Группа также использовала доступ платформы к подробным метаданным аккаунтов. Это давало возможность увидеть, к примеру, что покупатель рекламы случайно забыл отключить информацию о своем местоположении и появился на сайте с IP-адресом, расположенным в России. Facebook также могла проверить телефон или компьютер, с которого была совершена операция. Во многих случаях выяснялось, что реклама была куплена с телефонов, в которых были установлены российские SIM-карты, даже если они использовали технологию для маскировки своего местоположения. В других случаях телефоны оказывались подержанными, и, даже если текущие SIM-карты в телефоне не несли данных о местоположении, Facebook видела, что телефоны ранее использовались с российскими SIM-картами.

Именно Моран обнаружил первый кластер рекламных объявлений, которые, как оказалось, были куплены кем-то в Санкт-Петербурге. Он брал работу на дом и сидел над ней до поздней ночи. Остальные члены команды привыкли к его исключительной сосредоточенности и к тому, что он мог, казалось, целыми днями не разговаривать, анализируя находящиеся перед ним данные. Именно эта сосредоточенность помогла ему обратить внимание на аккаунты, связанные с Санкт-Петербургом: название города засело в его памяти благодаря разоблачительной статье The New York Times от 2015 года о российской группе, известной как Агентство интернет-исследований (Internet Research Agency, или IRA в англоязычных странах). В этой статье репортер Адриан Чен рассказывал о своей поездке в Санкт-Петербург, где он расследовал, как Россия использует армию троллей IRA для формирования пророссийских позиций в интернете. Моран отыскал эту статью, чтобы уточнить детали, и, конечно, Санкт-Петербург был указан в качестве штаб-квартиры IRA.

Он начал медленно развивать свою догадку и к середине июня почувствовал, что собрал достаточно примеров аккаунтов, чтобы доказать наличие закономерности. Ему удалось выявить первый кластер аккаунтов Facebook, базирующихся в Санкт-Петербурге, продвигающих политическую рекламу, направленную на американцев, и работающих согласованно друг с другом. Ему потребовался целый день, чтобы проверить и перепроверить свою работу. Он многократно повторял все поисковые запросы, чтобы убедиться, что не допустил никаких ошибок. К тому времени, когда поиски были завершены, он уже был дома и только что уложил ребенка спать.

Первым делом он позвонил Стэймосу. «Похоже, мы кое-что нашли, и, мне кажется, это русские», – сказал он.

Стэймос попросил его перепроверить улики, связывающие аккаунты с Санкт-Петербургом, по крайней мере дважды, а затем указал на кое-какие неясные моменты, в которых стоило еще покопаться. Возможно, в них крылись дополнительные улики, связывающие аккаунты друг с другом. Но было ясно, что Моран нашел иголку в стоге сена.

Закончив разговор, Стэймос позвонил жене и сказал, что им придется отменить предстоящий отпуск.

Узнав о находке Морана, юристы и служба безопасности Facebook быстро разработали протокол поиска на основе нового классификатора. Инженеры Facebook создавали их и раньше, когда компания искала сексуальных преступников, воинствующих экстремистов или другие категории людей, которых нужно было удалить с платформы. Команда инженеров уже умела создавать классификаторы, но им нужно было задать точные параметры поиска.

Кроме того, поиск нужно было значительно расширить. До этого момента команда безопасности рассматривала небольшую выборку объявлений, которые носили откровенно политический характер; теперь им нужно было прочесать все объявления, которые когда-либо появлялись на платформе. Большая часть данных Facebook была заперта в хранилищах центров обработки данных, расположенных по всей территории США. Порой требовались недели, чтобы определить местонахождение объекта, в котором хранились жесткие диски. Во многих случаях данные были перепутаны, и рабочим центров приходилось часами шерстить огромные склады в поисках именно того ящика с серверами, который был нужен службе безопасности Facebook.

Получив данные, инженеры должны были начать связывать кластеры объявлений с IRA таким образом, чтобы не оставалось никаких сомнений в существовании этих связей. Работая с Изабеллой Леоне, аналитиком по рекламе, Моран связал первый найденный им кластер с Санкт-Петербургом, но теперь им нужно было установить больше связей между найденными объявлениями и IRA. Недавно нанятый аналитик Ольга Белоголова и аналитик по вопросам безопасности со стажем в компании Эйприл Юбэнк начали изучать данные. Обе они разбирались в тактике России и имели опыт глубокого анализа данных. Момент открытия наступил в первую неделю августа, когда Юбэнк, выполнявшая запрос данных, взволнованно позвала остальных членов команды к своему столу. На ее мониторе был открыт график с изображением многочисленных линий, соединяющих аккаунты, которые покупали рекламу, со счетами, используемыми IRA. Каждая линия представляла собой связь, и их было много.

За шесть недель группа безопасности составила карту активности Агентства интернет-исследований на платформе. Русские купили более 3300 рекламных объявлений, продвижение которых на Facebook обошлось IRA примерно в 100 000 долларов; некоторые из этих объявлений в основном просто продвигали 120 страниц в Facebook, которые вело Агентство. Было создано более 80 000 отдельных фрагментов органического контента. В общей сложности эта деятельность охватила 126 миллионов американцев.

Везде, где появлялся хотя бы намек на острую тему, вызывавшую горячие споры и способную настроить американцев друг против друга, IRA было тут как тут. Контроль над оружием, иммиграция, феминизм, расовая принадлежность – Агентство вело аккаунты, занимавшие крайние позиции по каждому из этих вопросов. Многие из них поддерживали кампанию Трампа и консервативные группы по всем Соединенным Штатам, но некоторые страницы были на стороне поклонников Берни Сандерса. «Дело двигалось медленно, но то, что нам удалось найти тем летом 2017 года, было просто поразительно, – вспоминает один из сотрудников службы безопасности Facebook. – Мы ожидали найти что-нибудь, но даже представить не могли, что это будет настолько масштабно».

Хотя на протяжении многих лет некоторые сотрудники Facebook предполагали, что IRA занимается распространением дезинформации в Соединенных Штатах, никому не приходило в голову искать профессиональную кампанию по дезинформации, проводимую этой организацией. Служба безопасности не считала Агентство достаточно дерзким или мощным, чтобы напасть на США. Заверения Facebook сенатору Уорнеру и другим законодателям о том, что компания уже собрала полную информацию о попытках России повлиять на выборы 2016 года, были основаны на предположении, что нужно искать следы деятельности российской военной разведки, но за деревьями был упущен лес. Гоняясь за проправительственными хакерами, распространяющими имейлы кампании Клинтон, они упустили из виду высокоэффективную «армию троллей» Агентства интернет-исследований.

Обнаружение рекламы IRA побудило команду Стэймоса удвоить усилия. В Менло-Парке они уже были изолированы в своем здании на окраине кампуса Facebook; Моран и несколько других членов команды по аналитике угроз работали в отдельном кабинете в офисе Facebook в Вашингтоне. Всем им было приказано не обсуждать свои выводы ни с кем из коллег. Им сообщили, что руководители хотят подготовить полный отчет о деятельности Агентства, прежде чем они обнародуют свои выводы.