Couverture en direct d’une opération de désinformation contre les élections européennes de 2019 dans l’UE

J’ai récemment travaillé avec des journalistes d’investigation d’ Yle , essayant de révéler la désinformation sur les médias sociaux autour des élections européennes de mai 2019 . Ce travail faisait également partie de la participation de F-Secure au projet SHERPA , qui impliquait de mieux comprendre les attaques par opposition aux systèmes d’apprentissage automatique, en l’occurrence les systèmes de recommandation sur les réseaux sociaux. Ma contribution au projet consistait à analyser le trafic Twitter à la recherche d’attaques par manipulation et d’empoisonnement.

Au cours de la phase initiale du projet, nous avons exécuté un script pour capturer les tweets correspondant aux hashtags officiels des élections européennes. Nous avons collecté des données sur une dizaine de jours. Tout en analysant les données collectées, nous sommes tombés sur des tweets hautement politiques qui ont suscité beaucoup d’engagements anormalement suspects – les tweets ont reçu plus de retweets que de goûts. Voici un exemple de l’un d’entre eux:

Les réponses à ce tweet montrent que c’était un mensonge. L’incident dans la vidéo n’a pas eu lieu en Italie, mais le tweet a tenté de le présenter de cette façon. Cela a fonctionné – des milliers de comptes d’extrême droite l’ont retweeté.

Voici un autre exemple. Il y a quelques jours, ce tweet avait reçu plus de 6000 retweets.

 

Lors de la rédaction de cet article, les deux comptes ci-dessus ont été supprimés par les propriétaires des comptes.

Les tweets suspects que nous avons identifiés provenaient de deux comptes – NewsCompact et PartisanDE. Ces comptes se lient les uns aux autres dans leurs descriptions. Par exemple, PartisanDE s’identifie en tant que PDG de NewsCompact. La langue utilisée dans les tweets publiés par ces comptes n’est clairement pas écrite par des anglophones. Les deux comptes sont très sollicités par les profils Twitter d’extrême droite (dont beaucoup me sont familiers grâce à des recherches antérieures). Ils partagent beaucoup de contenu politiquement incendiaire, de contenu raciste et de mistruths. Les comptes partagent également de nombreuses URL vers des sources telles que VoiceOfEurope, RT, Sputnik et certains autres domaines «d’actualité» ne faisant pas autorité.

Les deux comptes suivent et sont suivis par de nombreux nouveaux comptes Twitter. Par exemple, voici un histogramme des âges des comptes suivant PartisanDE. Le graphique ci-dessous montre qu’un grand nombre de comptes créés au cours de la dernière année suivent PartisanDE. Le graphique pour NewsCompact est très similaire.

À première vue, les deux comptes suivent facilement les comptes qui les suivent. En tant que tels, ils suivent tous deux de très nombreux nouveaux comptes, et les graphiques de répartition des comptes qu’ils suivent ressemblent beaucoup à ceux présentés ci-dessus. Il y a clairement un chevauchement entre leurs partisans et leurs suivis.

PartisanDE est un compte relativement nouveau (âgé d’environ un an et demi), alors que NewsCompact a six ans et s’est construit une clientèle, apparemment en rafale, au cours de cette période, comme illustré ci-dessous.

Nous avons décidé d’approfondir un peu plus ce que ces comptes faisaient. Nous avons donc mis en place un script pour suivre uniquement les deux comptes. Le script a reçu des tweets de ces comptes et des tweets où l’un ou l’autre des comptes était mentionné (retweeté, répondu, cité ou @ mentionné). Nous avons laissé le script s’exécuter pendant quelques jours, puis avons examiné les données qu’il avait rassemblées.

La visualisation des interactions retweets capturées par notre script montre que les comptes ont reçu un engagement de sources largement distinctes, avec quelques comptes (volume plutôt élevé) (entre les deux dans la visualisation ci-dessous) en interaction avec les deux.

La cartographie des interactions avec les tweets donne cette visualisation:

Dans ce qui précède, les tweets sont désignés par les nœuds avec des étiquettes numériques à 8 chiffres. Les ID Tweet étant beaucoup plus longs, les étiquettes de nœud ne contiennent que les 8 derniers chiffres de l’ID tweet réel (pour des raisons de lisibilité). Les lignes bleues épaisses désignent les tweets de PartisanDE. Les lignes brunes épaisses désignent les tweets de NewsCompact. Cette visualisation montre que, dans l’ensemble, chaque tweet a reçu un engagement d’un groupe d’utilisateurs distinct, avec un léger chevauchement (chaque tweet publié a reçu un engagement (retweets) d’un groupe de comptes distinct et unique. Cela est particulièrement évident pour les parties rose, verte et orange du graphique ci-dessus.

En plus de nombreux engagements de partisans «tout à fait légitimes», partisans du football, père de deux fils, amoureux de l’Europe, détestant les profils européens, nous avons constaté que le contenu de ces deux comptes était également amplifié par des comptes ressemblant à ils ne devraient pas être engagés avec ce contenu. Dans un exemple, nous avons assisté à des comptes avec des profils de langue européenne coréenne, japonaise, arabe et continentale, et à des comptes auto-identifiés comme partisans de US Trump, qui retransmettaient du contenu sur Tommy Robinson. Nous avons examiné les détails de tous les comptes qui avaient impliqué NewsCompact et PartisanDE dans les données collectées et avons trouvé une grande variété de profils Twitter. Voici quelques exemples.

Nous avons trouvé plusieurs comptes en coréen ayant publié un très grand nombre de tweets, comme celui-ci:

Nous avons trouvé plusieurs comptes japonais, y compris celui qui aime retweet fréquemment McDonald’s Japan, et du contenu sur les francs-maçons:

Nous avons trouvé des comptes qui tweet beaucoup sur les crypto-devises, comme celui-ci:

Nous avons trouvé ce compte sockpuppet qui a un nom à la finlandaise, est supposé être basé à Paris. Le compte retweete le contenu dans une grande variété de langues.

L’image de l’avatar sur le compte JukkaIsorinne a réussi une recherche inversée avec recherche d’image directement sur Google.

Nous avons également trouvé ce compte qui identifie comme indien, et a un vif intérêt pour le matériel militaire russe:

Espérons que les exemples ci-dessus brossent un tableau de la diversité des comptes-rendus liés à NewsCompact et à PartisanDE. Tous ces comptes ont retweeté un contenu hautement politique lié à l’UE. Cependant, ce n’est pas vraiment la partie intéressante de l’histoire. En triant la liste des comptes de notre ensemble de données par date de création, nous avons trouvé 200 comptes créés les 20 et 21 mai 2019 (lundi et mardi, donc il y a deux jours à la date de rédaction). J’ai téléchargé une liste complète des identifiants utilisateur de ces comptes sur mon dépôt Github . Voici une petite sélection aléatoire d’entre eux:

Tous ces comptes ont retweeté le même tweet de PartisanDE. Le tweet inclut une vidéo estampillée du logo leave.eu (l’opération officielle de la campagne du côté «congés» du Brexit lors du référendum de 2016):

Comme vous l’avez peut-être remarqué à partir de l’image ci-dessus, ce tweet avait reçu 388 retweets au moment de la rédaction. Deux cents de ces retweets provenaient des nouveaux comptes identifiés dans cette recherche. La plupart des nouveaux comptes étaient similaires. La plupart du temps, ils n’étaient suivis ni par des adeptes ni par des comptes et n’avaient publié qu’une poignée de tweets. Voici un exemple:

Les comptes ont retweeté une variété de contenus complètement différents, et il est assez évident qu’ils appartiennent à un service «achat de retweets». Cela indique que PartisanDE a payé un service pour retweet au moins un de ses tweets à motivation politique au moins 200 fois.

Par intérêt, nous avons décidé de vérifier quoi d’autre ces 200 comptes avaient retweeté. Voici quelques-uns des autres comptes qu’ils ont retweetés au cours des deux derniers jours:

La liste ci-dessus comprend des comptes vérifiés (tels que justinsuntron, paulwrblanchard et Mark_Beech), des comptes vendant des produits (y compris des livres et des suppléments diététiques), des personnes travaillant dans le secteur de la musique, un blogueur de mode, des experts en finance, des influenceurs sociaux (surprise, etc.) surprise), et même des “PDG”. Tous les éléments ci-dessous achètent des retweets de la même société que PartisanD. Les comptes apparemment vérifiés peuvent librement acheter des retweets (et probablement des suiveurs) en toute impunité.

Nous avons également constaté que ce compte intéressant, créé il y a deux jours, avait déjà publié près de 800 tweets d’extrême droite.

NewsCompact et PartisanDE figuraient parmi les trois comptes les plus engagés dans l’espace de conversation sur les élections européennes sur Twitter il y a deux semaines. Ce billet de blog montre de manière concluante que ces deux comptes sont en train de falsifier lourdement l’engagement et qu’au moins PartisanDE achète également des retweets. Les services «Twitter Marketing» qui permettent aux utilisateurs de payer pour des retweets ne semblent pas se soucier des implications politiques des services qu’ils fournissent.

Étant donné que les deux comptes-rendus affichent un contenu d’extrême droite, raciste et très partisan, il convient de se demander quel effet ils ont eu sur l’espace de conversation électorale de l’UE sur Twitter au cours des dernières semaines. Je ne serais pas surpris si ce que j’ai trouvé n’est que la pointe de l’iceberg.

 

labsblog.f-secure.com – 

Andy Patel  Helsinki, Finlande  Chercheur, centre d’excellence en intelligence artificielle