Расследование киберугроз: Введение

Цифровые устройства, продукты и услуги затрагивают практически все аспекты современной жизни. Они везде – и поэтому появляется всё больше опасностей, цифровых атак и угроз: от преследований, кражи личных данных и мошенничества до шпионских программ, вредоносного ПО, программ-вымогателей и DDOS-атак.

Цифровые угрозы распространяются по разным странам, языкам и платформам. Дезинформационная кампания антивакцинаторов, которые пытались подкупить лидеров общественного мнения в Испании и Германии, оказалась делом рук российской фирмы. Атака со шпионским программным обеспечением против редакции новостей в Сальвадоре была совершена с помощью ПО, произведённого израильской компанией. Обелить онлайн-репутацию политиков и преступников пыталась, как выяснилось, испанская фирма. А агрессивную рекламу сомнительных медицинских препаратов в Бразилии запустила американская компания. За этими действиями стоят как государственные органы, так и компании, частные лица и киберпреступные группировки.

Фейковые аккаунты в социальных сетях, изображения и видео, сгенерированные искусственным интеллектом, кампании онлайн-атак и накруток хэштегов – вот лишь несколько тактик, используемых для привлечения аудитории, влияния на общественное мнение, заработка денег и причинения вреда.

Цифровые угрозы и люди, стоящие за ними – готовое поле для расследований. При этом для журналистов эта тема приобретает дополнительную актуальность, поскольку такие атаки часто направлены против них самих и их редакций, с целью заставить их замолчать и подорвать доверие к прессе. Журналисты всех видов медиа и всех стран должны понимать, что такое цифровые угрозы, как их разоблачать и защищать себя и своих коллег.

Глобальная сеть журналистов-расследователей создала учебную программу по расследованию цифровых угроз, чтобы помочь репортёрам изучать цифровую среду и разоблачать атаки и манипуляции. В рамках своей миссии по распространению расследовательских навыков среди как можно большего числа журналистов и редакций GIJN решила создать «Руководство журналиста по расследованию цифровых угроз».

В этой вводной главе мы предлагаем обзор основ цифровых расследований. Первая часть руководства посвящена дезинформации, во второй части мы рассмотрим цифровую инфраструктуру, в третьей части – обзор ландшафта цифровых угроз, а в четвёртой – кампании троллинга.

Авторы руководства описали образ мышления, методы и инструменты, необходимые журналистам для расследования цифровых угроз. Итак, с чего же начинать?

Расследовательский образ мышления

Для цифровых расследований нужны навыки наблюдения, анализа, поиска источников, выбора инструментов и методов. Лучше всего сочетать их с традиционными журналистскими приёмами: разработкой источников, поиском и получением документов. Цифровые навыки и инструменты не заменяют традиционные репортажи, но могут улучшить практически любой материал и имеют решающее значение для расследования цифровых угроз.

Прежде всего, необходимо освоить расследовательский образ мышления, знать об уязвимостях цифровой среды и о своих собственных. Мы, люди, склонны относиться к информации эмоционально, мы подвержены предубеждениям на основе предыдущего опыта и особенностей восприятия. Журналисты тоже могут стать жертвой обмана или информационно-психологических спецопераций. Поэтому ваш образ мышления важнее любых инструментов и методик.

«То, что люди воспринимают, как легко они это воспринимают и как обрабатывают информацию после её получения, зависит от предыдущего опыта, образования, культурных ценностей, общественных ролей и организационных норм, а также от специфики полученной информации», ­– пишет Ричардс Дж. Хойер-младший в своей книге «Психология разведывательного анализа». (Она была написана для аналитиков Центрального разведывательного управления, но книга полезна и для журналистов).

Журналистика – это прежде всего умственная деятельность. Некоторые из наших решений и действий являются осознанными и принимаются после обдумывания и консультаций с коллегами, редакторами, экспертами и источниками. Некоторые – автоматические, основанные на привычке или инстинкте. «Умственная работа, которая порождает впечатления, интуицию и многие решения, незаметно происходит в нашем сознании», – пишет Дэниел Канеман в книге «Думай быстро… решай медленно».

Успешные расследователи прилагают осознанные усилия, чтобы перепроверить свои решения и предположения, а лежащие в их основе предыдущие знания и опыт. Журналисты обращают внимание на то, как собирают и интерпретируют информацию.

В своей книге об анализе разведданных Хойер-младший призывает аналитиков «думать о том, как именно они выносят суждения и делают выводы, а не только о самих суждениях и выводах». Суть в том, что мы должны думать о своём мышлении.

Такой подход соответствует основному журналистскому принципу: проверять. Журналистика – это «дисциплина верификации», – пишут Том Розенстил и Билл Ковач в книге «Элементы журналистики». Мы не принимаем на веру и не публикуем информацию, не проверив её.

Это здравый совет для всех журналистов, но особую актуальность верификация приобретает в цифровой среде, которая сейчас изобилует фейками и манипуляциями. Фальшивые аккаунты в социальных сетях, поддельные сайты, лживая реклама, накрученные хэштеги – мы не сможем разоблачить угрозы, если позволим себя обмануть. Первым шагом на этом пути должно стать принятие расследовательского образа мышления.

Система ABC

В 2019 году аналитик Камилла Франсуа опубликовала работу, в которой изложила схему «ABC» для осмысления и расследования «вирусного обмана».

Книга «Руководство по верификации: дезинформация и манипулирование в СМИ».

 «Манипулирующие субъекты, вводящие в заблуждение действия, вредоносный контент: у каждого из этих векторов свои характеристики, трудности и последствия», – написала она (выделено ею). [Первые буквы английских слов Actors, Behavior, Content составляют аббревиатуру ABC, которая и дала название модели – прим. пер.]

Модель «субъекты, действия, контент» изначально ориентирована на расследование дезинформации, но применима для расследования различных цифровых угроз. Цифровое расследование может начаться с конкретного субъекта, элемента контента, наблюдаемых действий или любой их комбинации.

«Не существует единого правила для определения первого звена в цепи», – пишет Бен Ниммо в «Руководстве по верификации: Дезинформация и манипулирование в СМИ». «Самая эффективная стратегия – искать нестыковки». Это может быть аккаунт в Twitter якобы из Теннесси, но зарегистрированный на российский номер мобильного телефона; это может быть страница в Facebook, которая утверждает, что базируется в Нигере, но управляется из Сенегала и Португалии».

Может быть, это часть контента, которая кажется неуместной, особенно вопиющей или иным образом примечательной. Это может быть пост в социальных сетях, веб-страница, смс. Джейн Литвиненко описывает основные подходы контент-анализа в своей главе данного руководства, посвящённой расследованию дезинформации:

Есть несколько вопросов, которые могут помочь в анализе: когда были созданы аккаунты, когда опубликовали контент, кто распространял его на разных платформах и что общего в самом контенте? Например, один и тот же сайт продвигают в Facebook и в Twitter, или лидеры общественного мнения из TikTok используют одинаковые заготовленные формулировки для обсуждения какого-либо вопроса. Своевременность также может быть показательной, если какой-то контент начали распространять в течение нескольких минут или даже секунд с похожих аккаунтов.

Цифровая среда, в которой изображения, видео, веб-контент и сообщения в социальных сетях легко изготовить или лишить критически важного контекста, требует от журналистов особой осторожности. Как отмечалось выше, в цифровой среде, где царит манипулирование контентом и контекстом, особенно важной становится верификация.

Верификация – это не просто концепция. Это повторяющийся, дисциплинированный процесс. Существует пять столпов цифровой верификации. First Draft поясняет их в этом подробном обзоре:

• Происхождение: перед вами оригинал контента?
• Источник: кто создал этот контент?
• Дата: когда был создан контент?
• Место: где был создан контент?
• Мотивация: зачем был создан контент?

Очень важно искать первоисточник изображения, видео, заявления или другой информации. Проверка даты, местоположения и других деталей обеспечивает уверенность в происхождении и контексте контента. Для этого важны такие инструменты и методы, как обратный поиск по изображениям и поисковые операторы, о которых рассказала Джейн.

Субъекты в модели Франсуа могут быть самыми разными. Поиск может привести к частному лицу, компании или государственному органу. Часто отправной точкой может стать номер телефона, с которого пришло вредоносное сообщение или угрозы, аккаунт (или набор аккаунтов) в социальных сетях или анонимный издатель веб-сайта.

Среди ключевых вопросов, которые необходимо учитывать при анализе профилей в социальных сетях, можно назвать следующие:

• Когда был создан аккаунт?
• Какая информация, связи и ссылки указаны в биографии?
• Что на фото профиля? Используется ли эта фотография в других местах? Изображён ли на ней человек, о котором идёт речь? (Здесь полезен обратный поиск по изображениям.)
• С какими аккаунтами этот аккаунт взаимодействует?
• Можно ли найти другие аккаунты этого человека или организации в других соцсетях? Используют ли они одно и то же имя пользователя на разных платформах? Инструмент whatsmyname.app – отличный способ поиска имени пользователя в сотнях онлайн-сервисов. Учтите, если существует аккаунт с таким же именем пользователя, это ещё не значит, что он принадлежит одному и тому же человеку!

Для веб-сайтов сперва попробуйте следующие приёмы, а также обратитесь к этому полезному контрольному списку для определения собственника сайта:

• Нажимайте на все главные меню и прокручивайте страницу вниз до «подвала», чтобы найти другие страницы, которые стоит посетить. В целом, заходите везде, нажимайте на все линки, познакомьтесь с сайтом.
• Указан ли на странице «Про нас» его владелец или какое-то юридическое лицо? Если страницы «Про нас» вообще нет, на это тоже стоит обратить внимание.
• Указана ли компания или контактное лицо в уведомлении об авторских правах в самом низу главной или любой другой страницы?
• Указаны ли имена, адреса или юридические лица в политике конфиденциальности или правилах предоставления услуг? Отличаются ли они от тех, что указаны в нижнем колонтитуле, на странице «Про нас» или в других местах на сайте?
• Если на сайте публикуются статьи, обратите внимание на их заголовки и на то, кликабельны ли они. Посмотрите, не ведут ли они на страницу автора с дополнительной информацией. Погуглите текст статьи и текст со страницы «Про нас», чтобы проверить, нет ли плагиата.
• Есть ли на сайте связанные с ним аккаунты в социальных сетях? Есть ли на сайте список продуктов, клиентов, отзывов и т. д., на которые стоит обратить внимание?

Третий элемент модели Франсуа – действия.

• Какой контент и аккаунты шерит или лайкает данный субъект/аккаунт?
• Как часто он комментирует или постит? Отвечает ли аккаунт другим больше, чем публикует свой собственный контент?
• Участвует ли он в скоординированной деятельности с другими аккаунтами, имеющими схожие характеристики?
• Был ли аккаунт неактивным в течение нескольких месяцев или лет, прежде чем снова ожил?
• Менялась ли направленность и цель веб-сайта с течением времени?
• Если это рассылка шпионского ПО, она распространяется только через смс или ещё и другими методами?

Когда речь заходит о дезинформации и троллинге, следует учитывать сформулированные Франсуа признаки обманных манипулятивных действий.

«Эти методы варьируются от автоматизированных инструментов (например, армий ботов, используемых для усиления охвата и эффекта сообщения) до традиционных (например, платное привлечение аудитории, фермы троллей)», – пишет она. «В конечном итоге, все накрутки преследуют чёткую цель: дать возможность небольшому количеству участников оказать такое же воздействие, какое оказало бы большее число участников, если бы кампания была органичной».

Не стоит забывать, что субъекты с разными мотивами могут демонстрировать схожее поведение и производить или усиливать схожий контент. Пример тому – выборы в США 2016 года. Профессиональные тролли, работающие на российское «Агентство интернет-исследований» (АИИ), создавали или продвигали контент, который был практически неотличим от десятков протрамповских или антиклинтоновских страниц в Facebook и сайтов, запущенных финансово мотивированными спамерами в Северной Македонии.

Крэйг Сильверман был соавтором расследования об управляемой из Северной Македонии спам-кампании в поддержку Трампа и против Клинтон во время выборов в США в 2016 году. Скриншот: BuzzFeed News

Перед «АИИ» стояла политическая задача повлиять на результат или сорвать выборы, а македонцы просто хотели заработать. Но они демонстрировали схожее поведение и публиковали схожий контент. Расследование, сосредоточенное на контенте и действиях, но игнорирующее действующих субъектов и их мотивы, не смогло бы раскрыть полную картину.

Нужно как можно лучше понять и изучить мотивы субъектов, чтобы понять контекст контента и наблюдаемых действий. Вот почему каждый элемент модели ABC важен и сам по себе и в сочетании с двумя другими.

Мониторинг, документирование и анализ

Теперь давайте рассмотрим три ключевых этапа цифровых расследований: мониторинг, документирование и анализ.

Мониторинг

На этапе мониторинга вы определяете ряд цифровых объектов, наблюдаете за ними и постоянно сохраняете данные. Это могут быть, в частности, учётные записи, веб-сайты, группы, каналы, IP-адреса. Вы можете отслеживать контент и действия в списках Twitter, вести электронную таблицу аккаунтов и ссылок на контент, периодически делать запросы в поисковых системах и социальных сетях для выявления субъектов, контента и действий, а также использовать такие инструменты, как Google Alerts и Distill, для отслеживания важных для вашего расследования элементов.

Пять элементов мониторинга:

• Поиск: составляйте и уточняйте запросы для социальных, поисковых и других платформ, чтобы выявить интересующие вас аккаунты и другие объекты.
• Сохранение и сбор: добавляйте найденные объекты и профили в электронную таблицу, следите за ними/подключайтесь/подписывайтесь и получайте оповещения, если это возможно.
• Наблюдение и уточнение: анализируйте контент и действия на постоянной основе. Добавляйте новые объекты и новых субъектов, удаляйте неактуальные.
• Документирование и архивирование: собирайте скриншоты и URL-адреса, архивируйте релевантный контент, делайте заметки о шаблонах, удалениях, изменениях, выводах.
• Не останавливайтесь!

Не допускайте нерегулярности, пропуская дни или недели без анализа субъектов и контента. Методичность повышает вероятность обнаружения моделей поведения, примечательного контента и новых участников, имеющих отношение к вашему расследованию.

Очень важно рассматривать эту работу как постоянно повторяющийся на разных платформах процесс. Добавляйте и удаляйте ключевые слова и объекты, изучайте поток контента и действия субъектов на разных платформах, чтобы адаптировать и усовершенствовать свой подход. Цель – постоянный поток релевантной информации, которую можно наблюдать, систематизировать и анализировать.

Документирование

Интернет постоянно растёт, развивается и, в некотором роде, приходит в упадок. Ссылки устаревают, сайты и веб-страницы удаляют, инфраструктура меняется, аккаунты и сообщения удаляют или вносят в них изменения. Аккаунт или пост, который вы просматривали несколько минут или дней назад, может исчезнуть. Ничто не вечно. Также опасно полагаться на память. Вы не сможете вспомнить всё, что видели, или какие шаги привели вас к определённому объекту.

Важно документировать находки сразу же, когда вы их обнаруживаете.

По мере мониторинга документируйте примечательные фрагменты контента, интересные примеры действий и свои наблюдения. Делайте заметки о своих мыслях и впечатлениях и организуйте их таким образом, чтобы вам было удобно просматривать и продолжать документировать. Делайте скриншоты и сохраняйте их на компьютере, а также используйте инструменты архивирования (подробнее об этом ниже).

Документирование – важнейший компонент цифровых расследований. Оно работает в комплексе с мониторингом и обеспечивает процесс анализа. Документирование включает в себя два ключевых элемента: архивирование и ведение записей.

Архивирование

Архивирование – это процесс сохранения и консервации контента и цифровых объектов, с которыми вы столкнулись в ходе расследования. Оно гарантирует, что вы сможете вернуться и пересмотреть увиденное, а также сохранить доказательства.

Наиболее полезным инструментом архивирования является Wayback Machine от Internet Archive. Он позволяет сохранять общедоступные версии большинства веб-страниц и работает с некоторыми, хоть не со всеми, социальными сетями. В этой статье мы рассказали о различных функциях и передовых практиках использования Wayback Machine и её расширения для браузера.

Другие доступные инструменты архивирования: Archive.today, Perma.cc.

Также полезно создавать личный архив на своём устройстве. Делайте скриншоты по ходу работы или используйте инструменты, автоматизирующие процесс сохранения. Вот некоторые из них:

Плагин для Chrome: Go Full Page (бесплатный), Hunchly (платный), Webrecorder (бесплатный), Screenpresso (бесплатный), Bellingcat’s Auto Archiver (бесплатный)

Они позволяют собрать (и в некоторых случаях упорядочивают) скриншоты и другие данные из веб-контента. Какой бы из них вы ни выбрали, обязательно создавайте аннотации и упорядочивайте снимки экрана и архивы, чтобы не получить в итоге огромную папку с неподписанными скриншотами!

Архивы – ещё и отличное место для поисков. Изучая веб-сайты и аккаунты в социальных сетях, проверьте, какие их версии Wayback Machine, Archive.today и другие сервисы сохранили ранее.

Wayback Machine сохраняет веб-страницы и может стать бесценным ресурсом для отслеживания истории сайта. Изображение: Shutterstock

Ведение заметок

Архивирование должно сопровождаться ведением заметок. Это стандартная практика для журналистов. В цифровых расследованиях обычно приходится сочетать структурированные и неструктурированные заметки. Примером структурированных заметок может служить электронная таблица с перечнем всех аккаунтов в социальных сетях, страниц, каналов, веб-сайтов и других активов, которые вы связали с одной операцией или организацией или которые входят в ваш график мониторинга. Это поможет вам в отслеживании и упорядочивании найденных цифровых активов.

В книге «Руководство по верификации: Дезинформация и манипулирование в СМИ» Бен Ниммо описал типы информации, которую можно включать в свою электронную таблицу:

Указывайте, как был найден объект (это очень важно), его название (или имя профиля) и URL-адрес, дата создания (если известна), а также количество подписчиков и подписок, лайков и/или просмотров. Также указывайте базовое описание объекта (например, «просаудовский аккаунт на арабском языке с фотографией Эммы Уотсон в профиле»), чтобы вы, просмотрев 500 других объектов, вспомнили, что там было. Если вы работаете в команде, отмечайте ещё, кто из команды какой объект исследовал.

Неструктурированные записи могут представлять собой Google Документ или другой текстовый редактор, который вы используете для записи своих мыслей, впечатлений, гипотез и информации, полученной в ходе мониторинга и поиска. Не существует единственно верного способа фиксировать эту информацию. Важно, чтобы она была в формате, к которому вы можете легко получить доступ и в котором легко ориентироваться, а также чтобы вам было удобно фиксировать мысли и информацию в нужный момент. Как и в случае с архивированием, не полагайтесь на память.

Архивировать и вести заметки лучше параллельно: сохраняя контент, делайте заметки о том, что вы смотрите и как вы это нашли.

Цель – записывать и архивировать всё, что может представлять интерес, чтобы вы могли собрать всё воедино и не пытаться вспомнить то, на что вы наткнулись несколько дней или недель назад. Или, что ещё хуже, обнаружить, что вы забыли заархивировать ключевой пост или веб-страницу, которая с тех пор была удалена.

Анализ

На этапе анализа вы просматриваете и оцениваете собранную информацию, определяете её ценность и достоверность, делаете выводы.

В этом процессе в том числе нужно выявить связи между субъектами и объектами с использованием модели ABC, а также других подходов, описанных в главах данного руководства. В идеальном случае вы сможете определить человека, группу или организацию, которая стояла за кампанией по дезинформации, троллингу или рассылке шпионского ПО. Но для этого требуются веские доказательства. Мы стремимся определить виновных и привлечь их к ответственности. Но не удивляйтесь и не расстраивайтесь, если не получится подтвердить факты до уровня, позволяющего опубликовать информацию.

Обычно при расследовании цифровых угроз необходимо доказать существование онлайн-операции, продемонстрировав последовательное схожее поведение и контент разных субъектов. Или выявить связи между веб-сайтами через общую цифровую инфраструктуру, например аналитические или рекламные идентификаторы или IP-адреса, как отмечает Этьен Майнье в главе о цифровой инфраструктуре.

Цифровые инструменты и методы, описанные в главах этого руководства, помогут вам установить важные связи и способ координации. Но вы не всегда сможете доказать, кто управляет аккаунтами, веб-сайтами или другими объектами.

Возможно, получится определить причастных, но не всегда будет ясно, действовали ли они в одиночку, платили ли им и какова была мотивация.

Но главное, что у вас всё равно будет интересный материал для публикации, даже если нет полной информации о том, кто стоит за угрозой. Но стоит быть честным со своей аудиторией и не выходить за рамки того, что верифицировано и точно установлено.

Наиболее успешные примеры выявления всех причастных сочетают в себе методы цифровых расследований с традиционным поиском и документированием. Выявляйте и развивайте источники на цифровых платформах и в индустрии шпионских программ и информационной безопасности. Старайтесь получить документы: платёжные ведомости, базы данных клиентов и внутренние коммуникации, которые покажут закулисье операции. Документальные подтверждения или свидетельства очевидцев часто дадут окончательную уверенность в том, кто стоит за угрозой или операцией.

Передовые практики в публикации материалов

Освещение угроз сопряжено с определёнными рисками. Существует вышеупомянутый шанс, что вы и ваша организация станете мишенью для очередной операции, вредоносного программного обеспечения или действий тех субъектов, которых вы разоблачаете в своих репортажах. Также есть риск непреднамеренно причинить вред, подробно рассказав об угрозе без должного контекста, подставить потерпевших, или помочь фигуранту расследования расширить охват аудитории.

Это особенно актуально при освещении дезинформации. К счастью, у First Draft есть бесплатные онлайн-руководства, в которых описаны передовые практики в различных областях, как и в главе Джейн Литвиненко. Луис Ассардо в своей главе о троллинге советует, как свести к минимуму вред от ваших репортажей. В частности, следует избегать преувеличения или раздувания сенсаций; воспроизведения оскорбительного или вредоносного контента без чёткой журналистской цели; нарушения неприкосновенности частной жизни или создания угрозы безопасности пострадавших в результате распространения конфиденциальной информации или изображений без согласия.

Если ваше расследование включает в себя технический анализ, подумайте, как найти баланс между необходимостью объяснить и доказать читателям свои выводы и тем, чтобы не создавать методичку для новых злоумышленников.

Как всегда, избегайте спекуляций, проверяйте и перепроверяйте свои предположения и выводы и сообщайте только то, что можете доказать.

Образ мышления важнее инструментов

Ознакомившись с этими основами, вы будете готовы погрузиться в остальные части руководства. В каждой главе вы найдёте множество советов, методик и инструментов, которые помогут любому журналисту или всей редакции разоблачить цифровые угрозы. Все соавторы этого руководства сходятся в том, что такая работа требует фундаментальных навыков верификации, сбора и анализа информации, разработки источников и принятия сложных решений.

Погружаясь в изучение новых инструментов и методов, помните, что ваша осознанность и стремление проверять информацию, придерживаться доказательств и думать о своём мышлении в итоге определяют ваш успех.

Крэйг Сильверман – репортёр издания ProPublica, занимающийся вопросами голосования, цифровых платформ, дезинформации и онлайн-манипуляций. Ранее он работал в должности медиаредактора в BuzzFeed News, где был одним из первых, кто начал освещать проблемы цифровой дезинформации.