Facebook VS жёлтые СМИ. Расследование DFRLab

По данным исследования DFRLab, два наиболее популярных в Украине агрегатора вирусных новостей создали серию недостоверных страниц в соцсети Facebook, чтобы усилить внешние ссылки на собственный контент и создать свою национальную аудиторию. 16 сентября 2019 года Facebook удалил 149 страниц вместе с другими активами, связанными с Znaj Media Holdings, крупным украинским медиа-конгломератом. Такие меры последовали из-за участия страниц в «координированном недостоверном поведении». DFRLab проверил 121 страницу, 64 из которых соответствовали пяти украинским СМИ, относящимся к Znaj Media Holdings: Znaj.ua, Politeka.net, Akcenty, Hyser и Clutch.ua. Znaj также оказался возможной дочерней организацией PR-компании Pragmatico.

В своём объявлении Facebook сообщил: «Администраторы страницы и владельцы аккаунтов обычно публикуют информацию о знаменитостях, шоу-бизнесе, спорте, местных и международных новостях, политических и экономических проблемах, включая украинские выборы, политических кандидатов и критику различных общественных деятелей. Хотя люди, стоящие за этой деятельностью, пытались скрыть свою личность, наш обзор связал эту деятельность с украинской PR-компанией Pragmatico».

Помимо связи с пиар-конторой, эта сеть представляла собой систематическую попытку создания (или имитации) аудитории: страницы координировались друг с другом для усиления контента, поступающего от множества вирусных агрегаторов новостей под эгидой Znaj Media. Эффект достигался путём соединения общих новостей и контента о лайфстайле с локальным освещением.

Это была также значительная операция, поскольку многие страницы имели тысячи подписчиков, а некоторые достигли даже нескольких миллионов. На своём сайте Znaj Media заявляет, что его миссия — «информировать людей», после чего утверждает, что занимает лидирующие позиции на украинском медиарынке. Действительно, две его дочерние компании, Znaj.ua и Politeka.net, входят в тройку самых посещаемых веб-сайтов в Украине. Эти страницы могли иметь коммерческую цель, поскольку Znaj Media включает прайс-лист на размещение рекламы на веб-сайтах различных торговых точек под своей эгидой. Но нет никакой информации о том, кому принадлежит медиа-конгломерат, хотя заявленный финансовый бенефициар определён как нерезидент Украины.

Znaj.ua, Politeka.net и Pragmatico

Facebook приписал эту операцию украинской пиар-компании Pragmatico. Среди страниц в определившемся наборе как раз нашлась одна, с таким же именем. Видеореклама на странице компании в Facebook включала номер телефона, который был показан на слайде Powerpoint для отдельной компании под названием «Doping Digital Agency». Там компания утверждала, что владеет и управляет Znaj.ua, Politka.net и Clutch.ua.

Значительная часть оставшихся страниц связана с Znaj.ua и Politeka.net. Оба сайта в основном собирают и публикуют новости, а также контент социальных сетей из других источников под их соответствующими брендами. Взамен они предоставляют лишь частичную ссылку в виде упоминаний авторов публикаций в социальных сетях и гиперссылок на другие средства массовой информации. Ни один не имеет каких-либо авторских подписей.

Из 121 страницы, которыми Facebook поделился с DFRLab, 58 (почти половина) соответствовали местным отделениям одного из этих двух агрегаторов новостей. Эти страницы были названы в честь центров различных областей Украины и посвятили себя публикации региональных новостей. Все ссылки на страницах ведут на соответствующие субдомены Znaj.ua и Politeka.net. Кроме того, DFRLab классифицировал группу «одноразовых» страниц: они не демонстрировали прямой связи с Znaj Media Holdings. Что же касается содержания, некоторые из них были посвящены темам общего интереса: местным новостям, политике, образу жизни, развлечениям. В то же время, другие страницы вещали более конкретно: к примеру, некоторые из них сосредоточились на досрочных украинских выборах 2019 года и войне на востоке Украины. Ещё 19 страниц были помечены в названии словом «Реальный» и вели себя совершенно по-другому. Здесь, в основном, размещались мемы, а субдомены Znaj Media появлялись в публикациях лишь изредка.

Координированное поведение

DFRLab обнаружил несколько ключевых показателей, доказывающих связь между этими страницами. Одним из индикаторов была дата появления страницы, которая предполагала, что их мог создать один и тот же человек (или организация). 37 страниц были созданы 22 декабря 2018 года. Это 30% всех страниц, проанализированных DFRLab. При этом на значительном количестве страниц с именно той датой создания вообще не было сообщений, хотя наблюдалось много подписчиков. Из 18 страниц, посвящённых бренду Politeka, созданному в ту же дату, 12 (66%) не написали ни одного поста. Из 19 страниц, посвящённых Znaj, тишину в эфире соблюдали 16 (84%).

В среднем 14153 пользователя следили за каждой страницей, а за «молчащими» 12307 за каждой страницей без сообщений. Наименьшее количество подписчиков на одной из «немых» страниц Politeka составило 9928 человек, а наименьшее количество подписчиков на такой же пустой странице Znaj — 8309. Такое количество подписчиков необычно велико для страниц без какого-либо контента и предполагает использование не самых аутентичных методов формирования аудитории.

Анализ страниц методом CrowdTangle выявил значительное увеличение количества подписчиков в те же даты, что и на страницах Politeka и Znaj. Например, обе страницы для украинского города Кропивницкий были созданы 22 декабря 2018 года, и в течение недели у них наблюдалось около 1900 подписчиков. С 30 декабря по 5 января обе страницы получили более 600 подписчиков. Другими значительными периодами роста были период с конца апреля до начала мая, а также с конца августа по начало сентября — тогда группы подписчиков увеличились сразу на 30-80 процентов. Перекрытие периодов времени одинакового экстремального роста для двух условно независимых страниц ещё больше усиливает возможность координации их действий.

Ни одна из страниц не показывала рекламу во время пиковых показателей роста аудитории в декабре и апреле, то есть, подписчики не были приобретены путём платной рекламы в Facebook. На странице Znaj вообще не размещалась реклама, а на странице Politeka первые объявления (в виде рекламируемых сообщений) появились лишь 2 сентября 2019 года.

Также Facebook проверял пользователей, следящих за указанными страницами. В принципе, они имели сходные с человеком модели активности и, казалось, даже были из Украины. Обычно на работу ферм указывает напоминающее спам поведение, или же расположение учётных записей, значительно отличающееся от области интересов следующих страниц. Но в данном случае ни то, ни другое не было очевидно.

Усиление контента

Хотя явных доказательств недостоверных мер по увеличению аудитории и не было замечено, на страницах Politeka и Znaj присутствовали признаки чёткой координации действий. Например, на местных страницах данных СМИ, созданных для Житомира, в одно и то же время размещался одинаковый пост, и на обеих страницах содержался только он. Более того, из 22 соответствующих региональных страниц сразу 17 (77%) имели идентичные обложки.

Помимо усиления своего собственного контента, различные страницы для каждого из двух сайтов также усиливали ссылки на другой агрегатор. Например, на странице Znaj есть ссылки на статьи и на соответствующий сайт, и на Politeka.net. Несмотря на то, что статьи размещались с двух разных доменов, в сообщениях подавался один и тот же нарратив. К примеру, простой посыл «Александр Князюк, сотрудник Министерства внутренних дел Украины, может быть коррумпирован». По мнению исследователей, обмен таким контентом на протяжении нескольких раз предполагает, что агрегаторы координируют свои кампании.

Довольно молчаливая страница «Politeka Кропивницкий» стала ещё одним свидетельством связи. Несмотря на отсутствие каких-либо публикаций, страница вдруг обновила фотографию профиля, сменив логотип Znaj.ua на Politeka. Однако своё название страница никогда не меняла.

Разные домены, одни и те же IP-серверы

Также DFRLab обнаружил, что домены сайтов размещены на одном сервере. Согласно данным аналитической платформы SpyOnWeb, они имеют совершенно одинаковые IP-адреса сервера. Кроме того, ресурс Clutch.ua, входящий в портфель Znaj Media, также размещается на тех же серверах. В качестве ещё одного доказательства, по данным Whois.net, единственная компания Imena UA (Internet Invest Ltd) была использована для регистрации и размещения всех трёх веб-сайтов.

Другие страницы, включённые в «расстрельный список», также усиливали новостные агрегаторы и их общее влияние. Безобидные страницы с названиями вроде «Киев против коррупции» иногда вдруг начинали публиковать посты, связанные со Znaj и Politeka.

Некоторые из страниц с пометкой «Реальный» вели себя довольно похоже, но также демонстрировали характеристики, которые отличали их от части удалённых активов. На таких страницах размещались идентичные мемы, ещё они служили платформами для усиления контента с определённых внешних сайтов. Сразу две «реальные» страницы ссылаются на сайт Znaj.ua, а другие («Реальный Луцк» и «Реальный Житомир») ссылаются на внешние сайты, посвящённые их соответствующему городу. Например, страница Луцка связана с Lutsk.rayon.in.ua; страница Житомира связана с Zhitomir.info.

Такое поведение предполагало, что выход страниц с меткой «Реальный» нацелен на привлечение местной аудитории с использованием общих мемов в тандеме с региональным новостным контентом. Чаще всего каждая из этих страниц служила платформой для усиления контента с одного сайта.

DFRLab проверил, были ли «реальные» страницы связаны с Znaj Media Holdings, и не смог найти никаких доказательств. Тем не менее, страницы львовского и харьковского филиалов совместно использовали контент от SQ Media, который, по данным Whois.net и аналогично Politeka.net, Znaj.ua и Clutch.ua, также был зарегистрирован с использованием служб регистрации Imena.ua. Кроме того, города, которые SQ Media охватывает в определённых подразделах на своём веб-сайте, в значительной степени пересекаются с именами страниц в Facebook (например, «Настоящий Львов», «Настоящий Харьков»). На странице SQ Media даже есть подразделы, посвящённые Львову и Харькову.

Другой страницей, включённой в разборку, стало «Министерство люстрации». Там была представлена ​​совершенно другая стратегия усиления контента: использование платной рекламы в Facebook. Страница сосредоточилась на обвинениях в том, что различные украинские политики были коррумпированы, параллельно публикуя компрометирующие ссылки на статьи из Znaj.ua и Politeka.net. Эти публикации продвигались через рекламу в Facebook. Сайт Znaj.ua, в свою очередь, перепечатал некоторые из рекламируемых постов с этой страницы.

Выводы

DFRLab обнаружил многочисленные показатели скоординированной активности среди страниц в этом наборе, включая идентичные даты создания, одинаковые посты и ссылки, а также усиление одного и того же набора внешних веб-сайтов, некоторые из которых ещё и имели общий IP-адрес сервера.

На страницах размещался, в основном, украинский новостной контент, большая часть которого была взята из других отечественных новостных изданий с частичной атрибуцией. Эта сеть, возможно, была частично политически мотивированной — некоторые страницы инициировали атаки на отдельных украинских политиков. Кроме того, есть намёки на то, что она создавалась частично коммерческой по своей сути. Сайт Znaj Media, однако, также опубликовал прайс-лист на размещение рекламы в своих различных дочерних компаниях.

Несмотря на отсутствие публикации контента, на некоторых страницах было замечено несколько периодов аномального роста аудитории. Остаётся неясным, как этим страницам удалось собрать существенное количество подписчиков. DFRLab проверил две теории: использование подлинных платных рекламных объявлений в Facebook и использование недостоверных «подобных ферм», но обнаружил, что ни одна из них не объясняет периоды резкого роста аудитории.