Mappare e contrastare le moderne reti di influenza

Quando ho scoperto per la prima volta la social media intelligence (SOCMINT), mi sono naturalmente orientato verso le tecniche di analisi dei singoli account, di deanonimizzazione e di recupero dei contenuti storici legati a una determinata identità. Questo rimane ancora oggi uno degli ambiti più interessanti in cui lavorare nell'intelligence da fonti aperte (OSINT), grazie all'inesauribile repertorio di tecniche innovative che si possono usare per ricostruire un'identità.

Sebbene l'analisi mirata mi stia particolarmente a cuore e sia incredibilmente importante, oggi voglio parlare di un tipo diverso di SOCMINT: l'analisi su scala di rete, che abbraccia un numero enorme di account spesso ospitati su piattaforme completamente diverse.

Comprendere le dinamiche delle reti di influenza

Questo tipo di indagini mira spesso a comprendere le reti di disinformazione straniere, lo «spamouflage» cinese che prende di mira le elezioni occidentali, le reti di influenza legate all'Iran o le enormi bot farm legate alle truffe sulle criptovalute. Ben lontani dall'immagine del detective che fissa una bacheca di prove cercando di risolvere un omicidio o un caso di frode, gli attacchi informativi online rappresentano oggi una delle superfici di attacco più attivamente sfruttate al mondo, se non la più sfruttata in assoluto.

Nell'ultimo anno, costruendo Intrace, ho avuto l'opportunità di conoscere queste reti da ogni angolazione. Naturalmente, ha senso partire dagli attori ostili. Quali sono le loro motivazioni e i loro incentivi? Che cosa hanno da guadagnare? Qual è il profilo di chi tipicamente sfrutta le reti sociali per diffondere un messaggio?

Quando analizzo gli attori dietro le campagne, uno schema che si ripresenta continuamente è che raramente sono mossi dalla sola ideologia, ammesso che lo siano. Per essere chiari, esistono comunità dal basso che si comportano come reti di influenza quasi come sottoprodotto naturale, ma tendono ad agire con minore intenzionalità. La maggior parte, invece, è mossa da una combinazione di incentivi economici, direttive politiche e opportunismo. Alcuni sono innocui, come i collaboratori dei social media che cercano di raggiungere quote di engagement, mentre altri sono team legati a Stati concentrati nel pilotare narrazioni specifiche, e molti si collocano a metà strada.

Creare la campagna di disinformazione perfetta ha forse meno a che fare con la costruzione della menzogna perfetta e più con la modellazione dell'ambiente attorno alla menzogna, in modo che a nessuno venga in mente di metterla in discussione. Sono il volume, la persistenza e il tempismo a sfruttare un difetto fondamentale del pensiero umano: tendiamo a vedere schemi ovunque. Una volta compreso come questi sistemi funzionano su larga scala, i singoli account sembrano meno personaggi di una storia e più parti intercambiabili di una macchina costruita al solo scopo di inondare gli utenti di spam.

Contrastare le reti di influenza è difficile

Il fatto che gli account siano in gran parte intercambiabili presenta chiaramente un grosso problema. I migliori analisti al mondo possono mappare una rete di account che propina una truffa in criptovalute agli anziani. Forse riescono persino a far chiudere questi account, se tengono comportamenti esplicitamente criminali. La cruda verità è che spesso non serve a nulla, perché i follower costano poco, e se una truffa ha un buon ritorno sull'investimento, sarà di nuovo operativa entro la mattina successiva, se non entro l'ora successiva.

Sorge quindi la domanda: perché mai un analista dovrebbe prendersi la briga di mappare queste reti digitali? La risposta è questa: anche se non si può fermare il ricambio, comprendere la struttura del sistema offre la possibilità di vedere come l'operazione respira davvero, dove è fragile e dove un intervento ben piazzato può bloccare l'intero motore abbastanza a lungo da fare la differenza.

Contrastare le reti tramite gli account seme

Un esempio pratico è quando una rete dipende da pochi «account seme» centrali che alimentano di contenuti centinaia di account bot a valle. Se quei semi vengono identificati e rimossi, il chiacchiericcio a valle collassa per un certo periodo, perché i bot non hanno più nulla di fresco da rilanciare.

Questo tende a contare solo nei momenti di breve durata o di alta pressione in cui il tempismo è cruciale, come elezioni, scandali virali o improvvisi scontri politici. Pensate alle elezioni, agli scandali virali, alle dispute improvvise sulle politiche pubbliche. I cicli di notizie si muovono ogni anno più velocemente mentre la capacità di attenzione continua a calare, quindi se una rete perde la finestra utile, perde la possibilità di diventare virale e di plasmare l'opinione pubblica. Conta molto meno nelle campagne a lenta evoluzione, in cui gli attori dispongono di molte riserve e possono ricostruire rapidamente, facendovi bruciare risorse più in fretta dell'avversario. In questi casi sprecherete risorse più velocemente dell'avversario.

Contrastare le reti dipendenti dai cicli di amplificazione

Un altro esempio si osserva nei cicli di amplificazione coordinata. Alcune reti si affidano a un tempismo serrato per portare un post in tendenza prima che le piattaforme possano reagire. Se si comprende quel ritmo, interrompere la prima ondata può uccidere l'intera campagna prima che prenda piede. Senza accesso amministrativo per moderare le piattaforme, le opzioni per contrastare un'operazione di questo tipo sono più limitate, ma resta comunque possibile.

L'iniezione di rumore funziona bene perché ingombra la superficie algoritmica che gli attori cercano di pilotare. Se si immettono abbastanza post non correlati, commenti o contenuti di contrasto nello stesso tag o argomento fin dall'inizio, la loro prima ondata non riesce a decollare. A titolo di avvertenza, è essenziale affrontare operazioni di questo tipo in modo etico.

Il caso d'uso migliore è quando l'operazione dipende fortemente dalla portata anziché dalla sostanza, il che vale per la maggior parte delle operazioni di influenza, dal dirottamento delle tendenze alle false ondate di indignazione. Spezzare la prima ondata spesso uccide l'intero piano, ma conta meno quando gli attori non si curano delle tendenze o degli argomenti popolari e cercano di infiltrarsi in un ambito di nicchia nel corso del tempo.

Contrastare le reti multipiattaforma

Un terzo caso riguarda i ponti tra piattaforme, che possono rappresentare una sfida notevole per gli analisti impegnati a mappare l'attività tra piattaforme diverse. Tuttavia, molte di queste operazioni si appoggiano a un unico forum, gruppo o canale di chat come base di lancio. Sottrarre visibilità a quel nodo costringe gli attori a ricostruire il proprio flusso di lavoro e ne rallenta la diffusione. Non approfondirò qui tutti i possibili metodi per neutralizzare un canale di questo tipo, perché merita un articolo a sé; come nota rapida, però, il semplice affollamento e la diluizione faranno miracoli.

Questo ha un impatto sproporzionato quando il ponte è un collo di bottiglia, per esempio se un team di amministratori relativamente piccolo coordina un gran numero di amplificatori poco qualificati. Se il collo di bottiglia si spezza, l'intero sistema perde coordinamento. Conta meno negli ecosistemi decentralizzati in cui la pianificazione avviene in molti gruppi paralleli. Anche gli LLM e l'intelligenza artificiale pongono qui una nuova sfida, poiché i colli di bottiglia possono essere superati con post artificiali.

Contrastare le reti con figure di riferimento

Esistono anche reti basate sulla reputazione, in cui una manciata di account funge da validatore per far sembrare autentico tutto il resto. È l'unico caso in cui la battaglia riguarda meno la pura attenzione e più la percezione: smascherare pubblicamente quei validatori può rompere l'illusione e rendere il resto della rete meno convincente.

Questo conta quando il pubblico si affida a una figura di riferimento per fidarsi del messaggio, come nelle comunità politiche estremiste, nei gruppi finanziari di nicchia o nei circoli complottisti. Una volta che i validatori perdono credibilità, il resto della rete diventa rumore. Conta meno quando la campagna opera già in ambienti caotici o anonimi, dove nessuno si aspetta credibilità in partenza, e figure sostitutive possono spesso colmare rapidamente il vuoto.

Contrastare le grandi reti di influenza

Indipendentemente dal tipo di attacco, una debolezza estremamente comune è la pigrizia operativa. Gli attori riutilizzano immagini, formulazioni e infrastrutture tra una campagna e l'altra. Anche se la formulazione non è identica, il machine learning moderno può rilevare le somiglianze, ed evidenziare quelle impronte può aiutare le piattaforme a individuare e rimuovere interi lotti anziché eliminare i post uno alla volta.

Questo tende a essere più efficace quando gli attori si affidano alla scala per perpetuare attività illegali, come spam di massa, ondate di truffe o campagne di influenza politica straniera. Più riciclano il proprio materiale, più è facile spazzare via grandi cluster. Conta molto meno quando l'operazione è ben finanziata e ruota le proprie risorse abbastanza rapidamente da non lasciare in circolazione alcuno schema sfruttabile. Questo costringe gli attori ostili a scambiare la scala con l'affidabilità, e la scala è di norma il fattore numero uno che decreta il successo o il fallimento di qualsiasi campagna informativa.

Suggerimento pratico: ammesso che non abbiate accesso alla moderazione diretta della piattaforma social in questione, potete creare un'infrastruttura per segnalare automaticamente gli account (questo potrebbe violare i termini di servizio, quindi prestate attenzione) oppure condurre una campagna di contestualizzazione.

Contrastare le camere dell'eco

A proposito di contestualizzazione: quando l'attore ostile non ha commesso un reato ma sta spingendo una narrazione, questo approccio è spesso l'opzione migliore. Segnalare e inquadrare i post può attenuarne l'impatto senza rimuoverli del tutto. Le Community Notes di X.com ne sono un buon esempio: si affidano a correzioni e chiarimenti in crowdsourcing per democratizzare il fact checking. È promettente ma non privo di compromessi, poiché qualsiasi sistema aperto può diventare una superficie di attacco. Il metodo di YouTube di aggiungere collegamenti a Wikipedia è un'altra versione della stessa idea, sebbene comporti una moderazione più pesante sul versante di Wikipedia e, invece di essere gli utenti ad aggiungere direttamente il contesto, sia l'algoritmo di YouTube a rilevare quando un contenuto potrebbe essere sensibile.

Nelle nostre prime ricerche, l'approccio adottato da X sembra funzionare meglio. È più guidato dalla comunità e calibrato su ciascun post, con note che corrispondono al contenuto effettivo. Il metodo di YouTube solleva spesso maggiori preoccupazioni di censura o parzialità, o perché è meno guidato dalla comunità o perché il contesto è generico e non cambia da post a post. Ciò detto, aggiungere contesto, segnalare attività sospette o allegare informazioni di sfondo ad affermazioni ricorrenti può cambiare il modo in cui il contenuto viene recepito.

Questi interventi più morbidi funzionano meglio contro le campagne a basso sforzo, in cui gli attori contano sul fatto che gli utenti prendano tutto per buono, e potrebbero non funzionare bene se la questione è altamente controversa o molto nota.

La contestualizzazione non richiede la proprietà della piattaforma e, in ultima analisi, il modo migliore per plasmare la narrazione è ottenere più engagement dei propri avversari; per questo un'azione come reindirizzare gli utenti autentici verso una camera dell'eco può rivelarsi la più efficace, quando possibile.

In Intrace costruiamo sistemi per l'intelligence interdominio, dalla mappatura delle reti di influenza all'analisi di rete più ampia sul web aperto. Se state affrontando problemi in qualsiasi punto di questo panorama o avete bisogno di maggiore visibilità su come funzionano queste operazioni, contattateci: saremo lieti di esaminarli insieme.