Що таке скоординована неавтентична поведінка

Скоординована неавтентична поведінка (CIB) — це використання фейкових або маніпульованих акаунтів, сторінок чи груп, що діють узгоджено для підсилення наративів, приховуючи своє справжнє походження. Термін був операціоналізований компанією Meta у 2017 році і з того часу став робочим визначенням у спільноті аналізу загроз. Принципово важливо, що метою виявлення є не сам контент — а координація та обман за дистрибуцією.

Спонсоровані державою CIB-кампанії відрізняються від органічної маргінальної активності кількома вимірюваними ознаками. Органічні кампанії демонструють високу варіативність у ритмі публікацій, мовному регістрі та мережевій топології. Спонсоровані державою мережі, навпаки, виявляють щільне часове кластеризування, повторно використану інфраструктуру та нараративну конвергенцію між акаунтами, які нібито створювалися незалежно. Операції «Агентства інтернет-досліджень» 2016 року, китайський кластер «Spamouflage Dragon» та іранський «Endless Mayfly» — канонічні приклади, де артефакти координації збереглися в даних ще довго після видалення контенту.

Операційно корисне розмежування — між поведінковою неавтентичною поведінкою (фейкові акаунти, координоване підсилення) та контентним обманом (сфабриковані цитати, синтетичні медіа). Обидва типи можуть співіснувати, але конвеєри виявлення мусять обробляти їх окремо. Змішування цих двох підходів породжує хибнопозитивні результати та ускладнює юридичну передачу матеріалів командам із вироблення політик. Ширшу таксономію методів виявлення дезінформації див. у нашому посібнику з програмного забезпечення для виявлення дезінформації.

Джерела даних та агрегування міжплатформних сигналів

Жодна окрема платформа не дає повної картини CIB-кампанії. Складні операції навмисно розподіляють свою активність між екосистемами — засіваючи контент на маргінальних форумах, підсилюючи його в Twitter/X і конвертуючи аудиторію через Telegram-канали без доступу через API. Ефективна збір-кампанія вимагає неоднорідного рівня захоплення даних.

API соціальних мереж залишаються основним структурованим джерелом. Academic API v2 Twitter/X, Content Library API Meta (обмежений для перевірених дослідників) та YouTube Data API v3 надають структурований JSON з метаданими акаунтів, кількістю взаємодій і мітками часу. Обмеження швидкості є суворими: безкоштовний рівень Twitter повертає 500 000 твітів на місяць, що недостатньо для моніторингу кампаній у реальному часі. Платні рівні доступу, якими користуються OSINT-команди, зазвичай коштують від $5 000 до $42 000 на місяць, що перетворює тривалий моніторинг на рішення з розподілу ресурсів на рівні програми.

Telegram становить окрему проблему. Канали публічно доступні для читання, але не мають офіційного REST API для масового збору даних. Команди використовують telethon (Python MTProto-клієнт) або офіційний Bot API для парсингу повідомлень. Графи каналів — хто і кому пересилає повідомлення — особливо цінні для картографування мереж підсилення. Канал з 300 підписниками, чиє повідомлення пересилається в канал із 300 000 підписниками протягом хвилин після публікації, — це сигнал координації, а не органічне охоплення.

Веб-форуми (4chan, Reddit, спільноти ВКонтакте та вітчизняні форуми мовами цільових країн) вимагають конвеєрів HTML-скрейпінгу з ротацією проксі та мовно-специфічних парсерів. Конвеєри міжплатформної агрегації зазвичай використовують архітектуру черги повідомлень: необроблені дописи потрапляють у топіки Kafka, нормалізуються до єдиної схеми (джерело, ідентифікатор автора, мітка часу, текст, метрики взаємодії, хеші медіа), а потім потрапляють на рівень аналізу. Перцептивне хешування (dhash, pdq) зображень і мініатюр відео забезпечує міжплатформне відстеження перероблюваного візуального контенту — що є сильним індикатором CIB.

Підходи до мережевого аналізу

Виявлення на основі графів є основним інструментом атрибуції CIB. Ключова інтуїція: автентичні користувачі утворюють розріджені, неоднорідні мережі з різноманітними паттернами взаємодії. Мережі «шкарпеткових маріонеток» (sockpuppet) формують щільні регулярні підграфи, оскільки ними керує невелика кількість операторів, що дотримуються playbook-ів.

Кластеризація графів акаунтів будує двочастковий граф акаунтів і контенту (дописи, хештеги, URL). Акаунти, що неодноразово спільно підсилюють один і той самий контент у вузьких часових вікнах, кластеризуються разом способами, нетиповими для органічних користувачів. Алгоритми виявлення спільнот — Louvain, Leiden або спектральна кластеризація на матриці суміжності — виявляють ці кластери. Метрика якості кластеру, що має операційне значення, — не модульність, а однорідність акаунтів: чи мають акаунти в кластері спільні діапазони дат створення, співвідношення підписників до підписок або стилі зображень профілів?

Підписи часової координації є одними з найбільш стійких сигналів з низьким рівнем хибнопозитивних результатів. Каскади ретвітів або пересилань від автентичних користувачів підпорядковуються розподілу затримок за степеневим законом. Координоване підсилення породжує пік протягом секунд або хвилин після сідового допису — розподіл, що є фізично неможливим без автоматизації. Обчислення попарних розподілів часових дельт для всіх пар акаунтів у підозрюваному кластері та порівняння їх з базовою лінією відомої органічної поведінки дає статистично обґрунтований показник координації.

Дактилоскопія спільної інфраструктури використовує типові для спонсорованих державою кампаній провали оперативної безпеки. Індикатори включають: ідентичні метадані фотографій профілів (GPS-координати EXIF, рядки моделей камер, що зберігаються після повторного завантаження на деяких платформах), спільні ланцюжки перенаправлень скорочувачів URL, загальні патерни реєстратора та серверів імен для доменів, що використовуються в посиланнях у біо, та IP-блоки ASN, що перекриваються, для реєстраційних IP акаунтів. Пошук за whois та дані пасивного DNS із таких джерел, як CIRCL's PDNS або SecurityTrails, є стандартними компонентами інструментарію. Коли кластер акаунтів спільно використовує підмережу /24 для IP-адрес створення, нульова гіпотеза про незалежну органічну активність стає неприйнятною.

NLP та контентні сигнали

Самі поведінкові сигнали не можуть відрізнити добре організовану CIB-мережу від легітимної астротурфінгової кампанії внутрішнього політичного актора. Аналіз на рівні контенту додає дискримінаційну силу, особливо для атрибуції та для живлення робочих процесів із розробки контрнаративів.

Виявлення нараративного шаблонування використовує шинглінг та виявлення майже дублікатів у корпусі. MinHash LSH (Locality-Sensitive Hashing) масштабується до сотень мільйонів дописів і ідентифікує дописи, що мають 70–90% спільного n-грамового контенту при відмінностях у поверхневій формі. Кластер із 800 акаунтів, що публікують майже ідентичні тексти з незначними лексичними замінами, є підписом CIB. Операції, що використовують нараративні шаблони, часто роблять це тому, що шаблони написані невеликою командою авторів, а потім розповсюджуються операторам акаунтів — виробничий процес, що залишає статистичні відбитки.

Міжмовна координація проявляється, коли той самий наратив з'являється кількома мовами протягом кількох годин. Артефакти зворотного перекладу — незграбні прийменникові фрази, кальки з російської або китайської, що є неприродними в англійській або українській мові — виявляються за допомогою оцінювання перплексії мовної моделі. Допис, що отримує аномально низьку перплексію під моделлю мови-джерела, але представлений як контент рідною мовою, є кандидатом на машинно-перекладене походження.

Виявлення тексту, згенерованого LLM — проблема, що розвивається і є дискусійною. Поточні класифікатори (GPTZero, Binoculars та відкрита модель RADAR) досягають 85–92% точності на контрольованих тестах, але суттєво деградують на коротких текстах, контенті не англійською мовою та перефразованих виводах. Для операційного використання оцінка LLM-походження повинна розглядатися як підтримуючий сигнал, зважений разом із поведінковими індикаторами, — а не як самостійний висновок. Схеми водяних знаків (наприклад, криптографічні водяні знаки від постачальника моделі) пропонують шлях до виявлення з вищою впевненістю, але вимагають співпраці з LLM-постачальниками, що ще не стандартизовано в галузі.

Атрибуція у масштабі

Виявлення ідентифікує мережу. Атрибуція пов'язує цю мережу з актором загрози. Це два різні аналітичні продукти з різними стандартами впевненості та різними аудиторіями.

Мережі «шкарпеткових маріонеток» пов'язуються з акторами загроз через конвергенцію кількох незалежних потоків доказів. Технічні індикатори — спільна IP-інфраструктура, сертифікати підпису коду на завантажувачах шкідливого ПЗ, що використовуються в тій самій кампанії, патерни реєстрації доменів — дають найтвердіші докази. Перехресні посилання OSINT додають широту: витікані документи (витоки ГРУ, набори даних i-Investigator), записи про закупівлі від російських або китайських державних медіа, в яких названо контракти на управління соціальними мережами, та лінгвістичний аналіз, що відносить авторів до конкретних регіональних діалектів або інституційних регістрів.

Рівні впевненості мають бути явними та структурованими. Центр передового досвіду STRATCOM NATO та NCSC Великої Британії використовують багаторівневі рамки впевненості, аналогічні шкалі адміралтейства: надійність джерела оцінюється від A до F, достовірність інформації — від 1 до 6, утворюючи двосимвольний код, що супроводжує розвідувальний продукт. Оцінка атрибуції, що говорить «ми оцінюємо з помірною впевненістю (B3), що цей кластер пов'язаний із підрядником, пов'язаним із Кремлем», є операційно придатною. Некваліфікована «це російські інформаційні операції» — ні: вона створює ризик ескалації, не надаючи доказової бази, необхідної для прийняття політичних або юридичних рішень.

Технології графових баз даних (Neo4j, TigerGraph або AWS Neptune) є стандартними для зберігання та запиту відносин між сутностями у масштабі атрибуції. Запити Cypher, що обходять ланцюжки акаунт → інфраструктура → домен → реєстрант → юридична особа → державний контракт, можуть виявляти шляхи атрибуції, невидимі у табличних даних. Підтримка постійного графу знань акторів загроз, що накопичує докази в різних кампаніях, суттєво скорочує час до атрибуції для повторюваних акторів.

Операційна інтеграція

Результати виявлення мають цінність лише тоді, коли вони достатньо швидко досягають осіб, що приймають рішення, щоб вплинути на результати. Затримка між запуском CIB-кампанії та її піковим органічним підсиленням зазвичай становить 6–18 годин. Конвеєри виявлення, що формують тижневі звіти, є аналітично цікавими, але операційно недостатніми для реагування STRATCOM.

Ефективна інтеграція вимагає, щоб результати виявлення напряму надходили до робочих процесів контрнараративних операцій у машинозчитуваних форматах сповіщень (STIX 2.1 для аналізу загроз або спеціальні JSON-схеми, узгоджені з командою STRATCOM). Сповіщення повинні включати: ідентифікатор кампанії, акаунти виявленого кластеру, домінуючі наративи з перекладеними фрагментами, орієнтовне охоплення, сигнали географічного таргетингу та рекомендований рівень реагування (моніторинг / попереджувальне спростування / спростування / ескалація).

Петлі прийняття рішень STRATCOM зазвичай функціонують у 24–72-годинному циклі для заздалегідь запланованих відповідей і в 2–4-годинному циклі для реактивних контрповідомлень. Системи виявлення мають узгоджувати каденцію сповіщень із цими циклами. Потокове виявлення (Apache Flink або Spark Structured Streaming поверх рівня захоплення даних Kafka) забезпечує сповіщення про кластери в режимі, близькому до реального часу. Пакетний аналіз виконується щоночі для отримання глибших звітів про атрибуцію та еволюцію мережі, що живлять тижневі брифінги STRATCOM.

Ланцюжки звітування відрізняються залежно від коаліційного або національного контексту. В багатодоменних операціях NATO розвідувальні продукти передаються через канали J2 з відповідним класифікаційним опрацюванням. Національні команди STRATCOM можуть мати більш прямі зв'язки з командами безпеки платформ для скоординованих запитів на видалення. Обидва шляхи вимагають, щоб система виявлення формувала результати, що відповідають доказовим стандартам організації-одержувача — необроблені ML-оцінки недостатні; потрібні структуровані, придатні для читання людиною оцінки з пакетами підтверджуючих доказів.

Обмеження платформ та правові міркування

Фахівці стикаються з жорсткими обмеженнями, які жодна кількість технічних рішень не усуває. Розуміння їх на ранньому етапі запобігає марним інвестиціям і юридичним ризикам.

Обмеження швидкості API та Умови надання послуг — найбезпосередніше тертя. Content Library Meta обмежена для перевірених академічних дослідників та дослідників із громадянського суспільства за формальним процесом подання заявок — урядові підрядники та організації, суміжні з обороною, регулярно отримують відмову. Умови надання послуг Twitter/X прямо забороняють використання зібраних даних «для стеження, відстеження або профілювання осіб». Це не перешкоджає аналізу на рівні кампаній, але обмежує зберігання та подальше використання способами, які необхідно перевіряти з юридичним радником до проектування системи, а не після розгортання.

GDPR являє паралельне обмеження для операцій, що задіяні акаунти на основі ЄС або інфраструктуру, що розміщена в ЄС. Принципи мінімізації даних за статтею 5 конфліктують із необхідністю зберігати повні історії акаунтів для поздовжнього аналізу. Виключення з міркувань національної безпеки в статті 23 і Преамбулі 73 надає полегшення для розвідувальних функцій держав-членів, що діють за внутрішнім законодавством, але не застосовується до приватних підрядників або урядових суб'єктів поза ЄС. Угоди про обробку даних, оцінки правових підстав та рішення щодо місця зберігання даних мусять бути вирішені до запуску конвеєрів захоплення даних. Зберігання необроблених даних соціальних мереж від резидентів ЄС на хмарній інфраструктурі уряду США без належного механізму передачі (Стандартні договірні умови або еквівалент) є реальним юридичним ризиком.

Координація видалення контенту платформами породжує інший конфлікт. Обмін результатами виявлення з командами безпеки платформ прискорює порушення мережі, але може поставити під загрозу тривалий збір даних — після видалення мережі базова лінія поведінки, яку вона забезпечувала, зникає. Оперативна безпека щодо можливостей виявлення має значення: розкриття конкретних методів виявлення платформам (або в публічних звітах) дозволяє операторам-противникам адаптуватися. Стандартна практика — ділитися списками акаунтів для видалення, утримуючи методологію виявлення, та підтримувати паралельний збір даних у підозрюваних наступних мережах перед ініціюванням запитів на видалення.

Побудова масштабованих можливостей виявлення

Виявлення інформаційних операцій — це не категорія продуктів, а аналітична можливість, побудована з інтероперабельних компонентів: конвеєрів захоплення даних, графових баз даних, NLP-моделей та аналітиків-людей, що діють у визначених петлях прийняття рішень. Технічні компоненти добре зрозумілі; складні проблеми — це доступ до даних, правова відповідність та інтеграція з операційними споживачами розвідки.

Організаціям, що вперше розбудовують цю можливість, слід послідовно розподіляти інвестиції: починати з поведінкового виявлення на доступних API (нижчий юридичний ризик, швидше отримання цінності), додавати NLP-аналіз контенту на другому етапі, а на третьому будувати інфраструктуру графу атрибуції. Кожен етап виробляє операційно корисні результати, поки наступний перебуває в розробці.

Narrative Shield — це платформа Corvus Intelligence для виявлення скоординованих інформаційних операцій та інтеграції контрнаративів, розроблена для оборонних середовищ і STRATCOM. Вона реалізує повний конвеєр, описаний тут, — від міжплатформного захоплення даних до виведення сповіщень у форматі STIX — з вбудованими засобами контролю відповідності вимогам ЄС та NATO щодо обробки даних. Щоб дізнатися, як вона підходить для вашого операційного контексту, замовте технічну демонстрацію у нашої команди рішень.