Réponse menaçante : harcèlement coordonné ou simple bruit ?

Le premier défi de la veille des réseaux sociaux en renseignement de protection est la collecte. Il est essentiel de recueillir chaque donnée liée à la personnalité protégée susceptible de contenir une menace. Le défi suivant consiste à déterminer quelles données constituent réellement des menaces. Cet article traite du troisième défi : déterminer quelles menaces méritent vraiment qu'on s'y attarde. Il existe de nombreuses raisons d'accorder plus d'attention à une menace qu'à une autre, de sa précision à sa gravité, et cet article se concentre sur l'identification des campagnes coordonnées.

Pourquoi une équipe de renseignement de protection devrait-elle se soucier de ces campagnes ? L'organisation implique généralement une fixation, et c'est la fixation qui transforme l'hostilité en ligne en quelque chose qui peut toucher la personnalité protégée hors ligne. La colère non coordonnée reste le plus souvent en ligne. Les campagnes coordonnées ont davantage tendance à glisser vers le doxxing, les attaques réputationnelles durables et, dans les pires cas, vers un langage ou une planification qui laisse présager un préjudice réel. Le travail ne consiste pas à traiter toutes les réponses désagréables de la même manière. Il consiste à repérer le moment où des publications en apparence distinctes commencent à se comporter comme un seul effort.

Empreinte du compte

Les comptes flambant neufs créés à partir d'un modèle sont faciles à produire à bas coût et à grande échelle. Il est beaucoup plus difficile de monter une armée de bots composée de comptes ayant dix ans d'historique. L'ancienneté seule ne suffit pas pour autant. Le volume de publications, le vocabulaire de la bio sur les plateformes qui en proposent une, la réutilisation de photos de profil et d'autres indices de profils peu étoffés vont généralement de pair. Une seule réponse en colère provenant d'un compte personnel ancien relève le plus souvent du bruit. Lorsque plusieurs comptes peu étoffés et récemment créés apparaissent autour de la même personnalité protégée en tenant des propos similaires, c'est le groupe qui compte, plus que n'importe quelle réponse isolée.

Intrace regroupe ces facteurs dans un score de bot qui permet aux analystes de visualiser quels comptes présentent le comportement le plus proche de celui d'un bot et comment ils interagissent entre eux.

Chevauchement des réseaux

Les comptes naturels échangent avec un ensemble hétéroclite de personnes. Les comptes coordonnés échangent souvent entre eux. Si un compte publie sans quasiment aucun engagement, ou ne reçoit d'engagement que de la part d'une poignée de comptes toujours identiques, il ne s'agit probablement pas d'un profil personnel ordinaire. L'indice le plus net apparaît lorsque plusieurs de ces comptes partagent en outre des listes d'abonnés ou d'abonnements qui se recoupent, puis se manifestent contre plus d'une personnalité protégée. Une audience commune contre une seule cible peut encore relever de la colère organique d'une communauté réelle. Une audience commune qui se répète contre plusieurs personnalités protégées est plus difficile à expliquer.

Cette distinction compte, car un certain chevauchement est attendu. Des comptes qui suivent surtout des pages de défense des patients et de réforme de l'assurance ont de bonnes chances de se montrer hostiles envers le PDG d'un assureur santé après une histoire virale de refus de soins. Rien de surprenant. Si ce même groupe se met soudain à pousser un récit très aligné sur le logiciel de gestion du personnel d'entrepôt d'une chaîne régionale de supermarchés de taille moyenne, l'audience et le sujet ne correspondent plus. Ce décalage mérite davantage d'attention que le simple chevauchement d'abonnés.

Chronologie

Une discussion naturelle prend du temps à se déployer. Les gens voient une publication, réagissent, la citent, et la conversation se propage à partir de quelques centres visibles. L'activité coordonnée court-circuite souvent ce schéma. De nombreuses petites publications apparaissent à peu près au même moment sans publication d'origine claire ayant suscité cette attention. Les événements majeurs sur le terrain sont la principale exception. Si l'incendie d'une usine chimique impose l'évacuation d'une banlieue du Midwest, des publications simultanées sont normales. Si cette même rafale apparaît autour d'une remarque controversée faite par un directeur financier lors d'un dîner confidentiel consacré aux opérations du private equity auquel presque personne n'a assisté, la chronologie exige une meilleure explication que la portée organique.

Signal de copier-coller

Autrefois, c'était simple. Les campagnes réutilisaient la même formulation ou quelques variantes algorithmiques, et repérer des phrases identiques suffisait. Les outils génératifs bon marché ont rendu la correspondance exacte moins fiable. Ce qui tient toujours, c'est la structure. Surveillez les formulations différentes qui reprennent pourtant les mêmes affirmations dans le même ordre, reviennent aux mêmes noms propres rares ou répètent le même cadre accusatoire sur des comptes qui, par ailleurs, semblent sans lien. La colère naturelle se recoupe sur les thèmes tout en partant dans tous les sens. La colère scénarisée peut être paraphrasée et donner malgré tout l'impression d'avoir été assemblée à partir d'un même plan.

Schéma multi-cibles

Une personne en colère a tendance à choisir un seul combat. Le harcèlement coordonné réutilise comptes, formules et médias contre des personnalités protégées, des marques ou des employés d'un même écosystème. La question utile est de savoir si les mêmes identifiants réapparaissent partout où cette personne ou cette organisation se manifeste, y compris auprès d'un administrateur, du compte public d'un conjoint ou de la page d'une entreprise liée. Un fort volume contre un seul PDG peut encore s'expliquer par un mauvais cycle médiatique. La réutilisation contre des cibles liées est un signe plus fort que l'activité est organisée. Le même schéma apparaît lorsque des fiches de contact de dirigeants sont reproduites sur des sites de fuite, puis que les mêmes comptes s'en prennent à plusieurs dirigeants de l'entreprise en quelques heures.

Trajectoire d'escalade

La plupart des hostilités en ligne en restent aux insultes, au sarcasme ou au désaccord politique, et le renseignement de protection peut généralement les laisser de côté. Ce qui change la priorité, c'est le mouvement. Une réponse qui dit seulement que quelqu'un est détesté est banale. Une réponse qui ajoute des détails personnels, puis des informations sur des déplacements ou un emploi du temps, puis un langage évoquant une approche ou un préjudice réel appartient à une autre catégorie, même lorsque le ton reste calme. Les équipes numériques peuvent continuer à surveiller tant que le contenu est hostile mais non spécifique. Dès qu'apparaît un langage lié au lieu, à la famille, aux déplacements ou à une approche, la sûreté physique et l'ensemble de l'équipe de protection rapprochée doivent être informées. La coordination rend cette trajectoire plus dangereuse, car un même récit peut être amplifié jusqu'à ce que quelqu'un de moins retenu passe à l'acte.

Changement de plateforme

Une grande partie du travail de doxxing et de harcèlement passe un jour ou deux dans des canaux fermés avant d'atteindre un fil de réponses public. Au moment où la meute devient visible sur X, l'organisation a peut-être déjà eu lieu ailleurs. C'est pourquoi un passage vers Telegram, Discord, des forums ou de nouveaux comptes secondaires est significatif. Canaux partagés, dossiers de cibles transférés et consignes de suivi y apparaissent généralement en premier. Le contournement d'un bannissement ne prouve pas à lui seul l'existence d'une campagne. Lorsque la même persona revient rapidement avec le même récit et que la conversation quitte les espaces modérés, la collecte doit s'élargir au lieu de s'arrêter à la publication d'origine.

Aucun de ces signaux n'a vocation à transformer chaque commentaire hostile en incident. Ensemble, ils répondent à une question plus simple : s'agit-il d'une personne qui passe une mauvaise journée, ou quelque chose d'organisé est-il en train de se former autour de la personnalité protégée ? Des comptes récents et peu étoffés, des réseaux recyclés, une chronologie inhabituelle, une structure commune et des identifiants récurrents d'une cible à l'autre suffisent généralement à justifier la surveillance du groupe. Un langage d'escalade ou un passage vers des canaux fermés suffit généralement à porter le sujet au-delà du fil social.