dezinformacja

Dezinformacja to według NASK celowe tworzenie i rozpowszechnianie fałszywych lub wprowadzających w błąd treści w celu oszukania odbiorców ^[1]. Komisja Europejska dodaje do definicji cel, jakim jest korzyść ekonomiczna albo polityczna, oraz możliwość wyrządzenia szkody publicznej ^[2]. Dla bezpieczeństwa stron internetowych pojęcie jest ważne z dwóch powodów. Kampanie dezinformacyjne korzystają z technik włamań i podszywania się, a przejęta witryna może stać się narzędziem takiej kampanii.

Pojęcia pokrewne

Dezinformację odróżnia od podobnych zjawisk zamiar i prawdziwość treści. NASK rozróżnia trzy kategorie ^[1].

Komisja Europejska opisuje misinformację podobnie: to fałszywe treści udostępniane bez złych zamiarów, których skutki mogą jednak być szkodliwe ^[2].

Gdy za kampanią stoi obce państwo, w dokumentach unijnych używa się skrótu FIMI (foreign information manipulation and interference). Europejska Służba Działań Zewnętrznych opisuje FIMI jako wzorzec zachowań, w większości niezakazanych prawem, który zagraża wartościom, procedurom i procesom politycznym albo może na nie negatywnie wpłynąć ^[3]. Działania te mają charakter manipulacyjny i są prowadzone celowo oraz w sposób skoordynowany przez podmioty państwowe albo niepaństwowe ^[3]. EEAS kładzie nacisk na zachowanie sprawców, a nie tylko na samą fałszywą treść ^[3].

Jak działa

Kampania dezinformacyjna ma zwykle kilka etapów: przygotowanie infrastruktury, wytworzenie treści, nadanie jej wiarygodności i rozpowszechnienie. Schemat poniżej pokazuje ten przebieg na przykładzie kampanii z użyciem podszywania się pod media.

RYS. 1Typowa kampania z podszywaniem się pod media

Na etapie infrastruktury sprawcy korzystają z technik znanych z cyberprzestępczości. Francuska agencja VIGINUM w kampanii RRN opisała rejestrowanie domen łudząco podobnych do adresów prawdziwych mediów, czyli typosquatting, oraz klonowanie ich stron z pominięciem drobnych, niezauważalnych szczegółów ^[6]. Treści rozpowszechniano przez sieci nieautentycznych kont w mediach społecznościowych ^[6]. Linki w reklamach kierowały przez kilka przekierowań, aby nie ujawniać całej infrastruktury kampanii ^[6].

Innym sposobem jest spoofing nadawcy wiadomości. W kwietniu 2023 roku Niebezpiecznik opisał SMS-y i wiadomości w Telegramie podszywające się pod Ministerstwo Obrony Narodowej, które zachęcały do zgłaszania się do Litewsko-Polsko-Ukraińskiej Brygady ^[7]. Mechanizm przypomina smishing, ale celem nie była kradzież pieniędzy, tylko wytworzenie fałszywej narracji ^[7].

Związek z włamaniami

Najbliżej bezpieczeństwa stron leżą kampanie, w których fałszywe treści publikuje się na cudzych, zaufanych witrynach. Mandiant w raporcie z lipca 2020 roku opisał kampanię Ghostwriter, prowadzoną co najmniej od marca 2017 roku ^[4]. Według raportu sprawcy wykorzystywali włamania na strony internetowe albo sfałszowane konta pocztowe do rozpowszechniania spreparowanych artykułów, cytatów i dokumentów, które miały wyglądać na pochodzące od wojskowych i polityków ^[4]. Kampania była skierowana głównie do odbiorców na Litwie, Łotwie i w Polsce i promowała narracje krytyczne wobec obecności NATO w Europie Wschodniej ^[4].

CERT Polska w 2022 roku opisał rozwój technik grupy UNC1151, łączonej z operacją Ghostwriter. Według komunikatu Mandiant i Google wskazały, że grupa z dużym prawdopodobieństwem jest powiązana z rządem Białorusi ^[5]. Grupa prowadziła phishing na skrzynki polskich dostawców poczty, a przejęte w ten sposób dostępy służyły m.in. do przejmowania powiązanych kont w mediach społecznościowych i rozpowszechniania dezinformacji ^[5]. W wiadomościach phishingowych grupa kierowała ofiary na przejęte polskie strony, które przekierowywały dalej do fałszywych paneli logowania ^[5].

Sprawców takich kampanii opisuje się często jako grupy sponsorowane przez państwo. Te same techniki stosują też haktywiści.

W WordPressie

Strona na WordPressie może zostać użyta w kampanii dezinformacyjnej na trzy sposoby.

• Publikacja fałszywego wpisu. Kto przejmie konto z prawem publikacji, może opublikować wpis w imieniu redakcji. Dokumentacja WordPressa opisuje autora jako osobę, która może publikować własne wpisy i nimi zarządzać, a redaktora jako osobę, która publikuje i zarządza także wpisami innych użytkowników ^[8]. Współpracownik może pisać wpisy, ale nie może ich publikować ^[8].
• Podmiana treści. Włamanie przez podatność we wtyczce pozwala zmienić istniejący artykuł albo dodać nowy bez logowania; skrajną postacią jest podmiana treści strony (defacement).
• Przekaźnik ruchu. Przejęta strona może służyć jako pośrednie ogniwo przekierowań, jak w kampaniach phishingowych UNC1151 ^[5].

Dlatego przy serwisach informacyjnych szczególne znaczenie mają role i uprawnienia użytkowników. Zgodnie z zasadą najmniejszych uprawnień osoby spoza redakcji mogą dostać rolę współpracownika, a publikację zatwierdza redaktor. Konta z prawem publikacji warto objąć uwierzytelnianiem dwuskładnikowym.

Jak się bronić

Po stronie właściciela witryny obrona polega głównie na utrudnieniu podszywania się i przejęcia.

• Rejestracja najbardziej oczywistych wariantów własnej domeny i monitorowanie nowych domen podobnych do niej.
• Rekordy SPF / DKIM / DMARC (uwierzytelnianie poczty), które utrudniają wysyłanie poczty w imieniu domeny.
• Ochrona kont redakcyjnych i przegląd listy użytkowników z prawem publikacji.
• Kanał, w którym redakcja szybko dementuje fałszywy artykuł przypisany serwisowi.

Po stronie odbiorców NASK zaleca sprawdzanie, czy ktoś nie podszywa się pod wiarygodnego nadawcę ^[1]. Incydenty z podszywaniem się pod polskie instytucje można zgłaszać do CERT Polska.

Historia i przykłady

Unia Europejska od lat rozwija narzędzia przeciw dezinformacji. W 2018 roku branża internetowa przyjęła dobrowolny kodeks postępowania w sprawie dezinformacji, a jego wzmocnioną wersję podpisano 16 czerwca 2022 roku ^[2]. Kodeks włączono następnie w ramy aktu o usługach cyfrowych (DSA) ^[2]. EEAS prowadzi projekt EUvsDisinfo i System Wczesnego Ostrzegania, w którym państwa członkowskie wymieniają informacje o FIMI ^[3].

Kampania RRN, opisana przez VIGINUM w lipcu 2023 roku, jest przykładem połączenia dezinformacji z technikami typowymi dla oszustw internetowych. Między czerwcem 2022 a majem 2023 roku zarejestrowano 355 domen podszywających się pod media we Francji i w dziewięciu innych państwach ^[6]. Od końca maja 2023 roku sprawcy podszywali się też pod stronę francuskiego ministerstwa spraw zagranicznych ^[6]. Meta 15 grudnia 2022 roku publicznie przypisała kampanię dwóm rosyjskim firmom ^[6]. Kampania wykorzystywała też boty w serwisie Twitter ^[6].