Як виявити «кремлівську руку»: методи пошуку та присвоєння російських інформаційних кампаній | CyberCalm

Спільний звіт НАТО та Центру стратегічних комунікацій України пояснює, як науково обґрунтувати причетність росії до інформаційних маніпуляцій

Наталя ЗарудняНаталя ЗарудняГоловна редакторкаГоловна редакторка та засновниця CyberCalm. Понад 10 років досвіду в кібербезпеці та технологічній журналістиці. Пишу про захист даних, мобільну безпеку, штучний інтелект та соціальні мережі.Слідкуйте: 04.03.2026 Поділитися 11 хв. читання

Дезінформація, фейкові новини, організовані кампанії в Telegram — усе це давно стало частиною нашого повсякдення. Але як довести, що за черговим «вірусним» скандалом стоїть саме держава-агресор, а не просто невідомий блогер? Саме цьому присвячено спільний звіт НАТО StratCom COE та українського Центру стратегічних комунікацій, опублікований у січні 2026 року.

Зміст

Що таке «атрибуція» та чому це важливо
Три стовпи атрибуції: технічні, поведінкові та контекстуальні докази
Як оцінити ступінь відповідальності держави
Рівні впевненості: об’єктивність в оцінках
Практичний кейс: як викрили обхід санкцій RT і Sputnik
Що це означає для пересічного користувача
Рекомендації авторів звіту
Висновки

Що таке «атрибуція» та чому це важливо

Атрибуція — це процес встановлення особи, яка стоїть за певним контентом або кампанією. У мистецтві так визначають автора твору. У кібербезпеці — творця атаки. В інформаційних операціях — організатора дезінформаційної кампанії.

Чому це важливо? Тому що без доведеної причетності неможливо:

запроваджувати санкції проти конкретних ЗМІ чи організацій;
обґрунтовувати рішення про блокування у судовому порядку (а росіяни дедалі частіше оскаржують такі рішення юридично);
формувати скоординовану відповідь держав, платформ та громадянського суспільства.

З введенням в ЄС Закону про цифрові послуги (DSA) та рамки FIMI стандарти доказової бази значно зросли. Тепер атрибуція повинна витримувати не лише медійну, але й правову перевірку.

Три кити атрибуції: технічні, поведінкові та контекстуальні докази

Автори звіту пропонують Рамкову модель атрибуції інформаційних операцій (IIAF), яка спирається на три категорії доказів.

Технічні докази: «цифровий слід»

Це найбільш об’єктивна категорія. Технічний аналіз вивчає:

Доменну інфраструктуру. Через сервіс WHOIS можна дізнатися, хто і коли реєстрував домен, який хостинг-провайдер використовується, які IP-адреси. Наприклад, домен fondfbr.ru (пов’язаний з «Фондом боротьби з репресіями» Пригожина) зареєстровано через REG.RU — реєстратор, популярний серед проросійських акторів саме через уникнення західних механізмів блокування. Важлива деталь: власник домену вказаний як «приватна особа», що нетипово для заявленої некомерційної організації.

Платформну активність. Інструмент TGStat дозволяє аналізувати Telegram-канали: кількість підписників, частоту публікацій, показник залученості (ERR). Канал @yurasumy («Світ сьогодні з Юрієм Подолякою») має понад 3 мільйони підписників та ERR 55% — це аномально високий показник. Для каналів такого масштабу подібна залученість практично неможлива природним шляхом: вона вказує або на штучне накручування переглядів, або на скоординовану мережу підсилення.

Мережеве картографування. Аналіз графів пересилань та згадок показує, які канали регулярно поширюють контент одне одного. @yurasumy має тісні зв’язки з Резидент, Олег Царьов, Осташко! Важливо — всі вони проросійські. Якщо кілька каналів публікують однаковий пост з різницею в 1–3 хвилини, це майже напевно свідчить про автоматизоване або заздалегідь узгоджене розповсюдження.

Фінансові сигнали. Найбільш переконливі докази — але й найскладніші для отримання. Аналіз блокчейн-транзакцій, рекламних ідентифікаторів Google та Meta, записів платіжних систем може виявити спільних операторів за різними ресурсами. Однак така інформація здебільшого недоступна у відкритих джерелах.

Поведінкові докази: як вони діють

Поведінковий аналіз — це вивчення тактик, технік та процедур (ТТП): не що публікується, а як організована кампанія.

Крос-постинг та «відмивання джерел». Класичний приклад: 25 квітня 2023 року Telegram-канали, пов’язані з Кремлем, почали поширювати фейк про бійку між грузинськими та українськими солдатами. Матеріал з’явився щонайменше на 17 ресурсах, включаючи ТАСС, РІА Новини, Lenta.ru. Але ключова деталь: ТАСС опублікував новину раніше, ніж її розмістило у своєму Telegram первинне «першоджерело» — пропагандист Андрій Марочко. Це пряме свідчення централізованого управління: «першоджерело» було штучним. Коли кілька каналів публікують матеріал з інтервалом у хвилини — це ознака скоординованої неавтентичної поведінки (Coordinated Inauthentic Behaviour, CIB), тобто організованих дій із прихованим центром координації.

Клонування брендів. Окрема поширена тактика — створення сайтів і каналів, що імітують відомі медіа: українські регіональні видання, BBC, Укрінформ. Мета — підвищити довіру до фейку за рахунок чужої репутації. У розглянутих випадках кілька каналів навмисно копіювали стилістику та назви реальних українських медіаресурсів.

Фреймворк DISARM. Це систематизований інструмент з близько 391 конкретним поведінковим показником для класифікації ТТП. У звіті він застосовується до кампанії з «анексії Польщею Західної України». Використані методи:

Підроблені зображення (фейкові рекламні борди у Варшавському метро з польським генералом та закликом «захистити споконвічні польські землі»)
Маніпулятивне монтування відео (заява президента Дуди про «відкриті кордони» вирвана з контексту та подана як претензії на українські землі)
Імітація авторитетних джерел (відео з логотипом BBC, яке насправді поширювало фейк)
Локалізований контент кількома мовами: російська, французька, італійська, турецька, чеська

Контекстуальні докази: «навіщо» і «коли»

Контекстуальний аналіз вивчає наративи, їх зміст, аудиторію та час появи.

«Відмивання» наративів. Радянська техніка, модернізована цифровими технологіями. Три стадії:

Розміщення — фейк поширюється через нібито приватний акаунт (наприклад, в Instagram колишньої стажерки Cartier, яка «бачила», як Олена Зеленська витратила $1,1 млн на прикраси).
Нарощування — публікацію підхоплюють «схожі на реальні» українські та російські канали.
Інтеграція — матеріал потрапляє в проросійські ЗМІ як «доказ корупції».

Журналісти видання Open згодом встановили, що «стажерка Cartier» — студентка з Санкт-Петербурга, яка не має жодного стосунку до компанії.

Часовий аналіз. Не менш важливо, коли з’являється контент. Аналіз понад 130 тисяч повідомлень про корупцію в Україні (липень–грудень 2023 року) показав: сплески активності чітко збіглися з візитом Зеленського до США у грудні 2023-го. Антимобілізаційні хештеги #ТЦК, #stopTRC активізувалися саме напередодні закінчення конституційного терміну повноважень президента.

«Пожежний шланг» пропаганди. Росія не намагається бути послідовною — вона перевантажує інформаційний простір суперечливими версіями. Sputnik англійською представляє Україну як корумповану державу, а іспанською — просуває антиамериканський контент і теорії змови щодо вакцин. Мета — не переконати, а дезорієнтувати.

Як оцінити ступінь відповідальності держави

Автори адаптують модель «спектру державної відповідальності» для інформаційних операцій. Вона включає 8 рівнів:

Рівень	Характеристика
Держава ігнорує	Знає, але не реагує — бо операція не суперечить її інтересам
Держава заохочує	Офіційні особи повторюють або схвалюють наративи
Держава формує	Неформальна координація між чиновниками та акторами операції
Держава координує	Надає технічну або тактичну підтримку, часто таємно
Держава наказує	Використовує проксі-структури за прямим дорученням
Держава виконує	Операція ведеться безпосередньо державними ресурсами

Кожен рівень вимагає різного обсягу доказів — і тягне за собою різні наслідки: від дипломатичного протесту до санкцій та правових заходів.

Рівні впевненості: об’єктивність в оцінках

Будь-яка атрибуція — це ймовірність, а не абсолютна істина. Звіт рекомендує використовувати стандартизовані шкали:

Низька впевненість (20–39%): є окремі сигнали, але їх недостатньо
Помірна впевненість (40–59%): кілька незалежних індикаторів збігаються
Висока впевненість (60–79%): сильна конвергенція доказів із різних категорій
Дуже висока впевненість (80–100%): множинні незалежні докази, без альтернативних пояснень

У кейсі з корупційними наративами автори дійшли висновку з високою впевненістю (>80%): кампанія є сформованою та скоординованою з боку російської федерації. При цьому відкрито зазначено, що бракує прямих доказів фінансування чи офіційних наказів — і це підвищує довіру до висновку, а не знижує її.

Практичний кейс: як викрили обхід санкцій RT і Sputnik

Після заборони ЄС у 2022 році RT і Sputnik не зникли — вони просто перейшли на альтернативні домени. Дослідники Institute for Strategic Dialogue викрили це через:

WHOIS-дані: нові домени (наприклад, actualidad-rt.com) зареєстровані одразу після введення санкцій через російські реєстратори
DNS-записи: ті ж nameserver’и, що й у заблокованих ресурсів (ns1.rttv.ru)
Google Analytics ID: однаковий ідентифікатор на «нових» і старих ресурсах — пряме свідчення спільного оператора
Трафік: понад 85% відвідувачів обхідних сайтів — з країн ЄС

Щоб зменшити хибні спрацювання, кожен домен мав відповідати щонайменше двом технічним критеріям. Результат — виявлена мережа сайтів, запущених паралельно після запровадження санкцій.

Що це означає для пересічного користувача

Дослідження підтверджує кілька важливих моментів:

Фейки не з’являються самі по собі. За ними стоїть технічна інфраструктура, координація та ресурси. Коли десятки каналів публікують одне й те саме з інтервалом у хвилини — це не збіг.

«Незалежне джерело» може бути підставним. Перш ніж довіряти матеріалу, зверніть увагу: хто першим його опублікував? Чи має джерело реальну історію публікацій? Чи не з’явилося воно ніби «з нічого»?

Тематика корупції — улюблена мішень. Якщо ви бачите вірусне обвинувачення на адресу українських посадовців, особливо під час важливих подій (голосування в Раді, візити до союзників, мобілізаційні рішення) — перевіряйте особливо ретельно.

TikTok — нове поле битви. Антимобілізаційні кампанії в Україні цілеспрямовано використовували TikTok, оскільки ця платформа охоплює аудиторію 18–55 років і спирається не на аргументи, а на емоційний вплив. Окрему загрозу становить використання генеративного ШІ: дослідники фіксують дедалі більше кампаній, де відео- та аудіоконтент для TikTok створюється автоматично — включно з діпфейками реальних осіб. Якою б складною не була така операція, вона завжди залишає технічні та поведінкові сліди — і саме їх навчаються виявляти описані у звіті методи.

Висновки

Атрибуція інформаційних операцій — це не магія і не суб’єктивна думка. Це системна робота з технічними даними, поведінковими патернами та контекстом. Жоден окремий індикатор не є вирішальним, але сукупність незалежних доказів з різних категорій дозволяє з високою впевненістю встановити: за конкретною кампанією стоїть держава.

Росія не припинила інформаційну агресію — вона адаптується. Але й інструменти виявлення стають точнішими. Знати про них — перший крок до стійкості.

Матеріал підготовлено на основі звіту «Attributing Russian Information Influence Operations» (NATO StratCom COE & Центр стратегічних комунікацій України, січень 2026 р.)

Якщо ви виявили підозрілий контент або скоординовану кампанію — повідомляйте до Центру протидії дезінформації.

Будь ласка, залиште це поле порожнім

О, привіт
Приємно познайомитися!

Ми не розсилаємо спам! Ознайомтеся з нашою політикою конфіденційності для отримання додаткової інформації.

Перевірте свою поштову скриньку або папку зі спамом, щоб підтвердити підписку.

ТЕГИ:аналітикаВибір редакціїДезінформаціяКібервійнаМаніпуляції в медіаНАТОросійська пропаганда Поділитися Facebook Threads Копіювати посилання Друк Попередня стаття Хочете перейти з ChatGPT на Claude? Ось 5 речей, які потрібно знати Наступна стаття Статистика кібербезпеки в Європі-2025: Зростає кількість потужних атак типу «carpet bombing»

В тренді

Signal додав нову функцію безпеки для захисту від атак «людина посередині»

13.08.2026

Як підписати PDF на смартфоні: інструкція для iPhone та Android

14.08.2026

Як вимкнути геолокацію на iPhone: повний контроль доступу застосунків

17.08.2026

WhatsApp Scam Alert: нова функція виявляє шахрайські повідомлення без порушення шифрування

14.08.2026

Витік даних у CEVA Logistics: Valve попереджає європейських покупців обладнання Steam

11.08.2026 Кібербезпека

ШІ визначає місце зйомки фото у 9 випадках із 10 — і шахраї вже будують на цьому фішинг

17.08.2026 Огляди

Криза, контроль, хрестовий похід: NATO розібрало російську пропаганду на механізми

11.08.2026 Кібербезпека

Штучний інтелект уперше спроєктував повні геноми вірусів — 16 із них виявилися життєздатними

07.08.2026 Кібербезпека

Кібербулінг: як розпізнати цькування в мережі та що робити

05.08.2026

Джерело

No votes yet.

Please wait...

Як виявити «кремлівську руку»: методи пошуку та присвоєння російських інформаційних кампаній | CyberCalm

Спільний звіт НАТО та Центру стратегічних комунікацій України пояснює, як науково обґрунтувати причетність росії до інформаційних маніпуляцій

Що таке «атрибуція» та чому це важливо