Розслідування кіберзагроз: Тролінг

Примітка редактора: це останній розділ «Посібника GIJN із розслідування кіберзагроз», що був презентований у вересні 2023 року на Глобальній конференції журналістів-розслідувачів. 

У соціальних мережах, чатах, інтернет-спільнотах та на інших платформах ми часто стикаємося з людьми, які провокують нас чи інших на емоційну реакцію. Їх називають інтернет-тролями.

В інтернеті тролем часто називають будь-якого незгодного чи саркастичного сперечальника. Довести, що людина навмисно займається тролінгом, буває складно, але, на жаль, організовані кампанії цькування супротивників за допомогою анонімних облікових записів або користувачів під псевдонімами — тепер не рідкість. Вони сиплють образами та лайками, поширюють неправдиву чи недостовірну інформацію, втручаються у реальні розмови з образливими чи безглуздими мемами. Їхня мета — викликати роздратування, злість, нав’язати певну ідею, негативно вплинути на життя людини чи конкретної групи людей. Журналісти-розслідувачі повинні навчитися розпізнавати тролінг і розрізняти, чи це поодинокі випадки або частина організованої кампанії онлайн-переслідування.

Тролінг як бізнес-модель

Для того, щоб виявляти, аналізувати та викривати тролів та кампанії цькування, необхідно зрозуміти, як тролінг став бізнес-моделлю.

Наприкінці 80-х – початку 90-х років терміном «тролінг» називали поведінку користувачів, які висміювали новачків — такою була тоді інтернет-культура. Потім з’явилися такі онлайн-спільноти, як 4chan та інші інтернет-форуми, де тролінг був частиною загальноприйнятої поведінки. Коли з’явилися соціальні мережі, деякі користувачі були знайомі з поведінкою мережевих тролів. Але для багатьох ця субкультура була незвичною. Із поширенням інтернету тролінг став перетинатися з екстремальними формами соціальної поведінки, у тому числі з булінгом, цькуванням або вторгненням у приватне життя, ним зловживали люди, які страждають на психічні розлади.

Згодом державні органи та політичні діячі взяли тролінг на озброєння, щоб атакувати своїх супротивників, опозицію та ЗМІ. У 2014 році витік електронних листів викрив створення китайським режимом армії інтернет-тролів — так звана «50-центова армія» налічувала не менше 500 тисяч тролів, які залишали фальшиві коментарі до статей, новин і в соціальних мережах. До 2017 року чисельність цієї армії зросла до двох мільйонів людей. Метою цієї масштабної операції було придушити поширення обговорень та відомостей, які не подобалися режиму, а натомість підтримати уряд та Комуністичну партію Китаю.

У ході кібервійн викривали й інші операції з астротурфінгу (імітації громадської підтримки), про це почали публікувати нові дослідження, звіти та репортажі. У 2016 році Латвія зіткнулася з кіберзагрозою з боку Росії, яка включала й інтернет-тролінг. У доповіді НАТО, присвяченій латвійській ситуації, аналітики відзначили різницю між класичними тролями (керованими одним або декількома людьми) та гібридними тролями-ботами (частково автоматизованими, а частково керованими людьми).

Під час виборів у США в 2016 році російське Агентство інтернет-досліджень (АІД) вело агресивну кампанію зі зриву виборів у США, використовуючи фейкові облікові записи, які тролили Хілларі Клінтон та її прихильників. Дослідники показали, що АІД стало частиною програми Кремля з втручання у вибори по всьому світу. У 2018 році федеральні прокурори США звинуватили АІД у втручанні в політичну систему США по суті шляхом тролінгу та дезінформації. Тролінг прижився й у політичних системах інших країн. На Філіппінах звичайною справою є послуги маркетингових агентств, які спеціалізуються на використанні тролів для поширення пропаганди та атак на опозицію.

Тролінг перетворився на один із компонентів інформаційних операцій та воєнних стратегій. Ботоферми та фабрики тролів у невеликих європейських країнах та деяких регіонах Азії виробляють та розповсюджують фейки у величезних масштабах. Аналогічна модель існує і в Латинській Америці, де агенції цифрових послуг створюють «фабрики тролів» перед виборами, як це було на недавніх президентських виборах у Мексиці. Сьогодні професійний тролінг — це глобальний бізнес .

Як тролі досягають успіху

Не всі тролі однакові, але є деякі стійкі моделі їхньої поведінки та тактики. Ось найпоширеніші з них:

1. Розкрутка за допомогою соціальних мереж: тролі розповсюджують свої повідомлення через соціальні мережі, часто створюючи кілька облікових записів або використовуючи автоматичних ботів для розширення охоплення свого контенту. Отримуючи «вподобайки», «репости» та коментарі, тролі можуть маніпулювати алгоритмами платформ, щоб зробити свій контент помітнішим й охопити велику аудиторію.
2. Перехоплення хештегів: тролі відстежують модні хештеги або створюють свої власні для поширення дезінформації або цькування конкретних людей. Так вони можуть долучати свої повідомлення до популярних обговорень та отримувати більше переглядів.
3. Емоційне маніпулювання: тролі часто використовують емоційно забарвлену лексику та провокативний контент, щоб викликати обурення або іншу бурхливу реакцію в читачів. Поширена й так звана «ферма люті».
4. Астротурфінг: тролі створюють ілюзію масової підтримки певної діяльності, особистості чи ідеї шляхом скоординованих публікацій з великої кількості фальшивих облікових записів. Така тактика дозволяє надати дезінформаційним кампаніям переконливішого вигляду й створити видимість народної підтримки.
5. Кампанії проти лідерів громадської думки: тролі можуть нападати на знаменитостей, політиків або відомих людей, щоб, використовуючи їх численних підписників, привернути більше уваги.
6. Створення та розповсюдження мемів: тролі використовують гумористичні чи провокаційні меми для поширення дезінформації або образливих матеріалів. Меми швидко вірусяться й охоплюють велику аудиторію.
7. Дипфейки та монтаж: тролі можуть використовувати передові технології для створення фейкових відеороликів, зображень або аудіозаписів з метою розповсюдження дезінформації, дискредитації окремих осіб або поширення теорій змови.
8. Використання наявних розбіжностей: тролі часто використовують розбіжності з політичних, релігійних чи культурних питань, що існують у суспільстві, для розпалювання ворожнечі та поляризації дискусій в інтернеті.

Тролі та цькування в інтернеті

Щоб зрозуміти, як працюють «фабрики тролів» і як вони організовують кампанії для цькування та переслідування, необхідно знати їхні принципи та методи роботи.

Фабрики тролів створюють фальшиві облікові записи в соціальних мережах та веб-сайтах для поширення своїх наративів. Вони ведуть кампанії на конкретних платформах та у спільнотах для посилення цих наративів. Багато в чому вони діють як будь-яка агенція цифрового маркетингу, генеруючи повідомлення та контент та стратегічно орієнтуючи їх на різні канали для досягнення своїх цілей.

Їхні дії в кампаніях цькування можна розглядати з двох ракурсів: роль в екосистемі «розкрутки» та роль в онлайн-атаках.

Екосистема «розкручування»

Екосистема розкручування — це набір сайтів, акаунтів, каналів, сторінок або просторів, які використовуються для розповсюдження та посилення повідомлень у рамках будь-якої стратегії. На ілюстрації наведено приклад елементів екосистеми розкручування, що використовується для маніпулювання громадською думкою. Кожна стратегія має таку модель.

Модель екосистеми «розкручування» (див. схему нижче)

• Веб-сайти (Websites) — один або кілька веб-сайтів, які можна використовувати паралельно або послідовно як джерело.
• Соцмережі (Social Media) — фейкові акаунти в будь-якій соціальній мережі. Гібридні — із залученням людини — або боти.
• Розсилка (Newsletter) — використання найнятих або сфальшованих джерел для поширення фейкового контенту через електронну пошту.
• Друковані ЗМІ (Printed Media) — автори з вигаданими іменами, які використовують цілий каскад джерел, що ускладнює відстеження.
• Подкасти (Podcasts) — створення власного контенту та згадка в аудіо- та відеоподкастах союзників.
• Додатки для обміну повідомленнями (Messaging Apps) — групи та інтернет-спільноти, що розповсюджують сфабрикований контент через месенджери.
• Коментатори (Brigading) — акаунти, які «флудять» у секції коментарів та відповідають у соцмережах та на веб-сайтах.
• Інфлюенсери (Influencers) — лідери громадської думки та впливові особи, залучені чи найняті для поширення сфабрикованого контенту.
  

  Різні елементи екосистеми розкручування тролінгової кампанії. Зображення надав Луїс Ассардо.

Інформаційна атака

На наступній схемі показані основні процеси поширення хибної або ганебної для репутації інформації в соціальних мережах.

1. Підготовка контенту: спочатку група різноманітних одноразових фальшивих акаунтів (виділені жовтим кольором) розміщують тролінговий контент (фейки, провокації, теорії змови і т.д.). Ці облікові записи можуть не мати бази передплатників; їхня мета — публікувати контент, який згодом буде перенаправлений на ширшу аудиторію.
2. Використання та розповсюдження цього контенту серед певної аудиторії (в основному це прихильники або радикально налаштовані користувачі) групою облікових записів, виділених червоним кольором (тролями та лідерами громадської думки). Ці червоні облікові записи провокують супротивників і взаємодіють з прихильниками, використовуючи створений раніше контент. У випадку, якщо адміністрація платформи (наприклад, X (колишній Twitter) або Meta) отримає скарги про такий контент, червоні акаунти уникнуть проблем, блокування або тіньового бана, оскільки вони «лише» перепостили когось іншого. Під обмеження й санкції «підставляють» завжди лише жовті облікові записи. Таким чином тролі уникають блокування.
3. Органічне охоплення. Як тільки провокаційне повідомлення досягне облікових записів із цільової аудиторії (зеленої групи) і вони почнуть його репостити й коментувати, воно поширюватиметься органічно та охопить велику аудиторію. Після цього інша група акаунтів із жовтої категорії (або та сама, якщо вони ще не піддалися блокуванню або іншим обмеженням у відповідь на скарги користувачів) буде розкручувати пости зелених акаунтів.

Блок-схема стратегії розгортання тролінгової кампанії. Зображення надав Луїс Ассардо.

Як виявляти тролів та аналізувати їхню роботу

У розслідуванні тролів є два основні етапи: виявлення та аналіз.

Виявлення

На етапі виявлення дуже важливо помічати підозрілі моделі поведінки або підозрілий контент, наприклад, скоординовані публікації, повідомлення, що повторюються, раптове зростання кількості негативних коментарів або реакцій. Для цього необхідні інструменти аналізу та моніторингу соціальних мереж. Вони дають змогу відстежувати основні платформи, онлайн-форуми та інші цифрові простори, де можуть діяти «тролі». Також важливо створити захищений канал для отримання інформації від будь-якого користувача, який став об’єктом атаки тролів. Зважаючи на ознаки цілеспрямованих атак, доксингу та інших загроз, можна виявити потенційну кампанію на ранніх етапах.

Аналіз

На етапі аналізу журналісти повинні вивчити зміст повідомлення, час публікації та походження підозрілої активності, щоб визначити, чи вона є частиною скоординованої кампанії. Для цього треба оцінити узгодженість повідомлень, профілі учасників (зокрема дати створення облікових записів, характер розміщення повідомлень, зв’язок із іншими відомими аккаунтами тролів через взаємодії чи хештеги), а також оцінку потенційного впливу кампанії на постраждалих.

Ось приклад твітів від облікових записів, створених для розкручування повідомлень. За ними видно, що новостворені (менш ніж за 24 години) акаунти ретвітили всіх, хто згадував заданий хештег. Вони входили до групи з 200 акаунтів, які робили те саме. За допомогою спеціальних інструментів, наприклад, Twitter Archiver, Tweet Archivist і будь-яких інших, що використовуються для збереження твітів, можна виявити облікові записи, створені в той же день і годину, які обмінюються однаковими повідомленнями й виявляють високу активність в ті самі періоди часу.

Електронна таблиця зі списком облікових записів Twitter, які беруть участь у тролінгу. Зображення надав Луїс Ассардо

Методика виявлення та аналізу облікових записів потенційних тролів

1. Спостерігайте за соціальними мережами для виявлення підозрілої активності, раптових змін в інтонації або в змісті обговорень в інтернеті.
2. Використовуйте інструменти моніторингу соцмереж, такі як Brandwatch, Meltwater, Brand24, Talkwalker і т.д., для відстеження конкретних ключових слів, хештегів або фраз, які можуть бути пов’язані з кампаніями тролінгу або цькування.
3. Використовуйте інструменти мережного аналізу, такі як Graphext, Graphistry, Gephi або NodeXL для візуалізації зв’язків між обліковими записами та виявлення потенційної координації.
4. Аналізуйте вміст повідомлень щодо закономірностей, зв’язків або ознак дезінформації.
5. Вивчіть профілі потенційних тролів, зокрема дати створення облікових записів, характер повідомлень та зв’язок з відомими обліковими записами тролів.
6. Співпрацюйте з іншими журналістами, дослідниками дезінформації або експертами з кібербезпеки для перевірки отриманих даних та отримання додаткових відомостей.
7. Документуйте все та зберігайте за допомогою скріншотів та публічних архівів, наприклад Wayback Machine.
8. Публікуйте статті про виявлені кампанії, щоб привернути до них увагу та допомогти пом’якшити їхні наслідки.

Інструменти для виявлення, аналізу та візуалізації тролінгових кампаній

• Інструменти візуалізації даних: Tableau, D3.js або Google Data Studio.
• Інструменти збирання інформації з відкритих джерел (OSINT): Maltego, TweetDeck або Google Advanced Search.
• Посилання для фактчекінгу: Snopes, FactCheck.org або Full Fact.
• Умови надання послуг, правила та політика платформ соціальних мереж (X, Facebook, TikTok і т.д.).
• Засоби цифрової безпеки для захисту даних та комунікацій. Захищайте дані шифруванням.

Тролінг зазвичай здійснюється як за допомогою облікових записів, що використовують реальне ім’я або ідентифікатор, так і за допомогою фейкових псевдонімів, як показано в таблиці:

Викриття тролів: розкажіть про свої знахідки

У статті про роботу тролів слід виділити чотири основні пункти: принцип їхньої роботи, тип використовуваного контенту, умисел (якщо його можна довести) та авторство (якщо його можна довести).

По-перше, важливо описати контекст та загальну інформацію про кампанію переслідування чи тролінгу, у тому числі пояснити походження та мотиви кампанії, на кого вона спрямована, а також можливі зв’язки з ширшими соціальними чи політичними проблемами. Надання такого контексту допоможе читачам зрозуміти значення та можливі наслідки кампанії. Дуже важливо «не хайпувати» та уникати сенсаційних заяв.

Необхідно навести методологію та докази, що підтверджують виявлення та аналіз кампанії, яку ви викриваєте. Поясніть, які інструменти, методи та джерела даних ви використовували під час дослідження, зберігаючи спокійний і об’єктивний тон. Прозорий аналіз допоможе викликати довіру та переконати аудиторію в достовірності вашого репортажу, щоб широка публіка його зрозуміла та прийняла.

Також зважайте на етичні наслідки ваших повідомлень. Будьте обережні: не допомагайте у розповсюдженні повідомлень тролів і не посилюйте цькування, повторно відтворюючи образливі матеріали або поширюючи їх зміст. Може, вони цього й домагалися! Завжди захищайте приватне життя та безпеку людей, які стали об’єктом онлайн-переслідувань, не поширюйте конфіденційну особисту інформацію або зображення без їхньої згоди.

Інформація, яку потрібно включити до статті про кампанії цькування та тролінгу

• Контекст та загальна інформація про кампанію.
• Цільова аудиторія. На яких людей та спільноти спрямована кампанія.
• Мотиви та цілі переслідувачів або тролів.
• Докази скоординованості чи організованих атак.
• Методологія та інструменти, використані для ідентифікації та аналізу.
• Кількісні та якісні дані, зокрема кількість повідомлень або серйозність переслідувань.
• Потенційні наслідки та вплив на людей або спільноти, які стали мішенню цькування.
• Зв’язок із ширшими соціальними чи політичними проблемами, якщо це доречно.
• Будь-які дії, вчинені платформами соціальних мереж, правоохоронними органами або іншими відповідальними сторонами для вирішення проблеми.

Чого варто уникати журналістам-розслідувачам під час підготовки матеріалів

• Роздування сенсації або перебільшення впливу кампанії.
• Відтворення образливих висловлювань чи шкідливих матеріалів без явної журналістської мети.
• Надмірна увага цілям чи повідомленням тролів або переслідувачів.
• Порушення недоторканності приватного життя або безпеки мішеней кампанії шляхом поширення без їхньої згоди конфіденційної інформації або зображень.
• Висловлення припущень про мотиви чи особи переслідувачів чи тролів без достатніх підстав.

Приклади із практики

Ми знаємо про їх походження, стратегію та тактику, але як виглядає тролінгова кампанія? Нижче я навів приклади, де показані кампанії, які добре фінансуються, містять величезний обсяг контенту і задіяли тисячі переважно фальшивих акаунтів.

Іміджмейкери саудівців: Армія тролів та інсайдер із Twitter — The New York Times

Джамаль Хашоггі — саудівський журналіст-дисидент, якого вбили у 2018 році. До цього він став мішенню масштабної кампанії тролінгу, коли його та інших критиків влади у Саудівській Аравії намагалися змусити замовкнути. Для цього використовували підтримувану державою мережу поширення дезінформації та наклепу. Це гарний приклад того, як відстеження тролінгових кампаній поряд з традиційною журналістською роботою з джерелами може розкрити великі операції з дезінформації, задіяні в них ресурси, і тих, хто за ними стоїть.

Марія Ресса: Боротьба із хвилею насильства в інтернеті — Міжнародний журналістський центр (ICFJ)

ICFJ проаналізував понад 400 тисяч твітів та 57 тисяч постів та коментарів у Facebook, опублікованих протягом п’яти років у рамках кампанії тролінгу, спрямованої проти генерального директора видання Rappler Марії Ресси — журналістки, яка отримала в 2021 році Нобелівську премію миру. Використовуючи інструменти збору та візуалізації даних, команді репортерів вдалося зрозуміти, як діяли зловмисники, та виявити ресурси та авторів. Тут головне — це однотипність поведінки. А рівень насильства дає змогу визначити, хто стоїть за атаками.

Рана Айюб: Цілеспрямоване насильство в інтернеті на стику жінконенависництва та ісламофобії — ICFJ

Рана Айюб — лауреатка журналістських премій, журналістка-розслідувачка та оглядачка Washington Post. Її коментарі про насильство та порушення прав людини в Індії спричинили кампанію тролінгу, яка включала атаки на її репутацію, а також сексистські та жінконенависницькі загрози. Дослідники відтворили хронологію переслідувань та цькування за багато років, проаналізували близько 13 мільйонів твітів та контент традиційних ЗМІ, які брали участь у розкручуванні цієї кампанії.

Від прихильників Трампа до правозахисників: Лідери громадської думки, які цькували журналістку — Forbidden Stories

У лютому 2023 Forbidden Stories опублікували детальне розслідування під назвою «Вбивці історії». У ході розслідування було розкрито операцію з тролінгу Гади Оуейсс, журналістки з великим послужним списком, яка працює в Al Jazeera. Під час розслідування цієї справи репортери простежили основні профілі, що брали участь у кампанії цькування, та визначили, які мережі були в ній задіяні.

Додаткові ресурси:

Екстрена допомога журналістам

Необхідні кроки для журналістів у екстрених ситуаціях

Чеклист з фізичної та цифрової безпеки для журналістів

Глобальна хакерська загроза: як журналісти-розслідувачі можуть дати відсіч

Луїс Ассардо — фрілансер, тренер із цифрової безпеки, дослідник відкритих джерел та журналіст-розслідувач, засновник гватемальського проекту боротьби з дезінформацією Confirmado. Отримав чимало нагород за свої розслідування та дослідження, присвячені «фабрикам тролів», дезінформації, радикалізації, мові ворожнечі та операціям впливу. Працює у Берліні, співпрацює з організацією «Репортери без кордонів» (RSF), Holistic Protection Collective (HPC) та іншими правозахисними організаціями.