Qualcosa di oscuro che si nasconde dietro le pubblicità

Il SEAE ha scoperto una campagna coordinata anti-occidentale su Facebook che fa ricorso a tecniche sofisticate per nascondere le tracce dei suoi ideatori.

La pubblicità è un grande motore dell’economia digitale. Ma non è tutto oro quel che luccica. Recentemente, abbiamo individuato oltre 1.000 post sponsorizzati su Facebook, 188 dei quali unici, che promuovevano contenuti anti-occidentali e anti-ucraini. Le pagine Facebook che si spacciavano per negozi online e classificate come pagine “Musicista/Band” erano la fonte di questi annunci.

La campagna di manipolazione che abbiamo smascherato era – o meglio è, poiché alcune delle pagine sono ancora online – di natura internazionale. Dei 658 annunci a cui siamo riusciti ad accedere al momento della scoperta, 318 erano in tedesco, 321 in francese, 14 in ucraino e 5 in ebraico.

Gli attori dietro la campagna si sono impegnati non poco per nascondere le proprie tracce. Su 1.000 annunci totali, uno su quattro conteneva un indirizzo web appartenente a 105 domini distinti. Le pagine Facebook che promuovevano gli annunci sono state tutte create tra giugno e ottobre di quest’anno. A parte mostrare gli annunci, queste pagine non presentano alcun’altra attività e non hanno né follower né un’immagine del profilo.I nomi utente di queste pagine seguono uno schema specifico: ciascuno è composto da sei lettere disposte come vocale-consonante-vocale-consonante-vocale-consonante (ad es. Axamam, Umowow, Ipejej).

Screenshot che mostrano alcuni degli altri «account dormienti» i cui nomi utente sono stati costruiti usando la stessa struttura.

Screenshot che mostrano che gli account sono stati creati nello stesso arco temporale e con informazioni simili.

Screenshot che mostrano account della stessa rete che pubblicano gli stessi annunci sponsorizzati nello stesso arco temporale con testo e immagini identici

Analizziamo il caso.

Chi è stato?

Dal punto di vista dei contenuti, i post sponsorizzati in questione si allineano perfettamente con materiale spesso promosso da attori pro-Cremlino. Alcuni esempi includono vignette mirate all’Occidente, immagini modificate che mostrano falsi graffiti, e video rielaborati per colpire la reputazione dei funzionari dell’UE.Abbiamo anche trovato contenuti visivi tratti da false copertine di riviste, falsi annunci video che impersonavano aziende occidentali, video falsi che impersonavano testate ucraine, e persino falsi francobolli postali.

Screenshot di un post sponsorizzato, ora rimosso, che prendeva di mira l’AR/VP Josep Borrell

Detto ciò, nessuno dei 105 domini menzionati nei post sponsorizzati ha un collegamento chiaro con parti note della sfera FIMI russa. Invece, questi domini sembrano essere associati a varie attività commerciali, servizi online o siti web di contenuti per adulti. Un numero significativo è ospitato su un server in Malesia di proprietà di una società chiamata Shinjiru Technology Sdn Bhd. Esempi includono solonggoodbye.com, tastroid.com e cytteek.com. Queste aziende potrebbero non stare consapevolmente diffondendo disinformazione filorussa. Potrebbero invece essere state hackerate. Inoltre, i certificati digitali che autenticavano l’identità di questi domini, ovvero i certificati SSL, sono stati rinnovati solo pochi giorni prima che iniziassero a essere usati su Facebook. Questi domini non sono più attivi.

Tuttavia, il Digital Forensic Research Lab (DFRLab) dell’Atlantic Council ha recentemente identificato almeno tre post sponsorizzati post che promuovevano il dominio thumbra.com.Quel dominio, a sua volta, reindirizzava gli utenti a un articolo falso su un sito web che impersonava la Ukrainian Independent Information Agency. Al 13 novembre, questo dominio è diventato non responsivo e non reindirizza più al sito falso.

I ricercatori del DFRLab suggeriscono che «molteplici aspetti della falsificazione indicano che è probabilmente di origine russa». Questo giudizio è in linea con le nostre constatazioni secondo cui l’ecosistema FIMI della Russia spesso utilizza il reindirizzamento degli URL nelle proprie campagne di manipolazione dell’informazione. La pratica è abbastanza semplice. Gli autori manipolano il codice sorgente di una pagina web o di un dominio affinché reindirizzi automaticamente i visitatori verso un altro dominio. Questa tecnica è molto efficace quando attori malevoli vogliono continuare a condividere link che conducono a domini segnalati come non autentici dalle piattaforme o a organi di informazione controllati dal Cremlino e sanzionati dall’UE. Invece di utilizzare un URL bloccato, ne usano uno alternativo che reindirizza gli utenti, aggirando così gli sforzi delle piattaforme per limitare l’accesso ai siti web sanzionati.

Una serie di account che probabilmente metteva in atto un comportamento inautentico coordinato su X ha utilizzato questa tecnica per reindirizzare gli utenti verso articoli pubblicati su siti web che impersonavano testate legittime. I domini utilizzati erano pakgala.org e bigagenda.com. Entrambi i domini hanno attraversato gli stessi cambiamenti di certificato digitale dei domini promossi nei post sponsorizzati descritti sopra.In particolare, i certificati SSL di entrambi i domini sono cambiati lo stesso giorno in cui hanno iniziato a reindirizzare verso un dominio impersonatore.

Ampio pubblico preso di mira dagli annunci

Da quanto possiamo vedere, la campagna manipolativa si è diffusa a un vasto pubblico online. La portata dei post sponsorizzati nella campagna di manipolazione informativa è variata notevolmente, andando da post visualizzati circa 2.000 volte a post che hanno raggiunto quasi 40.000 visualizzazioni in tutta l’UE. Sulla base di ciò, il numero totale di visualizzazioni per tutti i post sponsorizzati potrebbe essere variato tra 3 e 10 milioni di visualizzazioni.

Per essere chiari, Meta definisce la portata dei post sponsorizzati come il numero stimato di account nell’UE che vedono un annuncio almeno una volta. Questo può includere più visualizzazioni dagli stessi account.

Il costo della campagna è quasi impossibile da valutare, poiché Facebook ha sospeso alcuni annunci. In ogni caso, Facebook offre informazioni limitate sui prezzi degli annunci.

E adesso?

Oltre a sensibilizzare sul problema, abbiamo segnalato i nostri risultati a Meta affinché li convalidasse. Dopo un’indagine indipendente, la piattaforma ha confermato che alcuni annunci erano collegati a una rete di comportamento inautentico coordinato esposta da Meta nel suo ultimo Rapporto sulle minacce avversarie.

Sebbene Meta abbia rimosso alcuni post, parecchi di essi rimangono online.In effetti, le ricerche che abbiamo effettuato su Facebook utilizzando i nomi delle pagine menzionate sopra rivelano un altro insieme di pagine sospette. Questi account aggiuntivi, attualmente inattivi, condividono la stessa convenzione di denominazione, il periodo di creazione, la categorizzazione e una simile mancanza di follower rispetto alle altre pagine.

È molto probabile che queste nuove pagine siano interconnesse. Stiamo già vedendo una di esse partecipare a una nuova campagna di manipolazione incentrata sulla guerra Israele-Hamas, diffondendo la falsa ma familiare narrativa secondo cui le armi ucraine verrebbero vendute ad Hamas.

Non lasciarti ingannare: iscriviti alla Disinfo Review settimanale e segui EUvsDisinfo su X, Facebook, LinkedIn e ora anche su Instagram!