Băieții care fac „România frumoasă”
Cine-s o parte dintre oamenii care au pus la punct rețeaua de pe Facebook care ne-a frăgezit nostalgia pentru un trecut glorios și a fezandat voturile pentru Georgescu și Simion.
Suntem Luiza Vasiliu și Victor Ilie, doi jurnaliști care scriu de-o juma de viață despre abuzuri, corupție, infractori și nedreptăți. Dacă ați citit investigații despre Dragnea, Burnei, Tate sau Marele Alb, ne-ați mai citit deja. Dacă nu, bine-ați venit!
💻 🥷 Încă din 2023 mai mulți programatori au pus la punct o rețea de sute de pagini de Facebook și publicații care au încălzit votanții pentru ofensiva extremistă de pe TikTok din campania electorală. Infrastructura lor i-a susținut pe candidații suveraniști și a încălcat de nenumărate ori regulamentele Meta și TikTok. 🚨🔓
🐴 😭 Au umplut internetul cu cai din praz și pâine, femei triste că mănâncă de ziua lor cartofi fierți în loc de tort, mesaje cu nostalgii comuniste, pseudo-știință și conspirații, iar în campaniile electorale din 2024/2025 au dat în politicienii pro-europeni. I-am identificat pe cinci dintre oamenii din spate, meșterii digitali. I-am urmărit între campaniile electorale și după, când și-au șters urmele. Le-am arhivat conștiincios și vi le prezentăm pe Drepturi & strâmbe. 📢🫡
💰❓Le-am urmărit banii și i-am întrebat de unde provin, dar se încurcă în minciuni în legătură cu originea fondurilor, iar datele contabile pe care le-am obținut îi trădează. Șeful lor susține că rețeaua nu a fost pusă la dispoziția vreunui partid politic sau candidat, că nu au vândut conturi și pagini mișcărilor de extremă dreapta. 👉🤥
💸 🤳Am negociat și noi cu ei sute de conturi de TikTok pentru mii de euro de pe o identitate falsă din Republica Moldova, dar fără să le spunem că reprezentăm un candidat anume. Mai apoi, când am întrebat dacă au vândut conturi de TikTok către suveraniști, au spus răspicat că nu au lucrat pentru Georgescu sau Simion și că, de fapt, au negociat cu „un partid pro-Maia Sandu”. De fapt, vorbeau cu noi, nu cu Maia Sandu. 🤥😆
🎒🚌 Newsletterul Drepturi și strâmbe a împlinit un an, am adunat peste 7500 de urmăritori și peste 150 de susținători. Am publicat peste 15 investigații ca aceasta, care au la bază open source intelligence, OSINT. Pentru donatorii noștri care vor să învețe cum găsesc date hacked pe net, cum află al cui e un număr de telefon sau o adresă de email, cum pot fi urmărite identitățile fictive online sau depistate operațiuni de coordinated inauthentic behavior, organizăm la început de 2026 a doua ediție a unui curs online de OSINT. La finalul materialului aflați cum vă puteți înscrie. 🤓✍️
🫸🫷 Faceți cunoștință cu băieții care fac „România Frumoasă”. La mulți ani, România! 🤜🤛
Cum s-a panicat internetul
După alegerile prezidențiale din 2024 care au scindat societatea și mai tare, poate ați observat că Facebook s-a umplut de pagini cu sfinți robotizați sau oameni triști că nu mănâncă tort de ziua lor sau care cerșeau aprecieri pentru cai din pâine sau praz.
New Mind Communication publica în februarie 2025 analiza numită „Cum poate un cal de pâine să destabilizeze o democrație”. Autoarele trăgeau o concluzie simplă: „Calul din pâine nu este doar un fenomen digital absurd, ci un semnal clar că instrumentele tradiționale de cercetare nu mai sunt suficiente pentru a înțelege și influența opinia publică. (...) Folosind metode de analiză psihologică avansate, reușesc să creeze emoții puternice, să destabilizeze încrederea în instituții și să influențeze deciziile publicului fără ca acesta să își dea seama.”
Fiecare pagină avea sute de mii de urmăritori, cărora le serveau zilnic știri false, conținut conspiraționist și nostalgie comunistă.
Am aflat ale cui sunt aceste pagini, cine și cum le coordonează, ce fac proprietarii lor cu ele, dar și de când s-au activat în câmpul dezinformării. Nu sunt ale unor ruși suspecți, ci ale unor români care le pun la dispoziția oricui plătește ca să ajungă la milioane de oameni. Rușii, chinezii, gașca MAGA sau orice actor politic interesat să producă haos s-au bucurat de infrastructura de site-uri pentru că au radicalizat lumea și au colectat o tonă de date.
Rețeaua „România Frumoasă” încalcă legislația europeană DSA și regulamentele platformelor Meta. DSA vine de la Digital Services Act (DSA, aka Legea Serviciilor Digitale) și forțează platformele sociale să transparentizeze felul în care funcționează algoritmii, astfel încât să poată fi observată manipularea lor. Oamenii din spatele acestor pagini fix asta fac, manipulează algoritmii.
Sursele noastre ne-au confirmat că o unitate cyber a Ministerului de Interne a raportat rețeaua „România Frumoasă” la Meta, însă compania a refuzat să dea jos paginile, motivând că produc doar clickbaiting, dar că nu ar fi automatizat. Noi am găsit, însă, și softurile de automatizare, ba și pe unul dintre programatorii care le-a livrat administratorilor un astfel de program.
Dacă cineva administrează sute de pagini de Facebook prin care poate trișa algoritmii ca să împingă conținut politic sau comercial către sute de mii sau milioane de oameni, transparența e importantă ca să vedem cine ne livrează informațiile sau reclamele.
Am urmărit conținutul distribuit de aceste pagini și am ajuns la autorii care se ascund în spatele zidului opac pe care Facebook l-a ridicat între utilizatori și informație.
Ministrul de Interne, Directorul Național pentru Securitate Cibernetică și Autoritatea Națională pentru Administrare și Reglementare în Comunicații spun că în spatele lor ar fi o operațiune rusească, dar nu au dat mai multe detalii. Vă arătăm noi câteva feluri în care ar fi putut să le folosească rușilor această platformă.
Pericolul nu vine direct de la oamenii identificați de noi, ci de la clienții lor. Urmăritorilor unor astfel de pagini le sunt livrate reclame care conduc la escrocherii online, care vând tratamente miraculoase bune de nimic, răspândesc panică și o grămadă informații false. Doar că nu știm pentru cine.
DSA poate produce transparența de care utilizatorii de internet au nevoie ca să știe cine le livrează dezinformarea și fraudele. De asta giganții tech sunt furioși că UE vrea să-i oblige să-și protejeze utilizatorii. În 2024, 10% din profilul colosal al Meta a venit din înșelătorii și reclame la produse interzise. Nu știm câți bani au făcut din dezinformare. Tot în 2024, Meta a lăsat o întreagă rețea de pagini asociate AUR să împrăștie ură și fake news, inclusiv în timpul alegerilor. Iar asta e doar o picătură dintr-un ocean.
Un grup de Facebook numit „AI de noi” a adunat peste 10 mii de oameni pasionați de urmele digitale pe care le lasă propaganda și dezinformarea. Oamenii găsesc pagini suspecte care încalcă politicile Facebook sau legislația împotriva propagandei extremiste și le raportează. Uneori, acestea sunt închise, alteori conținutul lor doldora de pseudo-știință zburdă liber pe internet. Comunitatea „AI de noi” a fost inclusiv ținta unui atac al grupărilor de extremă dreapta care au raportat grupul și au reușit să-l închidă, dar Meta a revenit în cele din urmă asupra deciziei. Efortul lor de detectivistică digitală, neegalat de nici o instituție publică din România, a fost întâmpinat, de multe ori, cu amenințări.
Oamenii curioși din grup au produs informație pentru ziarele care au făcut știri din ce au găsit membrii comunității „AI de noi”. De pildă, Newsweek: „Campanie plătită pro Georgescu pe FB la fel ca pe TikTok. Pagini cu milioane de urmăritori îl susțin”.
Am analizat peste 2 milioane de comentarii lăsate pe aceste pagini de Facebook și site-urile pe care le promovau, am investigat codul din spatele fiecărui site, cum circulă banii din publicitatea online, dar și între firmele lor, și i-am găsit pe administratori.
Vom explica și cum am făcut această investigație. Livrăm în felul ăsta și câteva instrumente dintr-o trusă online de prim-ajutor în caz de coliziune cu dezinformarea. Iar la finalul materialului aflați cum vă puteți înscrie la un curs online de investigații OSINT ca să puteți chiar voi să investigați astfel de fenomene online toxice.
Românașul, Româncuța și toate neamurile lor
Am analizat un eșantion de aproape 50 de pagini cu „România” în nume care acționează coordonat, încălcând politicile Meta care ar trebui să blocheze paginile care postează automatizat. Rețeaua cuprinde sute de pagini, însă nu am avut capacitatea tehnică de a le analiza pe toate, așa că am ales un eșantion.
„România frumoasă” a inundat Facebook-ul cu sute de mii de postări cu imagini generate de AI, titluri alarmiste și articole reciclate mecanic între zeci de site-uri. Postează coordonat conținut care stârnește panică și nostalgie: accidente, boli, decese, dar și glorificări cu miez religios sau amintiri poleite din comunism. Așa au fost atrași milioane de români către zeci de site-uri obscure, legate între ele prin aceleași conturi de Google și aceiași bani de publicitate. Pe fondul emoțiilor furtunoase, rețeaua a împins subtil în față personaje ca George Simion și Călin Georgescu, în timp ce chipul lui Nicușor Dan era deformat digital, ca să inspire neîncredere și greață. În spate, o platformă AI făcea treaba murdară: genera texte, imagini și le posta automat pe rețelele sociale. Totul a fost bine calculat - de la emoțiile exploatate, până la momentul postărilor: vârfurile de activitate apar fix în campaniile electorale.
În prima parte a acestei investigații vă arătăm cum i-am găsit pe băieții din spate, iar apoi cum funcționează infrastructura lor de dezinformare și cum au circulat banii.
Când Snoop, Context, Pressone sau Recorder publică o investigație de mare interes public, spunem că acestea se viralizează organic pentru că o citesc și o distribuie oameni reali, iar coordonarea dintre oameni este naturală, în zilele de după publicare.
În astfel de momente, algoritmii favorizează conținutul jurnalistic. Cu cât mai mulți oameni distribuie o investigație, cu atât ea va fi vizibilă pentru un număr cât mai mare de utilizatori. Algoritmii o împing și mai mult.
Subiecte mai ușurele, ca horoscopul zilei sau o știre mondenă fără valoare de interes public, pot fi viralizate artificial dacă o mulțime de pagini o distribuie în același timp. În felul ăsta, algoritmii Facebook sau Youtube sunt trișați. Platformele susțin că se străduiesc să îi prindă pe trișori. Marii brokeri de date, Meta, care administrează Whatsapp, Facebook sau Instagram, sau Alphabet, care administrează Google și Youtube, pretind că sunt vigilenți și sancționează aceste mișcări online numite comportamente coordonate inautentice (coordinated inauthentic behavior – CIB). Conform politicilor interne ale acestor companii tech, CIB nu are ce căuta pe platformele lor.
Automatizarea reiese din cadența postărilor și a comentariilor, care arată că paginile de Facebook au fost programate să se comporte ca un cor. De exemplu, în datele de mai jos puteți observa cum una dintre paginile de Facebook a fost programată să posteze și să comenteze o dată la jumătate de oră câte un link.
Totuși, corporațiile tech fac bani din asta, iar uneori o vigilență bleagă îi ajută financiar.
În noiembrie și decembrie 2024, operațiuni de tip CIB au fost identificate și raportate pe TikTok, Instagram, Facebook, X, Telegram. Cu ajutorul lor, Călin Georgescu a ajuns un star global dintr-un neica nimeni pe internet.
Pagini ca România Modernă, România Eternă, România Culturală, România Solidară fac parte din rețeaua pe care am botezat-o „România frumoasă”, iar administratorii au pompat între 188.300 și 231.119 lei în promovarea lor. Acestea plăteau pentru reclame în care cerșeau aprecieri, folosind cârlige religioase, care glorificau perioada comunistă sau sărăcia, imagini generate de inteligența articială și fotografii cu candidatul fascist pro-rus Călin Georgescu pentru a aduna cât mai mulți ochi și urechi gata să le urmărească. În total, datele analizate de noi arată că postările celor aproape 50 de pagini au avut 36.791.382 de afișări în ecranele românilor. Dar analiza noastră n-a cuprins sutele de pagini din rețea, iar numerele reale ar putea fi de zeci de ori mai mari.
Proprietarii acestor pagini nu pot fi identificați decât de către Meta, dar compania nu dă acces la astfel de date. Printr-un procedeu numit scraping, am descărcat comentariile de la mii de postări ale fiecărei pagini și am descoperit că ele distribuie cu consecvență aceleași domenii de internet.
O parte dintre paginile pe care le-am analizat au fost folosite prima oară pentru campania electorală de la alegerile locale și europarlamentare din 2024, în timpul alegerilor anulate, altele au fost înregistrate în 2025 și au fost folosite și pentru campania anti-Nicușor Dan și pro-George Simion, dar altele sunt și mai vechi și au fost active în perioada protestului din #10August.
Silicon Valley, cartierul Negrești, Vaslui
Paginile de Facebook distribuie aceleași site-uri care se descriu ca fiind publicații de știri, iar o serie de erori de programare și urme lăsate pe internet ne-au condus către proprietarii rețelei „România frumoasă”.
De exemplu, pe site-ul RomâniaCulturala.eu, cel mai distribuit site din toată rețeaua, autorul celor mai multe articole se semnează sub pseudonimul Radu. Radu a fost deosebit de harnic, din octombrie 2024, de când site-ul a fost pus online, și până în primăvara lui 2025, a publicat 1912 articole. Cât o întreagă agenție de presă.
Fiecare site e compus din două părți, în față vedem imagini și texte care ne invită să petrecem cât mai mult timp cu ele, dar în spate sunt doar linii de cod. Le puteți vedea pe orice site dacă dați click dreapta și selectați opțiunile „Inspect” sau „View Source”.
Nu ne e clar unde și ce a greșit Radu la capitolul programare în luna martie 2025, însă a expus fără să vrea adresa de email cu care controlează site-ul RomaniaCulturala.eu. De atunci, fiecare semnătură a unui articol afișează în back end adresa lui de email.
Asta ne-a dus către o scurgere de date cu utilizatorii platformei Twitter, care ne-a permis să aflăm că această adresă de mail e folosită de Sebastian Ciobanu, un cetățean din Negrești, Vaslui. Același nume este folosit în relație cu contul său personal de Microsoft Office pentru Word și Excel. Acesta, însă, pare doar un simplu angajat al rețelei de pagini.
Ciobanu este stabilit în Dublin, iar în descrierea unora dintre paginile de Facebook din rețeaua apare, într-adevăr, informația că unul dintre administratori e în Dublin, Irlanda.
Ciobanu distribuie pe profilul lui personal linkuri de pe trei site-uri care par că-s pentru buzoieni, dar, de fapt, publică aceleași știri ca romaniaculturala.eu, unde l-am și găsit pe el.
Începând cu 21 martie, unul dintre aceste site-uri, buzauonline.net, a început să afișeze direct pe front end adresa de email a unui alt tânăr din Negrești, Vaslui, pe nume Marian Miron. Acesta este programator de aplicații pentru android și lucrează împreună cu fratele lui, Andrei, care a declarat pentru Radio Europa Liberă că rețeaua lor nu face propagandă, ci face bani din publicitatea pe care o văd victimele dezinformărilor pe care le livrează. El este singurul membru al rețelei care a vorbit public până acum.
Marian recomandă pe Facebook pagini ca Amintiri din Copilarie sau Noi iubim Romania. În timp ce membrii comunității „AI de noi” dau câte-o stea paginilor din rețea ca să le scadă credibilitatea în fața algoritmilor, Miron le laudă cu sufletul deschis și spune că-s pagini cu informații prețioase. Și el, și fratele lui, Andrei, fac parte din grupul de programatori din spatele rețelei.
Cele aproape 50 de pagini de Facebook din rețeaua „România frumoasă” pe care le-am analizat au distribuit de 2.060 de ori site-ul avramflorea.ro, iar rețeaua cuprinde și o pagină cu peste 160 de mii de urmăritori cu același nume, unde sunt distribuite sistematic aceleași dezinformări. Acestea sunt deținute de un tânăr care abia a împlinit 20 de ani și pe care chiar îl cheamă Avram Florea. El e singurul din grup care nu e originar din Negrești, Vaslui, ci din Valea Jiului, unde se trage cu motocicleta când nu produce atacuri de cord pentru pensionari.
Un alt nume care se leagă de rețea este Octavian Dumitrașcu, programator și muzicant de ocazie din Buzău. Acesta este singurul care a apărut oficial, la vedere, pe unul dintre site-urile grupării, buzauonline.ro, site care a dispărut după alegerile prezidențiale din 2025.
„La doar 18 ani, am făcut primii pași în politică, colaborând cu mai multe partide. Totuși, am realizat rapid că nu acesta este drumul meu. Adevărata mea chemare avea să se contureze în curând. La 19 ani, am descoperit o pasiune profundă pentru programare și web design”, povestește pe site Dumitrașcu.
L-am întrebat pe Dumitrașcu dacă îi cunoaște pe frații Avram, Florea sau Sebastian, dar a negat, însă ulterior și-a amintit că le-a vândut site-ul „buzauonline.ro și multe altele” și s-a arătat surprins că i-au păstrat numele pe site. A mai adăugat că le-a vândut mai multe „site-uri și softuri tip saas, automatizări de postări.”
Victimă colaterală
Una dintre paginile de Facebook din rețea, Departe-s de Casă, listează o adresă de email de contact în descrierea paginii: mesaje.de.interes@gmail.com. Pagina are 163 de mii de următori și, spre deosebire de celelalte, nu e recent înregistrată, ci are venerabila vârstă de 12 ani. La început a livrat doar muzică populară, pentru audiențele care apreciază genul.
Conform altor date scurse pe darknet pe care le-am găsit tot pe Intelx.io, un calculator din Sibiu care folosește browserul Google Chrome a avut salvată această adresă de email și parola aferentă. De fiecare dată când calculatorul se deschidea, utilizatorul de internet se loga automat în mailul mesaje.de.interes@gmail.com cu parola Paul155177.
Părintele paginii care a deraiat de la muzică populară spre nostalgie comunistă avea aceeași parolă pentru 20 de emailuri diferite. Pe o altă pagină se descria simplu: „Bună! Mă numesc Dor ilie, sunt un cântăreț în devenire de muzica populară din partea Sibiului”.
L-am contactat pe Dor Ilie, muzicianul din Sibiu, și l-am întrebat dacă îi cunoaște pe frații Miron, pe Sebastian Ciobanu sau Dumitrașcu. A negat vehement. Ne-a mărturisit că în urmă cu cinci ani a primit 700 de lei pentru pagina de Facebook Departe-s de Casă de la o persoană care a pretins că e preot, iar după tranzacție cumpărătorul l-a blocat pe Facebook. A pierdut atunci accesul la toate conturile de email, Youtube și Facebook, pentru că folosea aceeași adresă de email pentru toate.
Dor Ilie nu mai are acces la contul lui de Youtube, unde posta frecvent muzică populară. Conținut nou n-a mai apărut pe cont de cinci anii, dar cover-ul promovează acum o fraudă cu criptomonede.
Deși Ilie nu mai are acces la mesaje.de.interes@gmail.com, cineva are, căci l-a primit și a deschis mailul cu întrebările noastre în legătură cu operațiunea de dezinformare.
Totuși, băieții nu par coordonatorii acestei rețele de sute de site-uri și pagini de Facebook, ci doar simpli programatori și producători de conținut, care automatizează o infrastructură de dezinformare. Astfel, am continuat săpăturile urmărind banii.
Unde se duc banii când se duc?
O parte dintre site-urile din rețea fac bani din reclame de publicitate automatizată. Marian Miron declara pentru Radio Europa Liberă că rețeaua e profitabilă, iar o parte dintre site-uri listează reclame de la companii ca Google, MGID, Geozo sau Adnow, cea din urmă cu legături până la Kremlin despre care am publicat pe Snoop o serie de trei investigații. Adnow a pregătit timp de ani de zile terenul pentru valul extremist din România, iar în rechizitoriul lui Călin Georgescu procurorii confirmă investigațiile de pe Snoop.
Fiecare administrator de site care vinde publicitate primește de la Google un CNP digital unic numit Adsense ID. Dacă același cod generat de Google este asociat mai multor site-uri, înseamnă că același utilizator de cont Google ia banii din publicitate de la toate site-urile. Conform datelor de publicitate, nici Miron, nici Ciobanu nu monetizează aceste site-uri, ci un cetățean român stabilit la Berlin pe nume Constantin Duță.
Site-urile Buzauonline cu domeniile .ro și .net au împărțit același cod de publicitate cu alte două site-uri care nu mai sunt active, blogulunuianalfabet.ro și constantinduta.com. Aceste site-uri nu mai sunt online astăzi, dar le-am recuperat cu Wayback Machine, iar Duță se lăuda că le deținea acum zece ani.
Buzauonline.ro și-a oprit postările pe 9 mai 2025, după primul tur al alegerilor prezidențiale, iar ultimele postări sunt știri false despre Nicușor Dan, respectiv narativa AUR conform căreia președintele ar fi blocat construirea unui spital oncologic pentru copii și teoria că la dezbaterea Euronews ar fi primit întrebările înainte de eveniment – fake news generat de influencerul pro-rus Dan Diaconu. După 9 mai, pe site au mai apărut 3 postări în iunie, iar site-ul nu mai are activitate și a fost închis.
Duță e vechi pe internet și a lăsat o grămadă de urme. Colegii lui nici nu aveau buletine când el juca alba-neagra cu like-urile și followerșii, acesta învăța adolescenții cum să adune mulți followerși.
Sfatul lui era destul de simplu și implica puțină inginerie socială. El îi sfătuia pe tineri să își schimbe numele de Instagram în numele liceului unde învață și să le dea „follow” tuturor colegilor. Entuziasmați că sunt urmăriți de pagina oficială a liceului, colegii ar fi dat „follow back”. Când ar fi fost mulțumit de numărul de urmăritori, autorul schemei trebuia doar să își redenumească contul la loc cu numele său real.
Deși are experiență în bagabonțeli pe internet, Duță s-a ars și el. Pe 5 octombrie 2022 și-a infectat calculatorul cu un virus care i-a furat datele de logare pe toate site-urile pe care le administra de pe contul personal de Chrome. Datele sunt acum disponibile pe dark web sau pe platforme comerciale ca Intelligence X, unde le-am găsit și noi.
Astfel, am aflat toate emailurile pe care le are și toate parolele. Nu le-am folosit pentru accesarea conturilor sale pentru că ar fi fost ilegal, dar asta ne-a permis să continuăm investigația având și mai multe date despre Duță și toată infrastructura de publicații de dezinformare pe care a pus-o la punct alături de băieții din Negrești, Vaslui.
Asta vedea Duță pe calculatorul propriu în momentul infectării cu virusul care i-a supt datele.
Fiecare site pe care îl accesați pe internet este stocat de un server și există companii care oferă servicii de stocare, iar una dintre ele este Hostico. Chiar în momentul infectării, Duță era în platforma de administrare a site-urilor sale, pe Hostico, conform tab-urilor deschise de el. O parte dintre site-urile administrate de Duță au fost stocate într-adevăr de Hostico. În această captură de ecran mai vedem și că Duță salvase site-ul Știri-buzau.ro, care are același cod Adsense cu blogulunuianalfabet.ro, unde Duță îi învăța pe adolescenți să își amăgească colegii pentru mai mulți followerși.
Duță are mai multe adrese de email cu care administrează și coordonează site-uri pe care le-a făcut pentru diverși clienți. De meserie e programator, iar unii dintre clienții săi sunt mici afaceri de provincie, cum ar fi un magazin de mobilă, o firmă de asigurări auto sau un butic de lumânări handmade.
IP-ul este echivalentul digital al adresei tale de acasă, așa cum codul de Adsense este echivalentul contului tău IBAN din lumea reală. Astfel, când accesezi unul dintre site-urile lui Duță distribuite de rețeaua „România frumoasă”, pleacă un set de date de la IP-ul serverului unde a stocat el site-ul către IP-ul telefonului sau calculatorului tău. De regulă, IP-ul este un set de 4 numere de la 1 la 256, însă acestea pot avea mai nou și alte forme.
Unul dintre IP-urile folosite de Duță este 185.92.194.94, unde a mai apărut listat și site-ul conturiuk.ro, care ne-a atras atenția pentru că este un site care încalcă regulile altei platforme. De data asta, TikTok.
Duță explică singur pe acest site ce are de vânzare. „Algoritmul iubește conturile internaționale. Profită de reach mai bun, încredere crescută și monetizare rapidă”: pentru doar 150 de lei poți primi iluzia că ești la fel de celebru ca Lionel Messi sau Mo Salah.
Duță și-a închis site-ul în vară, după alegerile prezidențiale. Știm că afacerile lui au mers bine dintr-o postare de pe un forum pe care era activ înainte de alegerile din 2024. În datele de logare de pe calculatorul său, cele subtilizate de virus și care au ajuns publice, am găsit adresa de email ducomediaro@gmail.com. De pe această adresă de email Duță anunța în 2020 că are de vânzare urmăritori de Instagram, iar prețurile nu erau chiar mici. Pentru 100.000 de followers „reali și activi” trebuia să plătești 750 de euro. Dacă voiai să fii doar puțin mai popular, puteai să îți achiziționezi și un pachet mai mic, de doar 1.000 de followers la numai 10 euro.
Am reușit să identificăm o singură vânzare făcută de Duță. Pe firmele sale nu rulează decât mărunțiș, iar platformele sociale nu oferă acces transparent la proprietarii conturilor pe care le găzduiesc.
Se întâmpla în septembrie 2024, înainte de controversatele alegeri prezidențiale influențate pe TikTok de conturi rusești și agenția Kensington angajată de PNL. Atunci, Duță vindea un cont de TikTok cu denumirea @proconcursuri, iar asta venea la pachet cu 210 000 urmăritori și peste 1,4 milioane de aprecieri. „Acest cont este o oportunitate rară de a prelua o bază solidă de urmăritori pe o nișă de conținut motivațional, educațional sau comercial.”
Acest cont a fost închis după ce TikTok a dat jos mii de conturi care l-au susținut pe Călin Georgescu.
I-am cerut o ofertă de preț lui Constantin Duță de pe o identitate falsă în iulie 2025, ca să vedem ce prețuri practică. Pentru 300 de conturi de TikTok ne-a cerut 6300 de euro, iar în acești bani am fi primit și un ghid de viralizare. Duță oferă „conturi fresh, fără followers – ideale pentru campanii curate”, iar „în caz de blocare la logare, asigură înlocuirea conturilor gratuit”, mai dă bonus și „100.000 vizualizări organice” și „suport gratuit pentru strategia de conținut plus idei de postare cu impact viral”.
Cu Duță am vorbit de pe un număr de telefon din Republica Moldova, i-am spus că ne trebuie conturile pentru campania electorală din septembrie. Nu i-am zis pentru ce partid politic vrem să manipulăm algoritmii TikTok. Cum nu l-am putut plăti pentru conturile de TikTok, negocierile s-au blocat.
Înainte de publicarea acestui material, când i-am trimis lui Duță mai multe întrebări, l-am întrebat și dacă a vândut conturi de TikTok care au fost folosite în campania pentru Călin Georgescu. Acestea ne-a spus că nu, dar a susținut că a fost abordat de oameni de comunicare care lucrau pentru Maia Sandu, făcând referire la negocierea purtată chiar cu noi. Ne-a mințit de la primul mail.
A spus că întreaga infrastructură a avut doar un scop comercial, nu politic.
Pe conturile personale, Duță s-a poziționat politic anti-Elena Lasconi, la alegerile din 2024, și anti-Nicușor Dan la alegerile din 2025. Dat fiind că a încercat să ne mintă că a negociat cu partidul președintei Maia Sandu, nu avem motive să-l credem când ne spune că cel puțin unul dintre conturile vândute de el au ajuns la un susținător al candidatei Elena Lasconi. Mai mult, a refuzat să ne răspundă la întrebări insistând să îi investigăm mai degrabă pe Nicușor Dan și echipa sa de campanie.
Comportament coordonat anti-UE și anti-NATO, dar mai ales anti-Nicușor Dan
Am scanat un total de 46 de pagini de Facebook din această rețea și am descărcat peste 2 milioane de comentarii. Concluzia e simplă: aceste pagini postează sistematic aceleași site-uri de știri controlate de Duță, Miron, Ciobanu și colegii lor.
În total, am identificat peste 150 de site-uri legate între ele de aceleași IP-uri sau coduri de Google Adsense ID.
Fiecare pagină postează poze generate de AI și lasă comentarii la fiecare postare către site-uri care se prezintă ca fiind publicații de știri. Am identificat în total 184.152 comentarii care pun link în primul comentariu la diferite site-uri. Dintre ele, 179.528 de comentarii trimiteau către aceleași 21 de site-uri. Am găsit că cel mai distribuit site a fost romaniaculturala.eu, care apare în 41.887 comentarii, iar pe locul al doilea se clasează romaniadeacasa.eu și romaniafericita.eu, cu câte 13.000 mii de comentarii plasate de administratorii paginilor, trimițând audiența de pe Facebook către ele.
Relația dintre aceste site-uri e trădată în primul rând de conturile comune de AdSense și Google Analytics, adică aceleași conturi de email Google adună banii înregistrați din publicitatea care apare pe site-uri. Aceleași conturi analizează și datele statistice despre traficul publicațiilor, iar administratorii rețelei țin un ochi pe cifre de la aceleași calculatoare, ca cele identificate mai sus.
Mai mult decât atât, am descărcat zeci de mii de texte deghizate în materiale jurnalistice de pe aceste site-uri, iar o parte dintre ele publică simultan aceleași texte. Unele dintre site-uri s-au preluat între ele de mii de ori de la înființare și până în prezent, ca în infograficul de mai jos.
În total, am identificat 29.504 texte cu același titlu publicate de rețeaua de site-uri „România frumoasă” în perioada 2017-2025, iar cea mai prolifică automatizare apare între site-urile citeste.info și oi.ro, care au 6.990 de texte în comun publicate în sincron.
Sincronizarea postărilor de articole de tip clickbait ridică mai multe semne de întrebare dacă le punem pe o axă a timpului. Rețeaua de dezinformare devine mai activă în lunile de campanii electorale sau în momente în care societatea dezbate subiecte care inflamează publicul.
În graficul de mai jos, vedeți cele mai multe acțiuni coordonate de publicare, cum au crescut acestea pe măsură ce ne-am apropiat de alegerile din mai 2025, dar mai putem observa câteva vârfuri. Mai precis, primul vârf apare în perioada protestelor din 10 august 2018, al doilea vârf ne-electoral s-a întâmplat în septembrie 2022, în perioada dezbaterii legilor justiției, iar al treilea, în noiembrie 2023, când cel mai dezbătut subiect pe agenda publică a fost aderarea României la Schengen și Visa Waiver – ba intrăm, ba nu intrăm; ba meritam, ba nu.
Majoritatea acestor site-uri au fost înregistrate, însă, în octombrie și noiembrie 2024, sunt tinere, iar conținutul pretins jurnalistic nu este în mod special părtinitor pro-AUR sau pro-rus, însă paginile de Facebook postează conținut vizual vădit părtinitor și care crează anxietate, cum veți observa în imaginile de mai jos.
Înainte de 1 mai 2025, sute de pagini de Facebook postau conținut o dată la un sfert de oră, iar postările acestora aveau zeci de like-uri.
După 1 mai, paginile de Facebook și-au schimbat brusc comportamentul, au început să publice o postare la 20 de minute. Textele jurnalistice par în continuare relativ echidistante și au mai degrabă comportament de tip click-baiting, adică îmbie audiența să dea click pe titluri care promit mai multă informație decât există în știrea propriu-zisă, odată ce utilizatorul de internet ajunge pe site-urile respective.
Banii din publicitate
În februarie 2025, când a fost intervievat de Simona Cârlugea de la Radio Europa Liberă, Miron, unul dintre membrii rețelei se simțea deja jurnalist și declara: „Am înființat mai multe pagini noi, ca să postăm articole pe ele. Dar, din cauza algoritmilor Facebook, impact mai mare au doar articolele legate de Călin Georgescu și cele legate de politică. Precum dumneavoastră, care aveți o pagină de Facebook și un site pe care postați articole și este legat la o platformă de advertising (google adsense, adskeeper, mgid, vdo etc.), aceeași ocupație o avem și noi. Datorită faptului că articolele despre Călin Georgescu și politică fac mai multe Page Views, asta postam și noi”.
Datele financiare ale firmei lui Duță îl contrazic pe colegul lui.
Duță este proprietarul Arine Shop SRL, firmă pe care o folosește ca să contracteze servicii de înregistrare și mentenanță pentru site-uri. Tranzacțiile raportate la Fisc arată că banii erau tot mai puțini odată cu apropierea de alegerile prezidențiale din 2024 și 2025.
Ei făceau tot mai multe pagini și tot mai multe site-uri, dar veniturile de la Google erau tot mai puține. Arine investit 117.984 RON în Facebook între iunie 2024 și aprilie 2025, iar din publicitate, de la Google, a obținut mai puțin de 8000 de lei.
Fluxurile financiare raportate arată că Duță și colegii lui n-au făcut bani din traficul pe care l-au produs pe aceste site-uri, iar sursa finanțelor lor ar putea fi alta. Totuși, în afară de Duță, nici unul dintre programatori nu a răspuns la mailurile cu întrebările pe care le-am trimis, însă știm că le-au văzut, fiind notificați de MailTrack de fiecare dată când au deschis un mail de la noi.
Fluxurile financiare ne ridică mai multe semne de întrebare. În primul rând, sumele sunt prea mici pentru a putea susține o afacere cu atâția programatori, iar tranzacțiile înregistrate pe teritoriul României sunt chiar mai mici, semn că banii ar putea circula pe alte căi, nefiscalizat, prin aplicații de tip FinTech, ca Revolut, PayPal, Stripe sau prin cryptomonede.
Angajații pe care i-am identificat la începutul materialului sunt din localitatea Negrești, Vaslui, iar de când s-au înrolat în afacerea de dezinformare li s-a ridicat nivelul de trai și merg la restaurante fancy din Manchester, și-au luat telefoane și laptopuri noi, ceea ce sugerează încă o dată că au fost plătiți nefiscalizat.
Am extras toate reclamele rulate de paginile de Facebook administrate de tinerii programatori ca să vedem pe ce au dat banii, dar mai ales când, ca să verificăm dacă datele financiare ale Meta se coroborează cu datele financiare pe care le deține statul român. Răspunsul pe scurt: nu se leagă. Ceea ce întărește teza că tinerii au fost plătiți pe alte căi pentru serviciile online de tahicardie&dezinformare.
Astfel, am realizat că cei mai mulți bani au fost pompați în publicitate în perioade electorale. Ce vedeți în graficul de mai jos este ilustrarea sumei de reclame plătite de paginile din rețeaua „România frumoasă”, coroborate cu audiența la care au ajuns. Datele au fost colectate din Facebook Transparency Centre. Reclamele din graficul de mai jos au fost afișate pe telefoane sau laptopuri care rulau Facebook în limba română de peste 36 milioane de ori.
Colectând date despre 867 de reclame, banii investiți și audiența lor, putem observa în primul rând că acestea au fost mai active în perioade electorale. Mai întâi, băieții au investit masiv în perioada campaniei electorale pentru alegerile locale și europarlamentare din 2024, când au trecut total pe sub radar. Nici statul român nu era prea atent la dezinformarea online, nici grupul de Facebook „AI de noi” nu exista, dar reclamele zburdau sub ochii românilor într-o veselie.
Peste vară, rețeaua și-a potolit activitatea. Din octombrie, înainte de primul tur al alegerilor prezidențiale, a explodat pur și simplu, dar tot a rămas neobservată de radarele societății civile și ale instituțiilor publice. De vină este și efectul de bulă creat de platforma Facebook, care ne ține captivi printre cei cu aceeași părere cu a noastră și ne arată conținut care are statistic vorbind cele mai multe șanse să ne fie pe plac. Rețeaua „România Frumoasă” exploda pe internet, dar rămânea sub radar.
În iarna lui 2025, când a apărut grupul de Facebook „AI de noi”, presa a început să publice știri despre această rețea, iar alții au început să se amuze de postările cu căluți din praz și pâinici rumene sau oameni cu șase degete generați de AI. Rețeaua era deja incredibil de prolifică.
Am identificat între timp și platforma folosită pentru a genera conținutul care a infestat internetul românesc. Paginile de Facebook monitorizate au lăsat 35.688 comentarii cu linkul cstu.io, care redirecționa oamenii către site-uri ca BuzauOnline sau România Culturală. Linkul duce de fapt către platforma Content Studio, o aplicație care funcționează pe baza unui soft AI, care este alimentat cu identitatea unui site și generează conținut cu același profil pentru Facebook, TikTok, Instagram și cam orice rețea socială. Mai jos puteți observa cum AI-ul Content Studio „instantly generates content that feels like you.” (trad: generează instant conținut în stilul tău).
Trebuie doar să îi dai un domeniu de internet, instrucțiuni despre ce fel de subiecte și imagini vrei să genereze și, gata, ai ponei și sculpturi din praz cu care să cerșești aprecieri. La început e gratis, dar apoi serviciul e contra cost. Aplicația postează în locul tău pe toate site-urile pe care le ai, pe Facebook, pe TikTok și orice alte conturi de social media înrolezi în aplicația Content Studio.
Înainte de a deveni politic, conținutul reclamelor a mizat pe promovarea sărăciei și a neputinței, nostalgii din perioada comunistă și pe mesaje religioase, ceea ce le-a permis administratorilor rețelei să construiască o audiență pentru alegerile din iarna lui 2024 și cele din 2025. Au fezandat publicul bazându-se pe emoții negative: milă, deznădejde în fața sărăciei, mesaje religioase. Beneficiarul: extrema dreaptă care a mizat în alegeri pe aceleași emoții care erodează încrederea în stat și valori democratice.
Un studiu despre conținutul nostalgic de pe Facebook, publicat în 2015, care a analizat 375.857 postări, arată că astfel de retorică inflamează o stare de nemulțumire generală. Cu cât e mai glorificat trecutul, cu atât mai mult crește nemulțumirea față de prezent. Autorii studiului spun că avalanșa de postări nostalgice face posibilă segmentarea și targetarea votanților. La fel e și la noi. Odată agățați cu mesajele toxice despre istoria glorioasă a României, urmăritorii sunt alimentați cu conținut favorabil lui Georgescu.
Pe fondul unei clase politice rușinoase în care avem personaje controversate din PSD, PNL, USR, UDMR, paginile de Facebook au generat exact sentimentul public de care a beneficiat Călin Georgescu în primul tur al alegerilor.
Deci ai noștri n-au inventat roata când au sădit angoasă și nostalgie în sufletul votanților, tehnica e veche pentru actorii globali din piața de propagandă și cei cu educație digitală și a fost, de exemplu, folosită masiv și în Rusia, când pe Facebook era proslăvită grandoarea Uniunii Sovietice. Și în regimul nazist al lui Hitler, Goebbels miza, de exemplu, tot pe nostalgii și miturile fondatoare ale Germaniei.
O altă tipologie de reclame, printre cele care au avut cel mai mare impact pe Facebook, sunt cele religioase.
Odată creată o bază de urmăritori și aprecieri din partea votanților nostalgici, religioși și supărați pe sistem, administratorii paginilor de Facebook au dat-o pe față și au băgat reclame cu Călin Georgescu și Anca Alexandrescu.
În acest context de publicitate online, băieții luau tot mai puțini bani, ceea ce ridică suspiciunea că banii le-au venit pe alte căi opace, prin cryptomonede sau prin aplicații FinTech, dat fiind că Fiscul nu îi vede.
Am analizat conținutul a 465 de postări livrate între 1 mai și 19 mai, a doua zi după alegeri. Acestea au adunat mii de like-uri, distribuiri și sute de comentarii.
O mulțime de accidente grave, fenomene meteo extreme, decese, boli și panică. Un continuu atac de cord online.
Zodiile nu mai primeau vești pur și simplu, ci avertizări despre schimbări uriașe, prezentate dramatic în termeni negativi, exact ca cele pe care nu vrei să le trăiești ai fost cultivat cu mii de postări nostalgice. De fapt, pe care nu vrei să le trăiești indiferent de ce consumi pe internet.
Un capitol aparte în rândul postărilor a fost reprezentat de subiectele geopolitice, de unde veneau exclusiv vești proaste și pline de panică.
Iar la capitolul politic, fața președintelui Nicușor Dan, de exemplu, era generată de AI tristă și îngrijorată sau rânjind tâmp.
Timp în care pe George Simion l-am găsit de cele mai multe ori rezolvând probleme, glorificat, ca pe un salvator cu privirea dârză.
În loc de mulțumiri
Organizăm ediția a doua a cursului de investigații OSINT Drepturi și Strâmbe.
Am adunat în jurul nostru zeci de mii de cititori și mii de abonați, dintre care peste 150 au reușit să ne susțină și financiar, deși, știm, e din ce în ce mai complicat să susții orice în afară de propria existență. Cursul este accesibil doar abonaților, dar oferim locuri fără nici un cost jurnaliștilor, studenților sau activiștilor pentru transparență.
E un curs de digital forensics și investigații OSINT. Putem combate dezinformarea doar dacă îi identificăm și îi expunem pe cei care fac asta. Există o mulțime de instrumente care pot produce curățenie pe internet și e timpul să le folosim în număr cât mai mare ca să devenim cu toții soldați în acest hybrid warfare în care ne aflăm. Ne place sau nu, suntem cu toții pe front și, deci, ne-ar prinde bine armament și gloanțe digitale.
Vom folosi tool-uri cu care investigăm proprietarii site-urilor
Vom investiga dezinformarea coordonată cu boți pe social media
Vom coda ca hackerii, dar cu softuri AI (dacă nu v-a plăcut matematica la școală)
Vom căuta să identificăm oameni în carne și oase în spatele site-urilor sau conturilor de social media, cu ajutorul datelor hack-uite de alții
În final, ne vom securiza împreună laptopurile și telefoanele
Cursul se va întinde pe o perioadă de patru săptămâni și va cuprinde patru sesiuni online de câte două ore.
Aici te poți înscrie până la finalul anului la cursul care va începe în a doua săptămână din 2026.
N-am mai scris prea mult la newsletter, dar am aplicat masiv la granturi care să avem proiecte și mai mari în anul care vine.
Tocmai am câștigat un grant de la Journalism Science Alliance împreună cu Snoop și organizația finlandeză CheckFirst. Banii ne vor permite să construim o aplicație de monitorizare a dezinformării livrate prin platforme de native advertising.
Dar manipularea nu are mereu doar scopuri politice, așa că am început să ne uităm mai atent la dezinformarea din medicină și cum produce bani și victime.
Iar anul următor venim și cu subiecte de mediu. Am descoperit un dezastru ecologic provocat de o corporație germană care nenorocește un sit Natura 2000 și otrăvește apa, aerul și solul unei comunități din estul României. Am obținut un grant ca să facem acest subiect împreună cu o televiziune publică din Germania.
Pe lângă aceste două subiecte pe care el veți citi în 2026 și la noi, și pe Snoop.ro, tocmai am intrat în posesia unei scurgeri de date care arată cum Rusia încalcă sancțiunile internaționale impuse de UE, SUA și UK cu bunăvoința autorităților din România.
Deci urmează un 2026 cu mai multe investigații explozive, cum zice Anca Alexandrescu, pe care care vă urăm să n-o aveți primar în anii următori.
Revenim curând cu câteva întrebări despre ce v-ar interesa să mai scormonim împreună în anul care vine.
Fără voi, n-am fi putut trece prin ultimul an cu atâta vânt în pânze. Fără voi, am fi fost mai singuri.
Vă dau un pont. Am citit un material bine documentat realizat de jurnaliștii Recorder, în care o mare parte din investigație îi menționează pe doi programatori buzoieni. Ce mi se pare interesant este că, deși în material aceștia declară că nu se cunosc, faptul că sunt amândoi din Buzău face ca totul să pară cusut cu ață albă. În plus, legăturile lui Octavian Dumitrașcu atât cu Constantin Duță, cât și cu frații Miron ridică multe semne de întrebare.
Din informațiile care circulă, rezultă că Dumitrașcu ar fi avut colaborări cu ambii, de la vânzarea de site-uri și programe până la sisteme de automatizare, exact cum a și declarat: „am vândut site-uri și softuri automatizate”. Asta sugerează posibilitatea ca cei menționați să fi primit de la el partea tehnică („back-end-ul”), pe care ulterior o foloseau mai departe în activitățile lor. Nu este clar dacă Dumitrașcu știa în ce scopuri ajungeau aceste produse, dar declarația aparent falsă că nu se cunosc ridică suspiciuni, mai ales că, pe conturile lor, figurează ca prieteni pe Facebook, un detaliu scăpat în documentarea materialului?
În plus, în stenograma banilor apar site-uri piratate de divertisment, unde au fost distribuite masiv mesaje AdNow și altele personalizate. Multe dintre aceste site-uri piratate ar figura în portofoliul persoanelor menționate (C.D., O.D., Mironii), iar, după propriile declarații, O.D. se ocupa de partea de back-end, în timp ce C.D. și frații Miron primeau produsul pregătit.
Toți trei, ba chiar toată gruparea, ar trebui verificați în detaliu, având în vedere toate aceste semne de întrebare. Întrebarea este: de ce nu au făcut autoritățile acest lucru până acum? Oare de ce? Nu se știa?
Mi se pare interesant ca multe persoane ce coordoneaza astfel de conturi se afla in UK, unde sunt si explozii de continut AI ce chiar conduc la violente publice