Розслідування кіберзагроз: Вступ

Цифрові пристрої, продукти та послуги охоплюють практично всі сфери сучасного життя. Вони скрізь — і тому з’являється все більше небезпек, цифрових атак і погроз: від переслідувань, крадіжки особистих даних та шахрайства до шпигунських програм, шкідливого програмного забезпечення, програм-вимагачів та DDOS-атак.

Цифрові загрози поширюються різними мовами, країнами та платформами. Дезінформаційна кампанія антивакцинаторів, які намагалися підкупити лідерів громадської думки в Іспанії та Німеччині, виявилася справою рук російської фірми. Атаку зі шпигунським програмним забезпеченням проти редакції новин у Сальвадорі здійснили за допомогою ПЗ, виробленого ізраїльською компанією. Спроби відбілити онлайн-репутацію політиків та злочинців по всьому світу робила, як виявилося, іспанська фірма. А агресивну рекламу сумнівних медичних препаратів у Бразилії запустила американська компанія. За цими діями стоять як державні органи, так і компанії, приватні особи й кіберзлочинні угруповання.

Фейкові акаунти в соціальних мережах, зображення та відео, згенеровані штучним інтелектом, кампанії онлайн-атак і накруток хештегів — ось лише кілька тактик, які використовують для залучення аудиторії, впливу на громадську думку, заробітку грошей та заподіяння шкоди.

Цифрові загрози та люди, що стоять за ними — готове поле для розслідування. При цьому для журналістів ця тема набуває додаткової актуальності, оскільки такі атаки часто спрямовані проти них самих та їхніх редакцій, з метою змусити їх замовкнути та підірвати довіру до преси. Журналісти всіх видів медіа та всіх країн мають розуміти, що таке цифрові загрози, як їх викривати та як захищати себе та своїх колег.

Глобальна мережа журналістів-розслідувачів створила навчальну програму з розслідування цифрових загроз, щоб допомогти репортерам вивчати цифрове середовище та викривати атаки та маніпуляції. У рамках своєї місії з поширення розслідувальних навичок серед якомога більшої кількості журналістів та редакцій, GIJN вирішила створити «Посібник журналіста з розслідування цифрових загроз».

У цьому вступному розділі ми пропонуємо огляд основ цифрових розслідувань. Перша частина посібника присвячена дезінформації, у другій частині ми розглянемо цифрову інфраструктуру, у третій частині — вивчимо ландшафт цифрових загроз, а у четвертій — кампанії з тролінгу.

Автори посібника описали спосіб мислення, методи та інструменти, необхідні журналістам для розслідування цифрових загроз. Отже, з чого починати?

Розслідувальний спосіб мислення

Для цифрових розслідувань потрібні навички спостереження, аналізу, пошуку джерел, вибору інструментів та методів. Найкраще поєднувати їх із традиційними журналістськими прийомами: розробкою джерел, пошуком та отриманням документів. Цифрові навички та інструменти не замінюють традиційні репортажі, але можуть покращити практично будь-який матеріал та мають вирішальне значення для розслідування цифрових загроз.

Насамперед, необхідно освоїти розслідувальний спосіб мислення, знати про вразливості цифрового середовища та про свої власні. Ми, люди, схильні ставитися до інформації емоційно, ми схильні до упереджень на основі попереднього досвіду та особливостей сприйняття. Журналісти також можуть стати жертвою обману чи інформаційно-психологічних спецоперацій. Тому ваш спосіб мислення важливіший за будь-які інструменти та методики.

«Те, що люди сприймають, як легко вони це сприймають і як обробляють інформацію після її здобуття, залежить від попереднього досвіду, освіти, культурних цінностей, суспільних ролей та організаційних норм, а також від специфіки отриманої інформації», — пише Річардс Дж. Хойєр-молодший у своїй книзі «Психологія розвідувального аналізу». (Вона була написана для аналітиків Центрального розвідувального управління, але корисна і для журналістів).

Журналістика — це передусім інтелектуальна діяльність. Деякі з наших рішень та дій є усвідомленими та приймаються після обмірковування й консультацій з колегами, редакторами, експертами та джерелами. Деякі — автоматичні, засновані на звичці чи інстинкті. «Розумова робота, яка породжує враження, інтуїцію та багато рішень, непомітно відбувається у нашій свідомості», — пише Деніел Канеман у книзі «Думай швидко… вирішуй повільно».

Успішні розслідувачі докладають усвідомлених зусиль, щоб перевірити ще раз свої рішення й припущення, а також попередні знання і досвід, на яких ці рішення базуються. Журналісти звертають увагу на те, як збирають та інтерпретують інформацію.

У своїй книзі про аналіз розвідданих Хойєр-молодший закликає аналітиків «думати про те, як саме вони виносять судження й роблять висновки, а не лише про самі судження та висновки». Суть у тому, що ми повинні думати про своє мислення.

Такий підхід відповідає основному журналістському принципу: перевіряти. Журналістика — це «дисципліна верифікації», — пишуть Том Розенстіл та Білл Ковач у книзі «Елементи журналістики». Ми не приймаємо на віру та не публікуємо інформацію, не перевіривши її.

Це здорова порада для всіх журналістів, але особливу актуальність верифікація набуває в цифровому середовищі, яке зараз рясніє фейками та маніпуляціями. Фальшиві акаунти в соціальних мережах, підроблені сайти, брехлива реклама, накручені хештеги — ми не зможемо викрити загрози, якщо дозволимо себе обдурити. Першим кроком на цьому шляху має стати опанування розслідувального способу мислення.

Система ABC

У 2019 році аналітикиня Камілла Франсуа опублікувала роботу, в якій виклала схему «ABC» для осмислення та розслідування «вірусного обману».

Книга «Посібник з верифікації: дезінформація та маніпулювання у ЗМІ».

«Суб’єкти-маніпулятори», дії, що вводять в оману, шкідливий контент: у кожного з цих векторів — свої характеристики, труднощі та наслідки», — написала вона (й виділила жирним шрифтом). [Перші літери англійських слів Actors, Behavior, Content становлять абревіатуру ABC, яка дала назву моделі — примітка перекладача.]

Модель «суб’єкти, дії, контент» спершу була орієнтована на розслідування дезінформації, але згодом її почали застосовувати для розслідування різноманітних цифрових загроз. Цифрове розслідування може розпочатися з конкретного суб’єкта, контенту або серії публікацій, дій, які ми спостерігаємо, або будь-якої їх комбінації.

«Не існує єдиного правила для визначення першої ланки в ланцюгу», — пише Бен Німмо в «Посібнику з верифікації: Дезінформація та маніпулювання в ЗМІ». «Найефективніша стратегія — шукати нестиковки». Це може бути обліковий запис у Twitter нібито з Теннессі, але зареєстрований на російський номер мобільного телефону; це може бути сторінка у Facebook, яка стверджує, що базується в Нігері, але управляється із Сенегалу та Португалії».

Можливо, це частина контенту, яка видається недоречною, особливо кричущою чи інакше примітною. Це може бути пост у соціальних мережах, вебсторінка, смс. Джейн Литвиненко описує основні підходи контент-аналізу у своєму розділі даного керівництва, присвяченому розслідуванню дезінформації:

Є кілька питань, які можуть допомогти в аналізі: коли були створені облікові записи, коли опублікували контент, хто поширював його на різних платформах і що спільного в самому контенті? Наприклад, один і той же сайт просувають у Facebook і Twitter, або лідери громадської думки з TikTok використовують однакові заготовлені формулювання для обговорення будь-якого питання. Одночасність також може бути показовою, якщо якийсь контент поширювали протягом кількох хвилин або секунд зі схожих акаунтів.

Цифрове середовище, у якому зображення, відео, вебконтент та повідомлення в соціальних мережах легко виготовити або позбавити критично важливого контексту, вимагає від журналістів особливої ​​обережності. Як було зазначено вище, у цифровому середовищі, де панує маніпулювання контентом та контекстом, особливо важливою стає верифікація.

Верифікація — це концепція. Це повторюваний, дисциплінований процес. Існує п’ять стовпів цифрової верифікації. First Draft пояснює їх у цьому докладному огляді:

• Походження: перед вами оригінал контенту?
• Джерело: хто створив цей контент?
• Дата: коли створили контент?
• Місце: де створили контент?
• Мотивація: навіщо створили контент?

Дуже важливо шукати першоджерело зображення, відео, заяви чи іншої інформації. Перевірка дати, місця створення та інших деталей забезпечує впевненість у походженні та контексті контенту. Для цього важливі такі інструменти та методи, як зворотний пошук за зображеннями та пошукові оператори, про які розповіла Джейн.

Суб’єкти в моделі Франсуа можуть бути різними. Пошук може привести до приватної особи, компанії чи державного органу. Часто відправною точкою може стати номер телефону, з якого надійшло шкідливе повідомлення або погрози, обліковий запис (або набір облікових записів) у соціальних мережах або анонімний видавець вебсайту.

Серед ключових питань, які необхідно враховувати під час аналізу профілів у соціальних мережах, можна назвати такі:

• Коли створили обліковий запис?
• Яка інформація, зв’язки та посилання вказані в біографії чи описі сторінки?
• Що на фото профілю? Чи використовується ця фотографія в інших місцях? Чи зображена на ній людина, про яку йдеться? (Тут корисний зворотний пошук за зображеннями .)
• З якими обліковими записами цей профіль взаємодіє?
• Чи можна знайти інші облікові записи цієї людини або організації в інших соцмережах? Чи використовують вони одне й те саме ім’я користувача на різних платформах? Інструмент whatsmyname.app — чудовий спосіб пошуку імені користувача у сотнях онлайн-сервісів. Враховуйте: якщо існує обліковий запис з таким же ім’ям користувача, це ще не означає, що він належить одній й тій же людині!

Щоб визначити власника сайту, зверніться до цього корисного контрольного списку. Для аналізу вебсайтів використовуйте такі прийоми:

• Натискайте на всі головні меню й прокручуйте сторінку вниз до підвалу, щоб знайти інші сторінки, які варто відвідати. Загалом заходьте скрізь, натискайте на всі лінки, познайомтеся з сайтом.
• Чи вказано на сторінці «Про нас» його власника чи якусь юридичну особу? Якщо сторінки «Про нас» взагалі немає, на це також варто звернути увагу.
• Чи вказано компанію або контактну особу в повідомленні про авторські права внизу головної або будь-якої іншої сторінки?
• Чи вказані імена, адреси чи юридичні особи у політиці конфіденційності чи правилах надання послуг? Чи відрізняються вони від тих, що вказані у нижньому колонтитулі, на сторінці «Про нас» чи в інших місцях на сайті?
• Якщо на сайті публікуються статті, зверніть увагу на їхні заголовки й на те, чи вони клікабельні. Подивіться, чи вони не ведуть на сторінку автора з додатковою інформацією. Пошукайте в Google текст зі сторінки «Про нас», щоб перевірити, чи немає плагіату.
• Чи є на сайті пов’язані з ним облікові записи в соціальних мережах? Чи є на сайті список продуктів, клієнтів, відгуків тощо, на які варто звернути увагу?

Третій елемент моделі Франсуа — дії.

• Який контент і облікові записи поширює або лайкає цей суб’єкт/акаунт?
• Як часто він коментує чи постить? Чи відповідає обліковий запис іншим більше, ніж публікує свій власний контент?
• Чи бере він участь у скоординованій діяльності з іншими акаунтами, що мають схожі характеристики?
• Чи був обліковий запис неактивним протягом кількох місяців або років, перш ніж знову ожив?
• Чи змінювалася спрямованість та мета вебсайту з часом?
• Якщо це розсилання шпигунського ПЗ, воно поширюється лише через смс чи ще й іншими методами?

Коли йдеться про дезінформацію та тролінг, слід враховувати сформульовані Франсуа ознаки обманних маніпулятивних дій.

«Ці методи варіюються від автоматизованих інструментів (наприклад, армій ботів, що використовуються для посилення охоплення та ефекту повідомлення) до традиційних (наприклад, платне залучення аудиторії, фабрики тролів)», — пише вона. — Зрештою, всі накрутки мають чітку мету: дати можливість невеликій кількості учасників вплинути так само ефективно, як вплинуло б більше учасників, якби кампанія була органічною».

Не слід забувати, що суб’єкти з різними мотивами можуть демонструвати однакову поведінку й виробляти чи посилювати подібний контент. Приклад цього — вибори у США 2016 року. Професійні тролі, що працювали на російське «Агентство інтернет-досліджень (АІД)», створювали або просували контент, який практично не відрізнявся від десятків протрампівських або антиклінтонівських сторінок у Facebook і сайтів, створених фінансово мотивованими спамерами в Північній Македонії.

Крейг Сільверман був співавтором розслідування про керовану з Північної Македонії спам-кампанію на підтримку Трампа та проти Клінтон під час виборів у США у 2016 році. Скріншот: BuzzFeed News

Перед «АІД» стояло політичне завдання — вплинути на результат чи зірвати вибори, а македонці просто хотіли заробити. Але демонстрували вони подібну поведінку й публікували схожий контент. Розслідування, що зосереджене на контенті та діях, але ігнорує дійових осіб (суб’єктів) та їхні мотиви, не змогло б розкрити повну картину.

Потрібно якнайкраще зрозуміти й вивчити мотиви суб’єктів, щоб зрозуміти контекст контенту та дій, які ми спостерігаємо. Ось чому кожен елемент моделі ABC є важливим і сам по собі і в поєднанні з двома іншими.

Моніторинг, документування та аналіз

Тепер давайте розглянемо три ключові етапи цифрових розслідувань: моніторинг, документування та аналіз.

Моніторинг

На етапі моніторингу ви визначаєте низку цифрових об’єктів, спостерігаєте за ними та постійно зберігаєте дані. Це можуть бути зокрема облікові записи, вебсайти, групи, канали, IP-адреси. Ви можете відстежувати контент та дії у списках Twitter, вести електронну таблицю акаунтів та посилань на контент, періодично робити запити у пошукових системах та соціальних мережах для виявлення суб’єктів, контенту та дій, а також використовувати такі інструменти, як Google Alerts та Distill для відстеження важливих для вашого розслідування елементів.

П’ять елементів моніторингу:

• Пошук: складайте та уточнюйте запити для соціальних, пошукових та інших платформ, щоб виявити облікові записи та інші об’єкти, що вас цікавлять.
• Збереження та збір: додайте знайдені об’єкти та профілі в електронну таблицю, стежте за ними/підключайтеся/підписуйтесь та отримуйте сповіщення, якщо це можливо.
• Спостереження та уточнення: постійно аналізуйте контент та дії. Додавайте нові об’єкти та нових суб’єктів, видаляйте неактуальні.
• Документування та архівування: збирайте скріншоти та URL-адреси, архівуйте релевантний контент, робіть нотатки про шаблони, видалення, зміни, висновки.
• Не зупиняйтесь!

Уникайте нерегулярності, не пропускайте дні чи тижні без аналізу суб’єктів та контенту. Методичність підвищує ймовірність виявлення моделей поведінки, примітного контенту та нових учасників, які стосуються вашого розслідування.

Дуже важливо розглядати цю роботу як процес, що постійно повторюється на різних платформах. Додавайте та видаляйте ключові слова та об’єкти, вивчайте потік контенту та дії суб’єктів на різних платформах, щоб адаптувати та вдосконалити свій підхід. Мета — постійний потік релевантної інформації, яку можна спостерігати, систематизувати та аналізувати.

Документування

Інтернет постійно росте, розвивається і, до певної міри, занепадає. Посилання застарівають, сайти та вебсторінки зникають, інфраструктура змінюється, облікові записи та повідомлення видаляють або вносять зміни. Обліковий запис або пост, який ви переглядали кілька хвилин або днів тому, може зникнути. Ніщо не вічне. Також небезпечно покладатися на свою пам’ять. Ви не зможете пригадати все, що бачили, або згадати, які кроки привели вас до певного об’єкта.

Важливо документувати знахідки одразу ж, коли ви їх виявляєте.

У процесі моніторингу документуйте цікаві фрагменти контенту, приклади дій та свої спостереження. Робіть нотатки про свої думки та враження та організуйте їх таким чином, щоб вам було зручно переглядати та продовжувати документувати. Робіть скріншоти та зберігайте їх на комп’ютері, а також використовуйте інструменти архівування (докладніше про це нижче).

Документування — важливий компонент цифрових розслідувань. Воно працює у комплексі з моніторингом та забезпечує процес аналізу. Документування включає два ключові елементи: архівування й ведення записів.

Архівування

Архівування — це процес збереження та консервації контенту та цифрових об’єктів, з якими ви зіткнулися під час розслідування. Воно гарантує, що ви зможете повернутися та переглянути побачене, а також зберегти докази.

Найкориснішим інструментом архівування є Wayback Machine від Internet Archive. Він дозволяє зберігати загальнодоступні версії більшості вебсторінок і працює з деякими, хоч і не з усіма соціальними мережами. У цій статті ми розповіли про різні функції та передові практики використання Wayback Machine та її розширення для браузера.

Інші доступні інструменти архівування:  Archive.today, Perma.cc.

Також корисно створювати власний архів на своєму пристрої. Робіть скріншоти в процесі роботи або використовуйте інструменти, що автоматизують процес збереження. Ось деякі з них:

Плагін для Chrome: Go Full Page (безкоштовний), Hunchly (платний), Webrecorder (безкоштовний), Screenpresso (безкоштовний), Bellingcat’s Auto Archiver (безкоштовний)

Вони дозволяють зібрати (і в деяких випадках упорядковують) скріншоти та інші дані з вебконтенту. Який би з них ви не обрали, обов’язково створюйте описи та впорядковуйте знімки екрану та архіви, щоб не отримати в результаті величезну папку з непідписаними скріншотами!

Архіви — ще й чудове місце для пошуків. Вивчаючи вебсайти та облікові записи в соціальних мережах, перевірте, які їхні версії Wayback Machine, Archive.today та інші сервіси зберегли раніше.

Wayback Machine зберігає вебсторінки та може стати безцінним ресурсом для відстеження історії сайту. Зображення: Shutterstock

Ведення нотаток

Архівування варто супроводжувати веденням нотаток. Це стандартна практика для журналістів. У цифрових розслідуваннях зазвичай доводиться поєднувати структуровані та неструктуровані нотатки. Прикладом структурованих нотаток може бути електронна таблиця з переліком усіх акаунтів у соціальних мережах, сторінок, каналів, вебсайтів та інших активів, які ви пов’язали з однією операцією чи організацією або які входять до вашого графіку моніторингу. Це допоможе вам відстежувати та впорядковувати знайдені цифрові активи.

У книзі «Посібник з верифікації: Дезінформація та маніпулювання у ЗМІ» Бен Німмо описав типи інформації, яку можна включати до своєї електронної таблиці:

Вказуйте, як було знайдено об’єкт (це дуже важливо), його назву (або ім’я профілю) та URL-адресу, дату створення (якщо відома), а також кількість підписників та підписок, лайків та/або переглядів. Також вказуйте базовий опис об’єкта (наприклад, «просаудівський акаунт арабською мовою з фотографією Емми Вотсон у профілі»), щоб ви, переглянувши 500 інших об’єктів, згадали, що там було. Якщо ви працюєте в команді, відзначайте ще, хто з команди який об’єкт досліджував.

Неструктуровані записи можна вести в Google-документі або іншому текстовому редакторі, який ви використовуєте для запису своїх думок, вражень, гіпотез та інформації, отриманої під час моніторингу та пошуку. Немає єдиного правильного способу фіксувати цю інформацію. Важливо, щоб вона була у форматі, до якого ви можете легко отримати доступ і в якому легко орієнтуватися, а також, щоб вам було зручно фіксувати думки та інформацію в потрібний момент. Як і у випадку з архівуванням, не покладайтеся на пам’ять.

Архівувати та занотовувати дані краще паралельно: зберігаючи контент, робіть нотатки про те, що ви дивитеся та як ви це знайшли.

Мета — записувати та архівувати все, що може виявитися цікавим чи корисним для розслідування, щоб ви могли зібрати все докупи й не намагатися пригадати те, на що ви натрапили кілька днів або тижнів тому. Ба гірше, виявити, що ви забули заархівувати ключовий пост або вебсторінку, яка відтоді була видалена.

Аналіз

На етапі аналізу ви переглядаєте та оцінюєте зібрану інформацію, визначаєте її цінність та достовірність, робите висновки.

У цьому процесі, зокрема, потрібно виявити зв’язки між суб’єктами та об’єктами з використанням моделі ABC, а також інших підходів, описаних у розділах цього посібника. В ідеальному випадку ви зможете визначити людину, групу або організацію, яка стояла за кампанією з дезінформації, тролінгу або розсилання шпигунського ПЗ. Але для цього потрібні вагомі докази. Ми прагнемо визначити винних та притягнути їх до відповідальності. Але не дивуйтеся й не засмучуйтесь, якщо не вдасться підтвердити факти до рівня, що дозволяє опублікувати інформацію.

Зазвичай під час розслідування цифрових загроз необхідно довести існування онлайн-операції, продемонструвавши послідовну схожу поведінку й контент різних суб’єктів. Або виявити зв’язки між вебсайтами через спільну цифрову інфраструктуру, наприклад, аналітичні або рекламні ідентифікатори або IP-адреси, як зазначає Етьєн Майньє у розділі про цифрову інфраструктуру.

Цифрові інструменти та методи, описані в розділах цього посібника, допоможуть вам встановити важливі зв’язки та спосіб координації. Але ви не завжди зможете довести, хто керує обліковими записами, вебсайтами або іншими об’єктами.

Можливо, вдасться визначити причетних, але не завжди буде ясно, діяли вони разом чи поодинці, чи платили їм, і яка була їхня мотивація.

Проте головне, що ви все одно матимете цікавий матеріал для публікації, навіть якщо немає повної інформації про те, хто стоїть за загрозою. Найголовніше — бути чесним зі своєю аудиторією й не виходити за межі того, що верифіковано та точно встановлено.

Найбільш успішні приклади виявлення всіх причетних поєднують у собі методи цифрових розслідувань із традиційним пошуком та документуванням. Виявляйте та розвивайте джерела на цифрових платформах та в індустрії шпигунських програм та інформаційної безпеки. Намагайтеся отримати документи: платіжні відомості, бази даних клієнтів та внутрішні комунікації, які покажуть залаштунки операції. Документальні підтвердження чи свідчення очевидців часто дають остаточну впевненість у тому, хто стоїть за загрозою чи операцією.

Передові практики у публікації матеріалів

Висвітлення загроз пов’язане з певними ризиками. Існує шанс, що ви та ваша організація станете мішенню для наступної операції, шкідливого програмного забезпечення або дій тих суб’єктів, яких ви викриваєте у своїх репортажах. Також є ризик ненавмисно заподіяти шкоду, докладно розповівши про загрозу без належного контексту, підставити потерпілих або допомогти фігуранту розслідування розширити охоплення аудиторії.

Це особливо актуально під час висвітлення дезінформації. На щастя, First Draft має безкоштовні онлайн-керівництва, в яких описані передові практики в різних галузях, як і в розділі Джейн Литвиненко. Луїс Ассардо у своєму розділі про тролінг радить, як звести до мінімуму шкоду від ваших репортажів. Зокрема, слід уникати перебільшення чи роздування сенсацій; відтворення образливого чи шкідливого контенту без чіткої журналістської мети; порушення недоторканності приватного життя або створення загрози безпеці постраждалих внаслідок поширення конфіденційної інформації чи зображень без згоди.

Якщо ваше розслідування включає технічний аналіз, подумайте, як знайти баланс між необхідністю пояснювати та доводити читачам свої висновки, й водночас не створювати «методичку» для зловмисників.

Як завжди, уникайте спекуляцій, перевіряйте знову й знову свої припущення й висновки, і повідомляйте тільки те, що можете довести.

Спосіб мислення важливіший за інструменти

Ознайомившись із цими основами, ви будете готові поринути в інші частини посібника. У кожному розділі ви знайдете безліч порад, методик та інструментів, які допоможуть будь-якому журналісту чи всій редакції викрити цифрові загрози. Усі співавтори цього посібника зійшлися на тому, що така робота вимагає фундаментальних навичок верифікації, збору та аналізу інформації, розробки джерел та прийняття складних рішень.

Занурюючись у вивчення нових інструментів і методів, пам’ятайте, що ваша усвідомленість і прагнення перевіряти інформацію, дотримуватись доказів і дбати про своє неупереджене мислення врешті-решт визначають ваш успіх.

Крейг Сільверман — репортер видання ProPublica, який займається питаннями голосування, цифрових платформ, дезінформації та онлайн-маніпуляцій. Раніше він працював на посаді медіаредактора в BuzzFeed News, де був одним із перших, хто почав висвітлювати проблеми цифрової дезінформації.