Facebook VS жёлтые СМИ. Расследование DFRLab

Роман Осадчук.

Ника Алексеева.

16:00 18.09.2019.

Facebook VS жёлтые СМИ.

Расследование DFRLab.

Трафик, домены и IP-адреса.

исследование.

расследование.

Facebook.

дезинформация.

кампания.

Politico.

Politeka.

Znaj.

По данным исследования DFRLab, два наиболее популярных в Украине агрегатора вирусных новостей создали серию недостоверных страниц в соцсети Facebook, чтобы усилить внешние ссылки на собственный контент и создать свою национальную аудиторию.

16 сентября 2019 года Facebook удалил 149 страниц вместе с другими активами, связанными с Znaj Media Holdings, крупным украинским медиа-конгломератом.

Такие меры последовали из-за участия страниц в «координированном недостоверном поведении».

DFRLab проверил 121 страницу, 64 из которых соответствовали пяти украинским СМИ, относящимся к Znaj Media Holdings: Znaj.

ua, Politeka.

net, Akcenty, Hyser и Clutch.

Znaj также оказался возможной дочерней организацией PR-компании Pragmatico.

Хотя люди, стоящие за этой деятельностью, пытались скрыть свою личность, наш обзор связал эту деятельность с украинской PR-компанией Pragmatico».

Помимо связи с пиар-конторой, эта сеть представляла собой систематическую попытку создания (или имитации) аудитории: страницы координировались друг с другом для усиления контента, поступающего от множества вирусных агрегаторов новостей под эгидой Znaj Media.

Эффект достигался путём соединения общих новостей и контента о лайфстайле с локальным освещением.

Это была также значительная операция, поскольку многие страницы имели тысячи подписчиков, а некоторые достигли даже нескольких миллионов.

На своём сайте Znaj Media заявляет, что его миссия — «информировать людей», после чего утверждает, что занимает лидирующие позиции на украинском медиарынке.

Действительно, две его дочерние компании, Znaj.

ua и Politeka.

net, входят в тройку самых посещаемых веб-сайтов в Украине.

Эти страницы могли иметь коммерческую цель, поскольку Znaj Media включает прайс-лист на размещение рекламы на веб-сайтах различных торговых точек под своей эгидой.

Но нет никакой информации о том, кому принадлежит медиа-конгломерат, хотя заявленный финансовый бенефициар определён как нерезидент Украины.

ua, Politeka.

net и Pragmatico.

Facebook приписал эту операцию украинской пиар-компании Pragmatico.

Среди страниц в определившемся наборе как раз нашлась одна, с таким же именем.

Видеореклама на странице компании в Facebook включала номер телефона, который был показан на слайде Powerpoint для отдельной компании под названием «Doping Digital Agency».

Там компания утверждала, что владеет и управляет Znaj.

ua, Politka.

net и Clutch.

Значительная часть оставшихся страниц связана с Znaj.

ua и Politeka.

Взамен они предоставляют лишь частичную ссылку в виде упоминаний авторов публикаций в социальных сетях и гиперссылок на другие средства массовой информации.

Ни один не имеет каких-либо авторских подписей.

Из 121 страницы, которыми Facebook поделился с DFRLab, 58 (почти половина) соответствовали местным отделениям одного из этих двух агрегаторов новостей.

Эти страницы были названы в честь столиц различных областей Украины и посвятили себя публикации региональных новостей.

Все ссылки на страницах ведут на соответствующие субдомены Znaj.

ua и Politeka.

Что же касается содержания, некоторые из них были посвящены темам общего интереса: местным новостям, политике, образу жизни, развлечениям.

В то же время, другие страницы вещали более конкретно: к примеру, некоторые из них сосредоточились на досрочных украинских выборах 2019 года и войне на востоке Украины.

Ещё 19 страниц были помечены в названии словом «Реальный» и вели себя совершенно по-другому.

Здесь, в основном, размещались мемы, а субдомены Znaj Media появлялись в публикациях лишь изредка.

Координированное поведение.

DFRLab обнаружил несколько ключевых показателей, доказывающих связь между этими страницами.

Одним из индикаторов была дата появления страницы, которая предполагала, что их мог создать один и тот же человек (или организация).

37 страниц были созданы 22 декабря 2018 года.

Это 30% всех страниц, проанализированных DFRLab.

При этом на значительном количестве страниц с именно той датой создания вообще не было сообщений, хотя наблюдалось много подписчиков.

Из 18 страниц, посвящённых бренду Politeka, созданному в ту же дату, 12 (66%) не написали ни одного поста.

Из 19 страниц, посвящённых Znaj, тишину в эфире соблюдали 16 (84%).

В среднем 14153 пользователя следили за каждой страницей, а за «молчащими» 12307 за каждой страницей без сообщений.

Наименьшее количество подписчиков на одной из «немых» страниц Politeka составило 9928 человек, а наименьшее количество подписчиков на такой же пустой странице Znaj — 8309.

Такое количество подписчиков необычно велико для страниц без какого-либо контента и предполагает использование не самых аутентичных методов формирования аудитории.

Анализ страниц методом Crowd.

Tangle выявил значительное увеличение количества подписчиков в те же даты, что и на страницах Politeka и Znaj.

Например, обе страницы для украинского города Кропивницкий были созданы 22 декабря 2018 года, и в течение недели у них наблюдалось около 1900 подписчиков.

С 30 декабря по 5 января обе страницы получили более 600 подписчиков.

Другими значительными периодами роста были период с конца апреля до начала мая, а также с конца августа по начало сентября — тогда группы подписчиков увеличились сразу на 30-80 процентов.

Перекрытие периодов времени одинакового экстремального роста для двух условно независимых страниц ещё больше усиливает возможность координации их действий.

Ни одна из страниц не показывала рекламу во время пиковых показателей роста аудитории в декабре и апреле, то есть, подписчики не были приобретены путём платной рекламы в Facebook.

На странице Znaj вообще не размещалась реклама, а на странице Politeka первые объявления (в виде рекламируемых сообщений) появились лишь 2 сентября 2019 года.

Также Facebook проверял пользователей, следящих за указанными страницами.

В принципе, они имели сходные с человеком модели активности и, казалось, даже были из Украины.

Обычно на работу ферм указывает напоминающее спам поведение, или же расположение учётных записей, значительно отличающееся от области интересов следующих страниц.

Но в данном случае ни то, ни другое не было очевидно.

Усиление контента.

Хотя явных доказательств недостоверных мер по увеличению аудитории и не было замечено, на страницах Politeka и Znaj присутствовали признаки чёткой координации действий.

Например, на местных страницах данных СМИ, созданных для Житомира, в одно и то же время размещался одинаковый пост, и на обеих страницах содержался только он.

Более того, из 22 соответствующих региональных страниц сразу 17 (77%) имели идентичные обложки.

Помимо усиления своего собственного контента, различные страницы для каждого из двух сайтов также усиливали ссылки на другой агрегатор.

Например, на странице Znaj есть ссылки на статьи и на соответствующий сайт, и на Politeka.

Несмотря на то, что статьи размещались с двух разных доменов, в сообщениях подавался один и тот же нарратив.

К примеру, простой посыл «Александр Князюк, сотрудник Министерства внутренних дел Украины, может быть коррумпирован».

По мнению исследователей, обмен таким контентом на протяжении нескольких раз предполагает, что агрегаторы координируют свои кампании.

Довольно молчаливая страница «Politeka Кропивницкий» стала ещё одним свидетельством связи.

Несмотря на отсутствие каких-либо публикаций, страница вдруг обновила фотографию профиля, сменив логотип Znaj.

ua на Politeka.

Однако своё название страница никогда не меняла.

Разные домены, одни и те же IP-серверы.

Также DFRLab обнаружил, что домены сайтов размещены на одном сервере.

Согласно данным аналитической платформы Spy.

OnWeb, они имеют совершенно одинаковые IP-адреса сервера.

ua, входящий в портфель Znaj Media, также размещается на тех же серверах.

В качестве ещё одного доказательства, по данным Whois.

net, единственная компания Imena UA (Internet Invest Ltd) была использована для регистрации и размещения всех трёх веб-сайтов.

Другие страницы, включённые в «расстрельный список», также усиливали новостные агрегаторы и их общее влияние.

Безобидные страницы с названиями вроде «Киев против коррупции» иногда вдруг начинали публиковать посты, связанные со Znaj и Politeka.

Некоторые из страниц с пометкой «Реальный» вели себя довольно похоже, но также демонстрировали характеристики, которые отличали их от части удалённых активов.

На таких страницах размещались идентичные мемы, ещё они служили платформами для усиления контента с определённых внешних сайтов.

Сразу две «реальные» страницы ссылаются на сайт Znaj.

ua, а другие («Реальный Луцк» и «Реальный Житомир») ссылаются на внешние сайты, посвящённые их соответствующему городу.

Например, страница Луцка связана с Lutsk.

ua; страница Житомира связана с Zhitomir.

Такое поведение предполагало, что выход страниц с меткой «Реальный» нацелен на привлечение местной аудитории с использованием общих мемов в тандеме с региональным новостным контентом.

Чаще всего каждая из этих страниц служила платформой для усиления контента с одного сайта.

DFRLab проверил, были ли «реальные» страницы связаны с Znaj Media Holdings, и не смог найти никаких доказательств.

Тем не менее, страницы львовского и харьковского филиалов совместно использовали контент от SQ Media, который, по данным Whois.

net и аналогично Politeka.

net, Znaj.

ua и Clutch.

ua, также был зарегистрирован с использованием служб регистрации Imena.

На странице SQ Media даже есть подразделы, посвящённые Львову и Харькову.

Другой страницей, включённой в разборку, стало «Министерство люстрации».

Там была представлена ​​совершенно другая стратегия усиления контента: использование платной рекламы в Facebook.

Страница сосредоточилась на обвинениях в том, что различные украинские политики были коррумпированы, параллельно публикуя компрометирующие ссылки на статьи из Znaj.

ua и Politeka.

Эти публикации продвигались через рекламу в Facebook.

Сайт Znaj.

ua, в свою очередь, перепечатал некоторые из рекламируемых постов с этой страницы.

DFRLab обнаружил многочисленные показатели скоординированной активности среди страниц в этом наборе, включая идентичные даты создания, одинаковые посты и ссылки, а также усиление одного и того же набора внешних веб-сайтов, некоторые из которых ещё и имели общий IP-адрес сервера.

На страницах размещался, в основном, украинский новостной контент, большая часть которого была взята из других отечественных новостных изданий с частичной атрибуцией.

Эта сеть, возможно, была частично политически мотивированной — некоторые страницы инициировали атаки на отдельных украинских политиков.

Сайт Znaj Media, однако, также опубликовал прайс-лист на размещение рекламы в своих различных дочерних компаниях.

Несмотря на отсутствие публикации контента, на некоторых страницах было замечено несколько периодов аномального роста аудитории.

Остаётся неясным, как этим страницам удалось собрать существенное количество подписчиков.

DFRLab проверил две теории: использование подлинных платных рекламных объявлений в Facebook и использование недостоверных «подобных ферм», но обнаружил, что ни одна из них не объясняет периоды резкого роста аудитории.

поддержать проект.

и помоги редакции.

View the discussion thread.