ei saanud ta aru, mida fotol olev sõnum tähendas. Pärast oranži ja punast värvi tähtedest sõnumi joonistamist läksid nad uuesti bussijaama ning sõitsid tagasi Riiga. Hodonovičsile maksti selle töö eest 400 eurot.
Järgmisel hommikul kella 7–8 vahel sai Eesti politsei ühelt möödujalt kõne: kaitseväe staabi- ja sidepataljoni perimeetri müür oli täis soditud. Selles baasis asub muu hulgas nii Eesti küberväejuhatus kui ka NATO küberkaitsekeskus. Kohale sõitnud patrull avastas müürilt sõnumi „Killnet hacked you“ ehk „Killnet häkkis teid“. Kolmesõnalist sõnumit oli seinale maalitud nii mitu korda, et see jooksis kaitseväe müüril lausa 190 meetri ulatuses.
Tegemist ei olnud siiski lihtsalt sodimisega. Killnet on üks venekeelsetest häkkerirühmitustest, mis spetsialiseerub teenustõkke- ehk DDoS-rünnakute kui teenuse müümisele. Kui Venemaa alustas täiemahulist sissetungi Ukrainasse, teatas Killneti rühmitus kohe ja avalikult, et toetab Venemaa veetavat sõda. Sealt edasi on rühmitust seostatud hulgaliste küberrünnakutega eri Euroopa riikide IT-taristu pihta.
Seina sodimisele järgnenud päevadel tabaski mitut Eesti riiklikku teenust ja veebilehte ulatuslik küberrünnakute laine. Viie päeva jooksul rünnati muu hulgas eesti.ee, politsei.ee ja president.ee veebilehti. Üks sihtmärkidest oli ka küberkaitsekeskuse sait. Ehkki Eesti on sageli olnud Venemaalt pärinevate küberrünnakute sihtmärk, oli see esimene kord, kui rünnakutega kaasnes füüsiline „sõnum“. See oli uus peatükk.
Vaata videost turvakaamera salvestisi kaitseväe staabi- ja sidepataljoni müüri sodimisest:
Häkkerite rühmitusi tuleb aina juurde
Keskkriminaalpolitsei küberkuritegude büroo alustas küberrünnakute tõttu kriminaaluurimist ning see andis tõuke, et asuda ründajaid, nende tegevust ja rünnakute infrastruktuuri põhjalikult välja selgitama. „Sellised rünnakud on nagu distantsilt kiviklibu aknasse loopimine – see ei ole kuulitõuge,“ sõnas Delfile büroo juht Ago Ambur. Teisisõnu: see on tüütu ja ebamugav, aga tegelikku kahju rünnakutega enamasti ei kaasne.
Nii ka seekord. Kuigi mõni teenus oli lühikest aega katkestatud ning mõni veebileht hetkeks maas, ei ole Amburi sõnul uurijatel ühtegi viidet, et ründajad oleksid ühessegi infosüsteemi päriselt ligi pääsenud või teenused kasutajatele kättesaamatuks muutnud.
Ambur lausus seejuures, et sellise menetluse eesmärk omaette ei ole kõiki kordasaatjaid vangi panna, sest enamasti ei tegutse nad Eestist ega meile sõbralikest riikidest. „Me teame nende gruppide võtmefiguure. Oleme ka suutelised tagantjärele veenduma, kas keegi oli mingi grupi liige või ei,“ rääkis ta ja lisas, et sellised häkkerite grupid ja nende kujutatav ohutase on pidevalt keskkriminaalpolitsei radaril.
Veel sõja alguses oli selliseid häkkerite rühmitusi Venemaal vähe.
Veel sõja alguses oli selliseid häkkerite rühmitusi Venemaal vähe, Killneti kõrval veel näiteks Noname057. Amburi sõnul ehitati sel ajal ümber küberrünnakute tehniline arhitektuur ning nüüd on võimalik ka ilma tehnoloogiast midagi teadmata vastav tehniline lahendus enda arvutis püsti panna. 2023. aasta alguses tekkis häkkerite gruppe aga ridamisi juurde ning nüüdseks on neid mitukümmend. „Nad liituvad omavahel ja lähevad tülli, alustavad üksteise vastu sõdasid ja nii edasi,“ märkis Ambur.
Menetlused alustatud – mis edasi?
Samal ajal algatas politsei ka väärteomenetluse, et tabada häkkimissõnumi sodijad. Linna teekaamerate salvestused avasid juhtunu tagamaa. Väärteomenetluse toimikus seisab ajaline ülevaade, mis muu hulgas näitab, et Hodonovičsi räägitu Läti ülekuulamisel ei pea päris paika. Pikalt kõndimise asemel saabusid kaks meest kell 01.33 öösel sidepataljoni ligidal asuvasse bussipeatusse hoopis taksoga. Nad jäid mõneks ajaks sinna passima ning läksid siis „jalutuskäigule“.
Ülevaate kohaselt tegelesid nad oma värvimistöödega peaaegu tund aega, kell 02.06–03.01. Selle aja jooksul sõitis neist mööda mitu autot. Samuti jäi nende tegevus otse kaamerasse. Ent mitte keegi ei märganud seda. Kuni lõpuks kell 03.11 kõndisid mehed üle Filtri tee, tegid oma „kunstiteosest“ telefoniga pilti ning lahkusid ööhämaruses bussijaama poole.
Uurijad leidsid kohapealt spreivärvipurgi kaane ja Marlboro suitsukoni. Nad tuvastasid ka mehed kohale sõidutanud taksojuhi. Kuid väärteotoimikus ei ole leitud tõendite analüüsi ega taksojuhi tunnistajana ülekuulamise protokolli. Menetlus lõpetati tänavu aprillis, kui juhtumist oli möödas kaks aastat, aegumise tõttu.
Delfile öeldi ka, et väärteomenetlusega ongi keeruline selliseid asju uurida ning karistus olnuks marginaalne. Siiski suutis kaitsepolitsei (kapo) tuvastada teo toimepanijad. Kuna mehed olid aga Eestist lahkunud ja nende siin vastutusele võtmine oleks olnud ebatõenäoline, edastas kapo info Läti kolleegidele.
Kapo pressiesindaja Marta Tuul kinnitas Delfile, et amet tuvastas sodijad 2022. aastal. „Kuna Venemaa vaatleb tervet Baltikumi kui üht operatsioonikeskkonda, teevad ka Eesti julgeolekuasutused välispartneritega tihedat koostööd,“ lisas Tuul info Läti politseile edastamise kohta.
Tõsine põleng jäi ära, sest süütaja hakkas kartma
Poiss, kellega Hodonovičs Tallinnas sodimisretkel käis, osutus Ivans Tarabanovsiks (toona 20). Hodonovičsi ülekuulamisprotokolli kohaselt uhkustas Tarabanovs tema ees, kuidas sama aasta jaanuaris – kuu aega enne Venemaa sissetungi Ukrainasse – sõitis ta Kiievisse, kus tema ülesanne oli visata nn Molotovi kokteil ehk süütepudel ühe sõjaväehoone ventilatsioonišahti.
Hodonovičs ja Tarabanovs istuvad nüüd Lätis kinni.
Tarabanovs lendas Ukrainasse töö tellijate kulul ning sõitis taksoga bensiinijaama, kust ostis kokteili tegemiseks vajaliku n-ö stardipaketi. Süütamisest aga ei saanud lõpuni asja, sest ta hakkas kartma ning suutis süüdata vaid hoone välisseina. Seejärel põgenes Tarabanovs liinibussiga Poola.
„Grafiti sodimine või fotode tegemine ei pruugi tunduda ohtlik. Aga Molotovi kokteili viskamine hoonesse, eriti kui sa tead, et seal võib inimesi olla, on midagi, mida isegi kriminaalse taustaga inimesed ei taha hästi teha,“ ütles Läti vastuluureasutuse (VDD) peadirektor Normunds Mežviets Delfi uurimispartnerile Re:Baltica.
Hodonovičs ja Tarabanovs istuvad nüüd Lätis kinni. Neist esimest karistas kohus kahe aasta ja kaheksa kuu pikkuse vangistusega ning teine veel ootab kohtuotsust, mis peaks tulema sügisel.
Tähelepanuväärne on aga see, et nn Killneti episoodi eest neid karistada ei saa, sest teo toimepanemise ajal ei olnud see Lätis karistatav. Vastav seadusemuudatus – võõrriigi abistamine teise riigi vastu suunatud teo toimepanemisel – tehti just Hodonovičsi ja Tarabanovsi kaasuse tuules, kinnitas Läti prokurör Salvis Skaistais.
Nagu kaasati Sergejs Hodonovičs, väravataksegi selliseid vandaalitsejaid sageli Telegrami suhtlusrakenduse kaudu. Kui kaitsepolitsei (kapo) teatas möödunud talvel, et on kinni pidanud 13 inimest, keda kahtlustatakse Vene eriteenistuste tellimusel justnimelt selliste aktide toimepanemises, avaldati ühtlasi, et vähemalt osa neist värvati sotsiaalmeedia teel. Selliste tegevuste seas vandaalitseti ka siseminister Lauri Läänemetsa ning venekeelse Delfi peatoimetaja Andrei Šumakovi ja tema abikaasa autode kallal.
„Värvatud püüdsid tavapärase kuritegevuse sildi taha peitudes Eesti ühiskonnas tekitada segadust ja hirmutunnet, kõneainet, mis aga kuigivõrd ei õnnestunud. Inimeste elu ja tervis otseselt ohus ei olnud, ent selline tegevus ilmestab vägivaldsemat ja robustsemat tegutsemistaktikat, kui varem on olnud tavaks,“ kirjutati teema kohta kapo viimases aastaraamatus.
Samuti üritasid veebruaris kaks meest süüdata Läti okupatsioonimuuseumi, Leedus süüdati IKEA kauplus. Poolas vahistati eelmisel aastal grupp inimesi, keda süüdistati Venemaa kasuks luuramises ning katses lasta õhku raudtee, mida mööda veetakse abisaadetisi Ukrainasse.
Okupatsioonimuuseum pääses suuremast tulekahjust ning politsei pidas teo toimepanija kiiresti kinni, sest ta oli sündmuspaigale maha jätnud oma maski ja kindad. Kuna tema DNA oli varasema narkokuriteo tõttu politsei andmebaasis kirjas, ei olnud see eriti keeruline kuritegu, mida lahendada.
Niit hargnes aina edasi
Läti uurijatel õnnestus tuvastada ka suur osa ahelast, kuidas tellimused ja tööraha Hodonovičsini jõudsid. Varjunime Green taga peitus tegelikult Gļeb, kelle n-ö igapäevatöö on nn rahapesumuulade palkamine. Ka Hodonovičs käis ühel korral Gļebi tellimusel taksoga Tallinnas, kus talle anti ühes hotellis kotitäis sularaha, mille ta viis tagasi Lätti.
Gļeb teenis sellise töö pealt omakorda komisjonitasu. Näiteks sai ta Hodonovičsi sodimistööle saatmise eest 100 eurot. Ülekuulamisel tunnistas Gļeb, et jagatavad tööülesanded ulatusid sodimisest süütamiseni.
Ka Gļebi kohta kriminaaluurimine alles kestab, ent temast veel olulisem isik peitus Telegramis kasutajanime MOT taha. MOT sai omakorda ülesandeid kelleltki Aleksandrilt. Viimane käitus muu hulgas rahakotina ehk tema jagas krüptorahas välja töötasusid. MOT vahistati oma kodus Riias Purvciemsi linnaosas, mis on nagu lõunanaabrite Lasnamäe. Tema tegelik nimi on Martins Griķis, kes oli vahistamise ajal 20-aastane.
Griķis tutvus Aleksandriga Telegramis, kus viimane tellis temalt sisuliselt rahapesuteenuseid. Aleksandr kandis krüptoraha Griķise kontole, konverteeris selle eurodeks ning saatis edasi. Kahe aasta jooksul teenis noor lätlane selle eest komisjonitasudena umbes 10 000 eurot.
Grikise töö oli ka Aleksandri tellitud töödeks sobivad inimesed leida. Iga täidetud ülesande eest teenis ta krüptorahas 500–2000 eurot. Osa sellest maksis ta töö tegelikele kordasaatjatele, ülejäänu jättis endale. Näiteks teenis Hodonovičs Lielvārde lennuvälja pildistamise eest 400 eurot, Griķise kaukasse jäi vahendustasuna 200 eurot. Tallinna töö eest sai Griķis Aleksandrilt 2000 eurot, Hodonovičs teenis sellest enda sõnul taas 400 eurot.
Kusjuures, Griķise kodust leidsid uurijad ka mitu „töövestluse“ salvestust. Ühel neist rääkis üks enda sõnul Ukrainas asuv inimene, et on valmis süütamistöödeks, aga mitte tapmiseks.
Läti kohus karistas Griķist kolmeaastase vangistusega.
Õhus veel üks suur küsimus
Kuid kes on Aleksandr? See on selles loos üks suur vastuseta jäänud küsimus.
Griķis tunnistas ülekuulamisel, et ei kohtunud Aleksandriga kordagi, ent nad rääkisid telefonis. Aleksandr kippus noorele lätlasele helistama, kui ta oli purjus. Ühel hetkel oli ta maininud, et tema tegelik nimi on Vadim, ta on 25-aastane, hariduselt kokk ja pärit Ukrainast Dnipro linnast.
Seejuures ei sisalda uurimistoimik dokumente, mis kinnitaksid Aleksandri seotust GRU-ga. Sellise seose olemasolu järeldas kohus Läti julgeolekuteenistuselt VDD saadud info alusel. Prokurör Skaistais selgitas, et nii Griķis kui ka Hodonovičs tunnistasid Vene eriteenistuste kasuks töötamist.
