↑
скорее всего методика такова, сорм записывает всех абонентов всех провайдеров от которых идёт зашифрованный траффик, впн или тор, запоминает время отправки данных, затем смотрят в какое время проявлял активность злоумышленник, заходил в вк, почту или отправил мэйл (если с ним идёт переписка), делают выборку из базы тех кто слал зашифрованный траффик в это время, при следующей активности делают выборку уже из первой выборки, так круг поиска быстро сужается, так же у них есть адреса и данные тех на кого оформлен интернет и сим карты, можно сопоставить с личностью преступника, а под пообщаться с пользователем тор, наверное имеется в виду прийти к попавшему в круг поиска домой и пообщаться,
судя по инсайду по вычислению телефонов
https://vk.com/wall-87505219_19674
скорее всего подобное имеется в виду под