Расследование киберугроз: Троллинг

Примечание редактора: эта статья является последней главой готовящегося к публикации «Руководства GIJN по расследованию киберугроз». Уже опубликованы первая глава, посвящённая дезинформации, вторая, посвящённая цифровой инфраструктуре, и третья, посвящённая цифровым угрозам (пока на английском). Мы представим это руководство полностью в сентябре 2023 года на Глобальной конференции журналистов-расследователей. 

В социальных сетях, чатах, интернет-сообществах и на других платформах мы часто сталкиваемся с людьми, которые провоцируют нас или других на эмоциональную реакцию. Их называют интернет-троллями.

В интернете троллем часто называют любого несогласного или саркастичного спорщика. Доказать, что человек намеренно занимается троллингом, бывает сложно, но увы, организованные кампании травли противников с помощью анонимных аккаунтов или пользователей под псевдонимами – теперь не редкость. Они сыплют оскорблениями и ругательствами, распространяют ложную или недостоверную информацию, встревают в реальные разговоры с оскорбительными или бессмысленными мемами. Их цель – вызвать раздражение, злобу, навязать определённую идею, негативно повлиять на жизнь человека или конкретной группы людей. Журналисты-расследователи должны научиться распознавать троллинг и различать, единичные ли это случаи или часть организованной кампании онлайн-преследования.

Троллинг как бизнес-модель

Для того, чтобы выявлять, анализировать и разоблачать троллей и кампании травли, необходимо понять, как троллинг стал бизнес-моделью.

В конце 80-х – начале 90-х годов термином «троллинг» называли поведение пользователей, высмеивавших новичков – такова была интернет-культура. Затем появились такие онлайн-сообщества, как 4chan и другие интернет-форумы, где троллинг был частью общепринятого поведения. Когда появились социальные сети, некоторые пользователи уже были знакомы с поведением сетевых троллей. Но для многих эта субкультура оказалась в новинку. По мере распространения интернета троллинг стал пересекаться с экстремальными формами социального поведения, в том числе с буллингом или вторжением в частную жизнь, и стал использоваться людьми, страдающими психологическими расстройствами.

Со временем государственные органы и политические деятели взяли троллинг на вооружение, чтобы атаковать своих противников, оппозицию и СМИ. В 2014 году утечка электронных писем раскрыла создание китайским режимом армии интернет-троллей – так называемая «50-центовая армия» насчитывала не менее 500 тысяч троллей, которые оставляли фальшивые комментарии к новостным статьям и в социальных сетях. К 2017 году численность этой армии возросла до двух миллионов человек. Целью этой масштабной операции было заглушить распространение обсуждений и сведений, неугодных режиму, и при этом поддержать правительство и Коммунистическую партию Китая.

В ходе кибервойн разоблачались и другие операции по астротурфингу (имитации общественной поддержки), об этом стали появляться новые исследования, отчёты и репортажи. В 2016 году Латвия столкнулась с киберугрозой со стороны России, которая включала в себя интернет-троллинг. В докладе НАТО, посвящённом латвийскому случаю, аналитики отметили разницу между классическими троллями (управляемыми одним или несколькими людьми) и гибридными троллями-ботами (частично автоматизированными, а частично управляемыми людьми).

Во время выборов в США в 2016 году российское Агентство интернет-исследований (АИИ) вело агрессивную кампанию по срыву выборов в США, используя фейковые учётные записи, которые троллили Хиллари Клинтон и её сторонников. Исследователи показали, что АИИ стало частью программы Кремля по вмешательству в выборы по всему миру. В 2018 году федеральные прокуроры США предъявили АИИ обвинение во вмешательстве в политическую систему США по сути путём троллинга и дезинформации. Троллинг прижился и в политических системах других стран. На Филиппинах обычным делом являются услуги маркетинговых агентств, которые специализируются на использовании троллей для распространения пропаганды и нападок на оппозицию.

Троллинг превратился в один из компонентов информационных операций и военных стратегий. Ботофермы и фабрики троллей в небольших европейских странах и некоторых регионах Азии производят и распространяют фейки в огромных масштабах. Аналогичная модель существует и в Латинской Америке, где агентства цифровых услуг создают «фабрики троллей» перед выборами, как это было на недавних президентских выборах в Мексике. Сегодня профессиональный троллинг – это глобальный бизнес.

Как тролли добиваются успеха

Не все тролли одинаковы, но есть некоторые устойчивые модели поведения и тактики, которые они используют. Вот наиболее распространённые из них:

1. Раскрутка с помощью социальных сетей: Тролли распространяют свои сообщения через социальные сети, часто создавая несколько аккаунтов или используя автоматические боты для расширения охвата своего контента. Получая «лайки», «репосты» и комментарии, тролли могут манипулировать алгоритмами платформ, чтобы сделать свой контент более заметным и охватить большую аудиторию.
2. Перехват хэштегов: Тролли отслеживают модные хэштеги или создают свои собственные для распространения дезинформации или травли конкретных людей. Так они могут внедрять свои сообщения в популярные обсуждения и получать больше просмотров.
3. Эмоциональное манипулирование: Тролли часто используют эмоционально окрашенную лексику и провокационный контент, чтобы вызвать возмущение или другую бурную реакцию у читателей. Распространена и так называемая «ферма ярости».
4. Астротурфинг: Тролли создают иллюзию массовой поддержки определённой деятельности, личности или идеи путём скоординированных публикаций с большого количества фальшивых аккаунтов. Такая тактика позволяет придать дезинформационным кампаниям более убедительный вид и создать видимость народной поддержки.
5. Кампании против лидеров общественного мнения: Тролли могут нападать на знаменитостей, политиков или известных людей, чтобы, используя их многочисленных подписчиков, привлечь к себе больше внимания.
6. Создание и распространение мемов: Тролли используют юмористические или провокационные мемы для распространения дезинформации или оскорбительных материалов. Мемы быстро вирусятся и охватывают большую аудиторию.
7. Дипфейки и монтаж: Тролли могут использовать передовые технологии для создания фейковых видеороликов, изображений или аудиозаписей с целью распространения дезинформации, дискредитации отдельных лиц или распространения теорий заговора.
8. Использование существующих разногласий: Тролли часто используют существующие в обществе разногласия по политическим, религиозным или культурным вопросам для разжигания вражды и поляризации дискуссий в интернете.

Тролли и травля в интернете

Чтобы понять, как работают «фабрики троллей», и как они организовывают кампании для травли и преследования, необходимо знать их принципы и методы работы.

Фабрики троллей создают фальшивые аккаунты в социальных сетях и веб-сайты для распространения своих нарративов. Они ведут кампании на конкретных платформах и в сообществах для усиления этих нарративов. Во многом они действуют как любое агентство цифрового маркетинга, генерируя сообщения и контент и стратегически ориентируя их на разные каналы для достижения своих целей.

Их действия в кампаниях травли можно рассматривать с двух ракурсов: роль в экосистеме раскрутки и роль в атакующей операции.

Экосистема раскрутки

Экосистема раскрутки – это набор сайтов, аккаунтов, каналов, страниц или пространств, используемых для распространения и усиления сообщений в рамках любой стратегии. На иллюстрации приведён пример элементов экосистемы раскрутки, используемой для манипулирования общественным мнением. У каждой стратегии есть подобная модель.

Модель экосистемы раскрутки (см схему ниже)

• Веб-сайты (Websites) – один или несколько веб-сайтов, которые можно использовать параллельно или последовательно в качестве источника.
• Соцсети (Social Media) – фейковые аккаунты в любой социальной сети. Гибридные с привлечением человека или боты.
• Рассылка (Newsletter) – использование нанятых или сфальсифицированных источников для распространения фейкового контента через электронную почту.
• Печатные СМИ (Printed Media) – авторы с вымышленными именами, использующие целый каскад источников, что затрудняет отслеживание.
• Подкасты (Podcasts) – создание собственного контента и упоминание в аудио- и видеоподкастах союзников.
• Приложения для обмена сообщениями (Messaging Apps) – группы и интернет-сообщества, распространяющие сфабрикованный контент через мессенджеры.
• Комментаторы (Brigading) – аккаунты, которые «флудят» в секции комментариев и отвечают в соцсетях и на веб-сайтах.
• Инфлюэнсеры (Influencers) – лидеры общественного мнения и влиятельные лица, привлечённые или нанятые для распространения сфабрикованного контента.

Различные элементы экосистемы раскрутки троллинговой кампании. Изображение предоставлено Луисом Ассардо.

Информационная атака

На следующей схеме показаны основные процессы распространения ложной или порочащей репутацию информации в социальных сетях.

1. Подготовка контента: сначала показана группа разнообразных одноразовых фальшивых аккаунтов (выделены жёлтым цветом), размещающих троллинговый контент (фейки, провокации, теории заговора и т.д.). Эти аккаунты могут не иметь базы подписчиков; их цель – размещать контент, который впоследствии будет перенаправлен на более широкую аудиторию.
2. Использование и распространение этого контента среди определённой аудитории (в основном это сторонники или радикально настроенные пользователи) группой аккаунтов, выделенных красным цветом (троллями и лидерами общественного мнения). Эти красные аккаунты провоцируют противников и взаимодействуют со сторонниками, используя созданный ранее контент. В случае, если администрации платформы (например, X (бывший Twitter) или Meta) направят жалобы о таком контенте, красные аккаунты избегут проблем, блокировки или теневого бана, поскольку они «всего лишь» перепостили кого-то другого. Под ограничения «подставляют» всегда только жёлтые аккаунты. Таким образом тролли избегают блокировки.
3. Органический охват. Как только провокационное сообщение достигнет аккаунтов из целевой аудитории (зелёной группы) и они начнут его репостить и комментировать, оно будет распространяться органически и охватит большую аудиторию. После этого другая группа аккаунтов из жёлтой категории (или та же самая, если они ещё не подверглись блокировке или другим ограничениям в ответ на жалобы пользователей) будет раскручивать посты зелёных аккаунтов.

Блок-схема стратегии развёртывания троллинговой кампании. Изображение предоставлено Луисом Ассардо.

Как журналисты-расследователи могут выявлять троллей и анализировать их работу

В расследовании троллей есть два основных этапа: выявление и анализ.

Выявление

На этапе выявления очень важно замечать подозрительные модели поведения или подозрительный контент, например, скоординированные публикации, повторяющиеся сообщения, внезапный рост числа негативных комментариев или реакций. Для этого необходимы инструменты анализа и мониторинга социальных сетей. Они позволяют отслеживать основные платформы, онлайн-форумы и другие цифровые пространства, где могут действовать «тролли». Также важно создать защищённый канал для получения информации от любого пользователя, который стал объектом атаки троллей. Если обращать внимание на признаки целенаправленных атак, доксинга и иных угроз, можно выявить потенциальную кампанию на ранних этапах.

Анализ

На этапе анализа журналисты должны изучить содержание сообщения, время публикации и происхождение подозрительной активности, чтобы определить, является ли она частью скоординированной кампании. Для этого оцениваются согласованность сообщений, профили участников (включая даты создания учётных записей, характер размещения сообщений, связь с другими известными аккаунтами троллей через взаимодействия или хэштеги), а также оценку потенциального влияния кампании на пострадавших.

Вот пример твитов от аккаунтов, созданных для раскрутки сообщений. По ним видно, что новосозданные (менее чем за 24 часа) аккаунты ретвитили всех, кто упоминал заданный ими хэштег. Они входили в группу из 200 аккаунтов, которые делали то же самое. С помощью специальных инструментов, например, Twitter Archiver, Tweet Archivist и любых других, используемых для сохранения твитов, можно обнаружить аккаунты, созданные в тот же день и час, обменивающиеся одинаковыми сообщениями и проявляющие высокую активность в одни и те же периоды времени.

Электронная таблица со списком аккаунтов Twitter, которые принимают участие в троллинге. Изображение предоставлено Луисом Ассардо

Методика обнаружения и анализа учётных записей потенциальных троллей

1. Наблюдайте за социальными сетями на предмет подозрительной активности, внезапных изменений в интонации или в содержании обсуждений в интернете.
2. Используйте инструменты мониторинга соцсетей, такие как Brandwatch, Meltwater, Brand24, Talkwalker и т.д., для отслеживания конкретных ключевых слов, хэштегов или фраз, которые могут быть связаны с кампаниями троллинга или травли.
3. Используйте инструменты сетевого анализа, такие как Graphext, Graphistry, Gephi или NodeXL для визуализации связей между учётными записями и выявления потенциальной координации.
4. Анализируйте содержимое сообщений на предмет закономерностей, связей или признаков дезинформации.
5. Изучите профили потенциальных троллей, включая даты создания учётных записей, характер сообщений и связи с известными аккаунтами троллей.
6. Сотрудничайте с другими журналистами, исследователями дезинформации или экспертами по кибербезопасности для проверки полученных данных и получения дополнительных сведений.
7. Документируйте всё и сохраняйте с помощью скриншотов и публичных архивов, например Wayback Machine.
8. Публикуйте статьи про выявленные кампании, чтобы привлечь к ним внимание и помочь смягчить их последствия.

Инструменты для выявления, анализа и визуализации троллинговых кампаний

• Инструменты визуализации данных: Tableau, D3.js или Google Data Studio.
• Инструменты сбора информации по открытым источникам (OSINT): Maltego, TweetDeck или Google Advanced Search.
• Ссылки для фактчекинга: Snopes, FactCheck.org или Full Fact.
• Условия предоставления услуг, правила и политика платформ социальных сетей (X, Facebook, TikTok и т.д.).
• Средства цифровой безопасности для защиты ваших данных и коммуникаций. Защищайте свои данные шифрованием.

Троллинг обычно осуществляется как с помощью учётных записей, использующих реальное имя или идентификатор, так и с помощью фейковых псевдонимов, как показано в данной таблице:

Разоблачение троллей: Расскажите о своих находках

В статье о работе троллей нужно указать четыре основных пункта: принцип их работы, тип используемого контента, умысел (если его можно доказать) и авторство (если его можно доказать).

Во-первых, важно описать контекст и общую информацию о кампании преследования или троллинга, в том числе пояснить происхождение и мотивы кампании, на кого она направлена, а также возможные связи с более широкими социальными или политическими проблемами. Предоставление такого контекста поможет читателям понять значение и возможные последствия кампании. Очень важно «не хайповать» и избегать сенсационных заявлений.

Необходимо привести методологию и доказательства, подтверждающие выявление и анализ разоблачаемой кампании. Поясните, какие инструменты, методы и источники данных использовались в ходе исследования, сохраняя при этом спокойный и объективный тон. Прозрачный анализ поможет вызвать доверие и убедить аудиторию в достоверности вашего репортажа, чтобы широкая публика его поняла и приняла.

Также учитывайте этические последствия ваших сообщений. Будьте осторожны: не помогайте в распространении сообщений троллей и не усиливайте травлю, воспроизводя оскорбительные материалы или распространяя их содержание ещё. Может, они этого и добивались! Всегда защищайте частную жизнь и безопасность людей, ставших объектом онлайн-преследований, не распространяйте конфиденциальную личную информацию или изображения без их согласия.

Информация, которую нужно включить в статью о кампаниях травли и троллинга

• Контекст и общая информация о кампании.
• Целевая аудитория. На каких людей и сообщества направлена кампания.
• Мотивы и цели преследователей или троллей.
• Доказательства скоординированности или организованных атак.
• Методология и инструменты, использованные для идентификации и анализа.
• Количественные и качественные данные, такие как количество сообщений или серьёзность преследований.
• Потенциальные последствия и воздействие на людей или сообщества, ставших мишенью травли.
• Связь с более широкими социальными или политическими проблемами, если это уместно.
• Любые действия, предпринятые платформами социальных сетей, правоохранительными органами или другими ответственными сторонами для решения проблемы.

Чего стоит избегать журналистам-расследователям при подготовке материалов

• Раздувание сенсации или преувеличение влияния кампании.
• Воспроизведение оскорбительных высказываний или вредоносных материалов без явной журналистской цели.
• Излишнее внимание целям или сообщениям троллей или преследователей.
• Нарушение неприкосновенности частной жизни или безопасности мишеней кампании путём распространения конфиденциальной информации или изображений без их согласия.
• Высказывание предположений о мотивах или личности преследователей или троллей без достаточных оснований.

Примеры из практики

Мы знаем об их происхождении, стратегии и тактике, но как выглядит троллинговая кампания? Ниже я привёл примеры, где показаны хорошо финансируемые кампании, содержащие огромное количество контента и задействовавшие тысячи преимущественно фальшивых аккаунтов.

Имиджмейкеры саудовцев: Армия троллей и инсайдер из Twitter – The New York Times

Джамаль Хашогги – саудовский журналист-диссидент, которого убили в 2018 году. До этого он стал мишенью масштабной кампании троллинга, когда его и других критиков властей в Саудовской Аравии пытались заставить замолчать.  Для этого использовали поддерживаемую государством сеть распространения дезинформации и клеветы. Это хороший пример того, как отслеживание троллинговых кампаний наряду с традиционной журналистской работой с источниками может раскрыть крупные операции по дезинформации, используемые в них ресурсы и тех, кто за ними стоит.

Мария Ресса: Борьба с волной насилия в интернете – Международный центр журналистов (ICFJ)

ICFJ проанализировал более 400 тысяч твитов и 57 тысяч постов и комментариев в Facebook, опубликованных в течение пяти лет в рамках кампании троллинга, направленной против генеральной директорки издания Rappler Марии Рессы – журналистки, получившей в 2021 году Нобелевскую премию мира. Используя инструменты сбора и визуализации данных, команде репортёров удалось понять, как действовали злоумышленники, и выявить ресурсы и авторов. Здесь главное – это однотипность поведения. А уровень насилия позволяет определить, кто стоит за атаками.

Рана Айюб: Целенаправленное насилие в интернете на стыке женоненавистничества и исламофобии– ICFJ

Рана Айюб – лауреатка журналистских премий, журналистка-расследовательница и обозревательница Washington Post. Её комментарии о насилии и нарушениях прав человека в Индии повлекли за собой кампанию троллинга, которая включала нападки на её репутацию, а также сексистские и женоненавистнические угрозы. Исследователи воссоздали хронологию преследований и травли за много лет, проанализировали около 13 миллионов твитов и контент традиционных СМИ, участвовавших в раскрутке этой кампании.

От сторонников Трампа до правозащитников: Лидеры общественного мнения, которые травили журналистку – Forbidden Stories

В феврале 2023 года Forbidden Stories опубликовали детальное расследование под названием «Убийцы историй». В ходе расследования была раскрыта операция по троллингу Гады Оуэйс, журналистки с большим послужным списком, работающей в Al Jazeera. Журналисты, расследовавшие это дело, проследили основные профили, участвовавшие в кампании травли, и определили, какие сети были в ней задействованы.

Дополнительные ресурсы

Советы Крэйг Сильвермана и Джейн Литвиненко по расследованию дезинформации.

Как противостоять онлайн-насилию, цель которого – заставить журналисток замолчать.

Советы по цифровой безопасности.  

Луис Ассардо – фрилансер, тренер по цифровой безопасности, исследователь открытых источников и журналист-расследователь, основатель гватемальского проекта по борьбе с дезинформацией Confirmado. Удостоен наград за свои расследования и исследования, посвящённые «фабрикам троллей», дезинформации, радикализации, языку вражды и операциям влияния. Работает в Берлине, сотрудничает с организацией «Репортёры без границ» (RSF), Holistic Protection Collective (HPC) и другими правозащитными организациями.