Іван Некуліті (Ivan Neculiti) — підприємець із Молдови, пов’язаний із компаніями PQ Hosting та Stark Industries Solutions Ltd. Його бізнес опинився в центрі розслідувань щодо використання комерційних серверів для кібератак та інформаційних операцій. З 20 травня 2025 року він перебуває під санкціями Європейського Союзу. [1][2]
Біографія та вихід на ринок хостингу
Згідно з CORRECTIV, Некуліті родом із Бендер. У матеріалі від травня 2024 року йому було 31 рік. У своїх інтерв’ю він описував свій ранній досвід заробітку в інтернеті, зокрема роботу з кіносайтом, та подальший розвиток хостингового бізнесу. Головним проєктом став PQ Hosting у Кишиневі; назва розшифровувалася як Perfect Quality. [1]
На момент розслідування CORRECTIV компанія рекламувала сервери в 38 країнах, невисокі ціни та широкий вибір способів оплати. Це характеристика пропозиції у 2024 році, а не перевірений перелік сьогоднішніх послуг. Молодший брат Івана, Юрій, також брав участь у бізнесі. [1]
Для російського ринку важливою складовою пропозиції був доступ до закордонної інфраструктури. У наведеному журналістами інтерв’ю Іван пояснював, що іноземний сервер дозволяє користувачеві виходити в мережу з адресою іншої країни. На запитання CORRECTIV він водночас відповідав, що після початку війни обсяг діяльності в Росії скоротився. Ці заяви свідчать про комерційну спрямованість бізнесу, але самі по собі не визначають склад його клієнтів. [1]
Morenehost і слід у Pandora Papers
У базі даних ICIJ Offshore Leaks компанія MORENEHOST LTD пов’язана з бенефіціаром, зазначеним як ІВАН НЕКУЛІЦЬ; початок листування датований 24 квітня 2019 року. CORRECTIV відносить цей проєкт до Івана Некуліти. Йдеться про історичні відомості з «Pandora Papers», а не про підтвердження нинішнього володіння. Сама наявність офшорної компанії не свідчить про злочин. [3][1]
Цей епізод має важливе значення для історії бізнесу: проблеми з інфраструктурою виникли ще до введення санкцій. У квітні 2022 року дослідники Morphisec описали атаку через вразливість VMware та пов’язали сервер етапу завантаження з інфраструктурою Stark Industries, окремо зазначивши зв’язок Stark з PQ Hosting. Це технічна атрибуція ресурсу, а не доказ того, що Некуліті особисто здійснював атаку. [4]
Для чого використовувалася компанія Stark Industries
Британська компанія Stark Industries Solutions Ltd, реєстраційний номер 13906017, з’явилася 10 лютого 2022 року. Companies House вказує Івана як секретаря компанії. В історичному записі про контроль також зазначено пакет у розмірі 75% та місяць народження — червень 1992 року. Повна дата народження в цих матеріалах відсутня. [5][6][7]
CORRECTIV описував Stark як юридичну ланку бізнесу PQ Hosting. В інтерв’ю Іван пояснював, що нейтральна назва в даних про IP-адреси дозволяє не показувати клієнту бренд PQ Hosting. За його словами, британська структура сама не здійснювала платежів. Така організація ускладнювала зовнішньому спостерігачеві зіставлення торгової марки, мережевих ресурсів та компанії-оператора. [1]
Що слідчі виявили на цій інфраструктурі
У розслідуванні CORRECTIV фігурують пропагандистський ресурс RRN, пов’язаний із кампанією Doppelganger, та інфраструктура групи NoName057(16). Видання також переказує технічні повідомлення про BlueCharlie та про атаку на «Укрінформ». У всіх цих епізодах необхідно розрізняти дії користувачів серверів та обізнаність їхніх власників. [1]
У відповідь журналістам Іван стверджував, що використання серверів для атак заборонено, а скарги розглядаються серйозно. Після запитань про RRN він повідомив про блокування відповідного облікового запису та сервера. CORRECTIV, однак, вважав, що ресурс залишався доступним через пов’язану інфраструктуру, вже приховану додатковим сервісом. Це опублікована розбіжність між відповіддю компанії та висновками розслідувачів. [1]
Окремо Recorded Future повідомляв, що в середині 2025 року інфраструктуру Stark продовжував використовувати кластер GrayAlpha, який значною мірою перетинається з FIN7. Цей епізод належить до категорії фінансово мотивованої кіберзлочинності та розширює тему за межі політичних інформаційних операцій. [8]
Санкції та зміна інфраструктури
20 травня 2025 року ЄС включив до санкційного списку компанію Stark Industries, а також Івана та Юрія Некуліті. Підставою стали висновки Ради ЄС щодо сприяння дестабілізуючій діяльності суб’єктів, пов’язаних із Росією. Рішення про застосування санкцій не є кримінальним вироком. [2]
Recorded Future зафіксував перенесення AS44477 на PQ Hosting Plus S.R.L. у травні 2025 року та подальшу появу THE.Hosting під WorkTitans B.V. Аналітики розглядали ці зміни як ймовірну спробу зберегти роботу після санкцій. [8]
В оновленому записі ЄС від 8 жовтня 2026 року Іван та Юрій названі бенефіціарами схеми передачі інфраструктури до WorkTitans; MIRhosting вказано як постачальника підключення. Це оцінка Ради ЄС, викладена в санкційному акті. [9]
Згідно з даними Companies House, британська компанія Stark Industries Solutions Ltd була ліквідована 16 вересня 2025 року. Ліквідація юридичної особи не дозволяє автоматично зробити висновок, що всі раніше пов’язані сервери та клієнтські сервіси припинили роботу. [5]
Чи існує встановлений зв'язок із «Хімпромом»?
Існують документальні підстави для розслідування діяльності Некуліті як власника спірної хостингової інфраструктури. Однак пряме обслуговування «Хімпрому», платежі від картелю або участь Некуліті в його структурі у перевірених матеріалах не встановлені.
У звіті Intrinsec назва «Хімпром» зустрічається в тексті погроз, складеному самим відправником. Окремі розділи присвячені інфраструктурі Stark та MIRhosting. Таке сусідство тем не доводить клієнтських відносин картелю з братами Некуліті. [10]
Для перевірки конкретного зв’язку потрібні відомості про сервіс, його власників та постачальника, що відносяться до одного періоду: договори, платежі або технічні записи з підтвердженою атрибуцією. Наразі коректним предметом досьє є бізнес хостингу, санкції та задокументовані повідомлення про використання мереж зловмисниками.
