Думаю делают запрос в целевую соц сеть, они предоставляют ip-адрес пользователя. Если он не использовал tor или анонимные прокси то все, привет. Если использовал, то смотрят исходящие потоки с соц сети и ресурсы с которых пришел, пытаются выстроить цепочку просмотров.
Сегодня соц сети привязаны к мобильному, значит исследуют этот вопрос, если сим-карта зарегистрирована на злоумышленника, то все ок и его быстро находят. Если зарегистрирована на рога и копыта то вешают прослушку или просят оператора предоставить данные за год о местоположении. На их основе можно составить статистику перемещений и примерное место постоянного пребывания. А все остальное - дело техники
