Kto stoi za dezinformacją? Eksperci pokazują metody atrybucji

• Skuteczna atrybucja operacji informacyjnej wymaga równoczesnego wykorzystania dowodów technicznych, behawioralnych i kontekstowych.
• Rosyjskie kampanie wpływu wykorzystują skoordynowane sieci kont oraz wieloetapową dystrybucję treści, aby stworzyć wrażenie organicznej debaty.
• Współczesne operacje informacyjne coraz częściej łączą działania państwowe z aktywnością formalnie niezależnych podmiotów medialnych i społecznych.

Raport testuje i doprecyzowuje model analizy Information Influence Attribution Framework (IIAF), który pomaga ustalić, kto stoi za kampanią dezinformacyjną.

Analiza powstała w kontekście rosnących wymagań regulacyjnych w Unii Europejskiej, gdzie sankcje wobec rosyjskich mediów państwowych, polityka Foreign Information Manipulation and Interference (FIMI) oraz regulacje takie jak Digital Services Act (DSA) podnoszą standardy dowodowe niezbędne do przypisywania odpowiedzialności za operacje informacyjne.

Raport analizuje rosyjskie operacje wpływu informacyjnego skierowane do odbiorców w Ukrainie oraz w regionach sąsiednich, w tym do ukraińskich cywilów i sił obronnych, społeczeństw państw sąsiednich oraz europejskich środowisk prokremlowskich. 

Analiza opiera się przede wszystkim na danych Ukrainian Center for Strategic Communications, uzupełnionych o najnowsze raporty rządowe i opracowania organizacji społeczeństwa obywatelskiego.

Atrybucja wpływu

Zgodnie z ramą analityczną opracowaną przez NATO Strategic Communications Centre of Excellence oraz Hybrid CoE, atrybucję operacji wpływu można teoretycznie oprzeć na trzech typach dowodów: technicznych, behawioralnych i kontekstowych, wspartych oceną prawną i etyczną: 

• Dowody techniczne koncentrują się na śladach cyfrowych generowanych przez działania o charakterze manipulacyjnym, takich jak adresy IP czy elementy infrastruktury sieciowej;
• Dowody behawioralne odnoszą się do sposobu prowadzenia operacji manipulacyjnych oraz stosowanych technik (w tym: Tactics, Techniques and Procedures - TTPs);
• Dowody kontekstowe obejmują analizę treści oraz elementów politycznych, takich jak przekaz, narracje i ich znaczenie w danym kontekście strategicznym.

Na końcu przeprowadza się ocenę prawną i etyczną, która uwzględnia kluczowe kwestie związane z proporcjonalnością działań, ochroną danych oraz konsekwencjami geopolitycznymi wynikającymi z wykorzystania różnych typów dowodów. 

Każdą z kategorii dowodów można dodatkowo podzielić według rodzaju źródła danych. Materiał dowodowy może pochodzić ze źródeł otwartych (np. badań, publicznych interfejsów API czy analiz OSINT), źródeł własnościowych o charakterze komercyjnym (np. zaplecza technicznego platform społecznościowych, prywatnych baz danych czy analiz sektora prywatnego) oraz źródeł wywiadowczych o charakterze niejawnym (np. SIGINT i HUMINT).

Infrastruktura operacji

Pierwszym poziomem analizy są dowody techniczne. Pokazują one, jak zbudowana jest infrastruktura kampanii informacyjnej.

Badacze analizują między innymi:

• rejestrację domen i historię ich zmian;
• infrastrukturę hostingową oraz adresy IP;
• rekordy DNS i certyfikaty SSL;
• metadane właścicielskie domen;
• powiązania między stronami korzystającymi z tych samych zasobów.

Pozwala to wykryć powtarzalne wzorce infrastrukturalne. Jeśli wiele stron lub kanałów korzysta z tych samych serwerów, rejestratorów czy konfiguracji DNS, może to wskazywać na wspólne zaplecze operacyjne.

Raport podkreśla jednak, że pojedynczy ślad techniczny rzadko stanowi dowód rozstrzygający. Największą wartość ma dopiero zestawienie wielu sygnałów, które razem pokazują strukturę i trwałość operacji.

Mechanika działania kampanii

Drugą kategorią są dowody behawioralne, czyli analiza tego, jak kampania funkcjonuje w praktyce. Badacze rekonstruują tu ścieżkę rozprzestrzeniania się narracji: od pierwszego źródła publikacji, przez sieć kont wzmacniających przekaz, aż po jego pojawienie się w szerszym ekosystemie medialnym.

Raport wskazuje, że jedną z najczęściej wykorzystywanych metod w operacjach wpływu informacyjnego jest cross-posting. Polega on na publikowaniu identycznych lub nieznacznie zmodyfikowanych treści na wielu platformach jednocześnie, aby zwiększyć ich widoczność, stworzyć wrażenie organicznego rozpowszechniania przekazu lub ukryć jego pierwotne źródło.

W celu pozyskania tego rodzaju dowodów behawioralnych, analitycy porównują czas publikacji tych samych lub podobnych treści na różnych stronach internetowych i platformach społecznościowych. Bardzo krótkie odstępy między publikacjami, szczególnie w przypadku kont fałszywych lub podejrzanych, mogą wskazywać na Coordinated Inauthentic Behaviour (CIB) i ujawniać sieć powiązanych aktorów zaangażowanych w operację.

Autorzy raportu wksazują, że przykładem takiego mechanizmu jest przypadek z 25 kwietnia 2023 roku, kiedy w mediach powiązanych z Kremlem zaczęła krążyć fałszywa informacja o rzekomym ataku żołnierzy gruzińskich i ukraińskich na siebie nawzajem.

Narracja została rozpowszechniona przez co najmniej 17 serwisów powiązanych z rosyjskim ekosystemem medialnym, w tym Tass(.)ru, RIA Novosti, Lenta(.)ru oraz jedno źródło w języku gruzińskim - Geworld(.)ge.

Część portali wskazywała jako źródło agencję TASS, inne powoływały się na RIA Novosti, która z kolei odwoływała się do prywatnego kanału na Telegramie Andrieja Maroczki, znanego propagandysty. Zestawienie czasu publikacji materiałów na różnych platformach pozwoliło odtworzyć sekwencję rozpowszechniania tej narracji.

Sens polityczny narracji

Trzeci poziom analizy dotyczy kontekstu strategicznego, czyli tego, co kampania próbuje osiągnąć. Dowody kontekstowe obejmują analizę:

• narracji i ich zgodności z linią propagandową państwa;
• momentu pojawienia się przekazu w kontekście wydarzeń politycznych;
• emocji i tożsamości społecznych, do których odwołuje się narracja;
• podobieństwa przekazu do komunikacji państwowych mediów.

Raport pokazuje, że operacje informacyjne są często zsynchronizowane z wydarzeniami takimi jak wybory, kryzysy polityczne czy ważne decyzje międzynarodowe. Kampania informacyjna wykorzystuje wtedy istniejące napięcia społeczne i próbuje nadać im określoną interpretację.

W rosyjskim ekosystemie informacyjnym szczególną rolę odgrywa także zjawisko „firehose of propaganda”, czyli równoległe rozpowszechnianie wielu wersji tej samej historii, często nawet sprzecznych, aby zwiększyć chaos informacyjny i utrudnić odbiorcom ocenę faktów.

Na zagrożenia związane z chaosem informacyjnym uwagę zwracał m.in. prof. Sadura w wywiadzie dla CyberDefence24.