Kto sprawdzał możliwości dezinformacji przed wyborami? Ślady sieciowej aktywności prowadzą do Rosji

W ramach międzynarodowego projektu monitoringu wyborczego sieci Polish Election Watch sprawdziliśmy temat anonimowej strony internetowej pislamizacja.com.pl. Zamieszczone na niej treści dotyczyły migrantów muzułmańskich, którzy wjechali do Polski za rządów PiS. Atakowano PiS, używając do tego m.in. wypowiedzi Donalda Tuska, lidera PO. Choć witryna istniała zaledwie kilka dni, była płatnie reklamowana. Po zauważeniu jej przez grupę polskich fact-checkerów i opisaniu na portalu X (dawny Twitter), strona błyskawicznie zniknęła z sieci. Po jej zawieszeniu ktoś intensywnie usuwał z internetu wszystkie ślady jej istnienia.

Główne ustalenia

Najważniejsze ustalenia:

• Witryna pislamizacja.com.pl miała typowo kampanijny charakter, wykorzystywała polaryzujący społeczeństwo temat imigrantów muzułmańskich w Polsce. Bezpośrednio uderzała w PiS, pośrednio wprowadzała także podziały w obozie demokratycznym.
• Jej treści były kopiami materiałów z innych źródeł. Bez wiedzy zainteresowanych użyto: analizy portalu Demagog, fragmentu artykułu portalu Konkret24, materiałów prasowych Orlenu oraz wypowiedzi Donalda Tuska na temat migrantów.
• Strona istniała zaledwie kilka dni, jednak w tym czasie rozpoczęto jej płatną promocję w sieci. W jednej z reklam wykorzystano wykres, stworzony przez portal Demagog, bez wiedzy portalu. Reklamy wykupiono, pomijając usługi Google i Meta (firmy te prowadzą publiczne rejestry reklam politycznych).
• Konto, które jako jedyne na platformach społecznościowych opublikowało link do tej strony w dniu jej uruchomienia, to konto na portalu X (dawny Twitter) szerzące radykalne treści antyukraińskie. Działa w siatce kont antyukraińskich i prorosyjskich, istniejących przynajmniej od 2019 roku, stale szerzących przekaz uderzający w Ukrainę, Żydów i muzułmanów. To typowe w Polsce rosyjskie narracje dezinformacyjne.
• Po zlikwidowaniu witryny jej twórcy skasowali jej kopię z wyszukiwarki Google, a kilkanaście dni później także kopię z rosyjskiej wyszukiwarki dzen.ru. Wyraźnie starano się usunąć z sieci wszelkie ślady istnienia strony. Jednak sama witryna, choć wyczyszczona z treści, pozostaje aktywna.
• W danych rejestrowych domeny pislamizacja.com.pl ukryto dane podmiotu dokonującego rejestracji oraz prawdziwy numer IP, z którego korzystała strona.
• Na tym samych serwerach, z których korzysta strona, działa infrastruktura cybernetyczna realizująca groźne, złośliwe kampanie, wykorzystujące złośliwe oprogramowanie.
• Najbardziej niebezpieczne z tych kampanii powiązane są z domenami i serwerami rosyjskimi.

Kontrowersyjne wideo Tuska

Tę historię trzeba jednak zacząć nie od strony internetowej. 2 lipca Donald Tusk opublikował w internecie kontrowersyjne wideo na temat imigrantów muzułmańskich w Polsce. Zarzucił w nim hipokryzję prezesowi PiS Jarosławowi Kaczyńskiemu. PiS bowiem oficjalnie zapewnia, że chroni Polskę przed migrantami z krajów muzułmańskich, ale po cichu wpuszcza ich tysiące. Tusk powiedział między innymi:

„Właśnie teraz Kaczyński przygotowuje dokument, dzięki któremu do Polski przyjedzie jeszcze więcej migrantów z państwa takich jak – to cytuję – Arabia Saudyjska, Indie, Islamska Republika Iranu, Katar, Emiraty Arabskie, Nigeria czy Islamska Republika Pakistanu. Kaczyński już w zeszłym roku ściągnął z takich państw ponad 130 tysięcy obywateli, 50 razy więcej niż w 2015 roku. (…) Dlaczego Kaczyński jednocześnie szczuje na obcych i na imigrantów, a jednocześnie chce ich wpuścić setki tysięcy, i to z takich państw?”

Nagranie oburzyło nie tylko zwolenników PiS, ale także część zwolenników opozycji. Było sprzeczne z poglądami tych demokratów, którzy nie uważają imigrantów muzułmańskich w Polsce za zagrożenie oraz sprzeciwiają się używaniu tematu migracji do bieżących rozgrywek politycznych. Tusk później zniuansował swoją opinię, ale jego pierwotną wypowiedź wykorzystano w sieciowej operacji.

„PiS przez osiem lat…”

21 lipca uruchomiona została strona internetowa pislamizacja.com.pl.

„Nie tak się umawialiśmy! PiS po cichu przez 8 lat sprowadził do Polski 288 tysięcy MUZUŁMAŃŚKICH imigrantów” – brzmiał jej nagłówek. Z błędem w wyrazie „muzułmańskich”. Obok znalazło się zdjęcie muzułmanina klęczącego w czasie modlitwy.

Strona była bardzo prosta, ale profesjonalnie zrobiona. Składała się jedynie z tzw. landing page, czyli strony głównej, przewijanej do dołu, bez tradycyjnego menu.

Pod nagłówkiem pokazano dane na temat migracji w Polsce. Przejrzyste zestawienie informacji, ile zezwoleń na wjazd do Polski z krajów muzułmańskich wydano w 2022 roku. Wskazano nawet źródło danych: Departament Rynku Pracy MRPiPS. Potem kolejny wykres, zatytułowany: „Liczba wydanych pozwoleń na pracę w 2022 dla uchodźców z krajów muzułmańskich”.

Tyle że wykres nie dotyczył 2022 roku, lecz lat 2008-2022. Wyraźnie zaznaczono na nim rok 2015, kiedy zaczęły się rządy PiS. A więc nagłówek wprowadzał w błąd, i to podwójnie – nie ma bowiem danych dotyczących zezwoleń na pracę dla uchodźców, lecz po prostu dla cudzoziemców.

„Nie tak się umawialiśmy!”

Kolejny wpis brzmiał niemal dosłownie jak wypowiedź Tuska na nagraniu, choć nie wskazano źródła cytatu:

„Ponad 130 tysięcy muzułmańskich imigrantów. PIS TYLKO zeszłym roku ściągnął ponad 130 tysięcy obywateli z państw takich jak Arabia Saudyjska, Indie, Islamska Republika Iranu, Katar, Emiraty Arabskie, Nigeria i Islamska Republika Pakistanu. Czyli 3500% więcej niż w 2015 roku”.

Dalej na stronie umieszczono dwie krótkie informacje. Jedną o „miasteczku migrantów budowanym przez Orlen” (chodzi o kontenery mieszkalne dla pracowników budujących kompleks petrochemiczny Olefiny III), ze zdjęciem pochodzącym z materiałów budującej miasteczko firmy budowlanej. Drugą o podpisaniu przez PiS tzw. deklaracji z Marrakeszu. Tym razem był to skopiowany fragment tekstu z portalu konkret24.pl, z 2018 roku.

Na koniec duży napis: „Zdecydowanie nie tak się umawialiśmy!” Do tego kilka zdjęć. Przejrzysty komunikat, niewymagający ani jednego kliknięcia, wprost dowodzący, że PiS w tajemnicy „islamizuje” Polskę.

Pislamizacja z błędami

W każdym wpisie na stronie był jakiś błąd, najczęściej językowy. „Muzułmańścy” zamiast „muzułmańscy”; Olefin III zamiast Olefiny III; brakujący spójnik; wyliczenie wzrostu liczby wydawanych pozwoleń w procentach zamiast w punktach procentowych; pozwolenia na pracę wydawane uchodźcom zamiast migrantom, czy właściwiej – cudzoziemcom. Wreszcie – opisany już błąd w nagłówku wykresu. Sporo jak na niewielką ilość tekstu oraz profesjonalne przygotowanie strony.

Zwracam uwagę na te szczegóły, ponieważ bardzo często to właśnie błędy i niespójności są pierwszymi śladami sugerującymi, że możemy mieć do czynienia z aktywnością dezinformacyjną lub złośliwą.

Na pierwszy rzut oka wydawało się, że strona jest powiązana z Platformą Obywatelską – powtórzenie twierdzeń Tuska było oczywiste. Tak zresztą pierwotnie zidentyfikowała witrynę jedna z grup polskich fact-checkerów. Jednak poza narzucającymi się skojarzeniami treściowymi i słabą poszlaką (opierającą się m.in. na korzystaniu z narzędzia Divi do tworzenia witryn internetowych) nie było podstaw do takiej identyfikacji. Mimo to informacja o stronie i przypisaniu jej do PO 25 lipca pojawiła się na X (dawnym Twitterze).

Demagog: nie zlecaliśmy takiej reklamy

Wtedy okazało się, że także inni internauci zauważyli witrynę, ponieważ na portalach informacyjnych wyświetlały się im jej reklamy. Odnaleźliśmy screeny z dwiema jej wersjami. Pierwsza to prosta mapka wskazująca na kierunek migracji z Azji i Bliskiego Wschodu do Polski. Do tego napis: „PiS po cichu przez 8 lat sprowadził do Polski 288 tysięcy muzułmańśkich imigrantów. Kliknij i zobacz”. W reklamie powtórzył się ten sam błąd językowy, który pojawił się na stronie.

Druga wersja reklamy to wykres z liczbą zezwoleń na pracę dla imigrantów z krajów muzułmańskich. Znów ze wskazaniem wyraźnego wzrostu za czasów PiS. Na pierwszy rzut oka wykres jest taki sam jak na stronie pislamizacja.com.pl, ale różnią go szczegóły. Poprawiono błędy w nagłówku, nieco zmieniono grafikę.

Rzeczywiście, Demagog podał takie dane w jednej ze swoich analiz. Zaś reklama, która tym razem w ogóle nie przekierowywała na stronę pislamizacja.com.pl, sprawiała wrażenie, jakby pochodziła od Demagoga właśnie.

- Demagog nie zlecał takiej reklamy. Nie jest to szablon graficzny, z jakiego korzystamy, w naszej analizie wykorzystaliśmy całkiem inną grafikę – wyjaśnił Marcel Kiełtyka, członek zarządu Stowarzyszenia Demagog.

Usuwano ślady witryny z sieci

Dwa dni po podaniu informacji przez fact-checkerów strona zniknęła z sieci. Ale w specyficzny sposób – nie tyle przestała istnieć, ile usunięto wszystkie treści z witryny. Pozostała tylko biała plansza, bez znanego wszystkim użytkownikom sieci komunikatu o błędzie. Certyfikat bezpieczeństwa Google dla tej domeny wciąż był (i jest) aktywny.

Standardowo wyszukiwarka Google zapisuje kopię każdej witryny, dzięki temu można łatwo obejrzeć także zarchiwizowane treści. W tym przypadku jednak kopii nie było – została usunięta. Znalazłam inną kopię, zapisaną przez rosyjską wyszukiwarkę dzen.ru.

Zaczęłam szukać twórców strony. W Platformie Obywatelskiej nikt o niej nie słyszał. Dane rejestrowe właściciela były ukryte, serwery – umieszczone w kilku państwach. Domenę zarejestrowano 11 lipca, już po opublikowaniu nagrania Tuska. Pierwszy odnotowany w archiwach internetowych zrzut ekranu, dokumentujący istnienie już aktywnej witryny z treściami, pochodzi z 21 lipca (godz. 11:38). Fact-checkerzy informowali o stronie na portalu X (dawny Twitter) 25 lipca. Wtedy aktywne były także opisane reklamy w sieci. Zaś 27 lipca witryna opustoszała.

Nie znalazłam śladu po reklamach pislamizacja.com.pl w raportach firm Google i Meta, chociaż archiwizują one wykupione u nich reklamy polityczne. Prawdopodobnie osoby realizujące operację skorzystały z innych firm, oferujących podobne usługi reklamowe, ale bez pośrednictwa Google czy Mety. Być może chodziło o to, by nie trafić do publicznych raportów reklam politycznych.

Tylko dwa linki do pislamizacji

Zaskakujący wynik przyniósł monitoring internetu, przeprowadzony pod kątem udostępniania linku do analizowanej strony. Okazało się, że zrobiły to zaledwie dwa konta, a tylko jedno – na platformie społecznościowej. Pierwsze to konto aktywne na niewielkim forum dla seniorów. Drugie – użytkownik platformy X.

Taka sytuacja w internecie to rzadkość. Może się zdarzyć, gdy o powstaniu nowej witryny wie niewielka grupa osób, której nie zależy na nagłośnieniu jej uruchomienia. Po co jednak w kampanii wyborczej uruchamiać stronę o tematyce politycznej, a potem ukrywać jej istnienie?

Przyjrzyjmy się tym, którzy podali link do witryny. O koncie z senioralnego forum niewiele można powiedzieć. Natomiast udostępniającym link do pislamizacja.com.pl na platformie X był użytkownik @Dziki__Janusz. To anonimowe konto, istniejące od listopada 2021 roku. Od początku szerzy treści antyukraińskie, chwilami także antysemickie. Nienawistne przekazy wobec Ukrainy pogłębiły się po wybuchu wojny z Rosją.

Antyukraińskie konto

@Dziki__Janusz nie wspiera wprost Kremla, chwilami nawet krytykuje Putina. Za to stale atakuje Ukrainę i Ukraińców, co oczywiście jest korzystne dla Moskwy. Zacytujmy niektóre z jego wpisów:

• 9 lipca 2022: „Prawda jest taka, że Putin zrobił Ukraińcom piękny prezent. Świat się zainteresował tym geopolitycznym trupem, a ukraińcy dostali świetną okazję do ucieczki na Zachód i życie na nasz koszt. Polska jest ZALANA tymi »bohaterami«. A na moich oczach umiera Polska, którą kochałem”.
• 15 sierpnia 2022: „Od dawna używam hashtagu #Polskafrajerem Europy. Wstyd się przyznać, ale nie ma chyba drugiego tak głupiego i naiwnego narodu jak Polacy, no może w Afryce. Ukry nas dymają ile wlezie”.
• 27 lipca 2022: „Ruskie się wzięły za łeb. Nie oszukujmy się – ani jedni ani drudzy przyjaciółmi Polski nie byli, nie są i nigdy nie będą. Ukry dodatkowo traktują nas jak bankomat bez limitu wypłat. Nie zapraszam do dyskusji".
• 6 stycznia 2022: „Poczekaj aż ci »pracowici« i życzliwi Polakom banderowcy zaczną się pchać do władzy. Ruski będzie językiem urzędowym w Polsce. Życzliwi, bo muszą nabyć prawa do socjali. Dziś właśnie przejmują Polskę, nie tylko ich urojone rdzenne Zakerzonie. Teraz ich małpi język słychać wszędzie”.

Sieć powiązań

@Dziki__Janusz ma ponad 1300 obserwujących. Regularnie wchodzi w interakcje z innymi użytkownikami portalu X, którzy także szerzą antyukraińską narrację. Jak konto @Jack471776, które poza tweetowaniem nienawistnych wpisów o Ukraińcach namawia do głosowania na kandydatów Konfederacji Korony Polskiej Grzegorza Brauna.

W tej samej grupie jest konto @M7A7G7X. To użytkownik wielokrotnie blokowany przez Twittera za naruszanie regulaminu, jego obecne konto jest kolejnym przez niego założonym. Już w 2019 roku ten użytkownik był liderem nienawistnego przekazu wobec muzułmanów w Polsce. Miał dostęp do drastycznych, ale nie uwiarygodnionych (bo o nieznanym pochodzeniu) materiałów wideo z różnych części świata, które miały dowodzić, jak wielkim zagrożeniem społecznym są muzułmańscy migranci. Po wybuchu wojny w Ukrainie konto to intensywnie rozpowszechniało zmanipulowane i nieprawdziwe informacje, dotyczące uchodźców z Ukrainy pochodzenia azjatyckiego i afrykańskiego.

Jeszcze jeden istotny użytkownik, z którym @Dziki__Janusz wchodzi regularnie w interakcję, to Albert Rychard @Albert301271.

Albert Rychard rozpowszechniał wtedy między innymi fake newsa o tym, że w Katyniu Polaków zamordowali Żydzi.

@Dziki__Janusz funkcjonuje więc w siatce kont, które szerzą treści radykalnie antyukraińskie. Nie ma obecnie możliwości jednoznacznego stwierdzenia, czy są one powiązane z rosyjską aktywnością w sieci czy nie. Jednak fakt, iż właśnie @Dziki__Janusz podał link do strony pislamizacja.com.pl, wskazywał, jaki może być dalszy kierunek poszukiwań.

„Złośliwe sąsiedztwo” z Rosji

Podczas profesjonalnej analizy adresu URL witryny pislamizacja.com.pl najpierw odkryliśmy, że wyświetlający się w danych rejestrowych numer IP witryny jest fałszywy i funkcjonuje jako przykrywka dla prawdziwego numeru IP. Zajęliśmy się więc tym prawdziwym.

Analizę wykonywała amerykańska ekspertka, związana z Cyber Threat Intelligence Network, współpracująca przy projekcie monitoringu wyborczego sieci, która ze względów bezpieczeństwa pragnie zachować anonimowość. Ustaliła, że strona pislamizacja.com.pl, chociaż działała na legalnych serwerach dużej polskiej firmy hostingowej, znajdowała się w cybernetycznym sąsiedztwie infrastruktury przygotowanej dla złośliwego oprogramowania, stale aktywnej.

Najnowsza złośliwa aktywność była obserwowana już podczas prowadzenia tej analizy. Pochodziła z domeny, zarejestrowanej pierwotnie na Ukrainie, jednak w marcu 2023 przeniesionej na rosyjski serwis hostingowy.

Zamieszczono tam program służący do tzw. pakowania złośliwego oprogramowania, czyli ukrywania lub szyfrowania szkodliwych programów, aby utrudnić ich wykrycie.

Ekspertka udokumentowała szczegółowo złośliwą aktywność w sąsiedztwie domeny pislamizacja.com.pl, ale nie przypisała tej aktywności konkretnej atrybucji. Udowodnienie, kto stoi za daną aktywnością, jest jednym z najtrudniejszych zadań badawczych, wymagającym długiego okresu obserwacji. Jednak hostowanie domeny w określonym „złym sąsiedztwie” może wskazywać na powiązania między analizowaną domeną a hakerami korzystającymi z konkretnego złośliwego oprogramowania.

Test politycznego wpływu?

Zebrane materiały pokazują, że strona pislamizacja.com.pl działała w szeroko rozumianym sąsiedztwie aktywności rosyjskiej – zarówno jeśli chodzi o sąsiedztwo cybernetyczne, jak i sąsiedztwo kont na platformie społecznościowej. Była profesjonalnie przygotowana, ale też profesjonalnie zacierano w sieci ślady jej istnienia. Przy tym zawierała błędy językowe i merytoryczne.

Mimo bardzo krótkiego okresu aktywności witryny wykupiono reklamy (poza dużymi firmami reklamowymi, co utrudniło dotarcie do danych). Natychmiast po zainteresowaniu się witryną przez fact-checkerów wyczyszczono ją z treści. A jednocześnie pozostawiono w takiej postaci, by w bardzo krótkim czasie móc ją ponownie uruchomić.

Wydaje się, że najbardziej prawdopodobnym celem tej akcji było testowanie polskiej przestrzeni internetowej. Sprawdzano, na ile możliwe jest zrealizowanie płatnej akcji politycznego wpływu podczas kampanii wyborczej w Polsce, jak szybko zostanie ona wykryta i kto na nią zareaguje.

Witryna pislamizacja.com.pl oraz jej cybernetyczne sąsiedztwo powinno podlegać stałej kontroli, by identyfikować kolejne podobne operacje sieciowe i nie dopuścić do potencjalnej zewnętrznej ingerencji w polskie wybory parlamentarne.