Спільна доповідь НАТО та Центру стратегічних комунікацій України розкриває, як науково довести причетність росії до маніпуляцій в інформаційному просторі
Наталя Зарудня
ByНаталя ЗарудняГоловний редакторГоловний редактор та засновниця CyberCalm. Понад 10 років у кібербезпеці та технологічній журналістиці. Пишу про захист даних, мобільну безпеку, штучний інтелект та соціальні мережі.Follow: 04.03.2026 Поширити 11 хв. читання
Дезінформація, фейки, скоординовані кампанії у Telegram — все це давно стало частиною нашої реальності. Але як довести, що за черговим «вірусним» скандалом стоїть саме держава-агресор, а не просто анонімний блогер? Саме цьому присвячена спільна доповідь НАТО StratCom COE та українського Центру стратегічних комунікацій, опублікована у січні 2026 року.
Зміст
- Що таке «атрибуція» і чому вона важлива
- Три кити атрибуції: технічні, поведінкові та контекстуальні докази
- Як оцінити рівень відповідальності держави
- Рівні впевненості: чесність в оцінках
- Практичний кейс: як розкрили обхід санкцій RT і Sputnik
- Що це означає для звичайного користувача
- Що рекомендують автори доповіді
- Висновок
Що таке «атрибуція» і чому вона важлива
Атрибуція — це встановлення того, хто саме стоїть за певним контентом або кампанією. У мистецтві так визначають автора картини. У кібербезпеці — автора атаки. В інформаційних операціях — організатора дезінформаційної кампанії.
Чому це важливо? Тому що без доведеної причетності неможливо:
- вводити санкції проти конкретних медіа чи структур;
- захищати рішення про блокування у судах (а росіяни дедалі частіше оскаржують такі рішення юридичним шляхом);
- формувати скоординовану відповідь держав, платформ та громадянського суспільства.
Із запровадженням в ЄС Закону про цифрові послуги (DSA) та рамки FIMI стандарти доказової бази значно зросли. Тепер атрибуція має витримувати не лише медійну, а й правову перевірку.
Три кити атрибуції: технічні, поведінкові та контекстуальні докази
Автори доповіді пропонують Рамкову модель атрибуції інформаційних операцій (IIAF), яка спирається на три категорії доказів.
Технічні докази: «цифровий слід»
Це найбільш об’єктивна категорія. Технічний аналіз вивчає:
Доменну інфраструктуру. Через сервіс WHOIS можна дізнатися, хто і коли реєстрував домен, який хостинг-провайдер використовується, які IP-адреси. Наприклад, домен fondfbr.ru (пов’язаний з «Фондом боротьби з репресіями» Пригожина) зареєстрований через REG.RU — реєстратор, який популярний серед проросійських акторів саме тому, що уникає західних механізмів блокування. Важлива деталь: власник домену позначений як «приватна особа», що нетипово для нібито некомерційної організації.
Платформену активність. Інструмент TGStat дозволяє аналізувати Telegram-канали: кількість підписників, частоту публікацій, показник залученості (ERR). Канал @yurasumy («Світ сьогодні з Юрієм Подолякою») має понад 3 мільйони підписників і ERR 55% — це аномально високий показник. Для каналів такого розміру подібна залученість майже неможлива органічно: вона вказує або на штучне накручування переглядів, або на скоординовану мережу підсилення.
Мережеве картографування. Аналіз графів пересилань і згадок показує, які канали регулярно поширюють контент одне одного. @yurasumy має тісні зв’язки з Резидент, Олег Царьов, Осташко! Важливе — всі проросійські. Якщо кілька каналів публікують однаковий пост із різницею в 1–3 хвилини, це майже напевно свідчить про автоматизоване або заздалегідь скоординоване розповсюдження.
Фінансові сигнали. Найпереконливіші докази — але і найважчодоступніші. Аналіз блокчейн-транзакцій, рекламних ідентифікаторів Google та Meta, записів платіжних систем може виявити спільних операторів за різними ресурсами. Але така інформація здебільшого недоступна у відкритих джерелах.
Поведінкові докази: як вони діють
Поведінковий аналіз — це вивчення тактик, технік і процедур (ТТП): не що публікується, а як організована кампанія.
Крос-постинг і «відмивання джерел». Класичний приклад: 25 квітня 2023 року Telegram-канали, пов’язані з Кремлем, почали поширювати фейк про бійку між грузинськими та українськими солдатами. Матеріал з’явився щонайменше на 17 ресурсах, включно з ТАСС, РІА Новости, Lenta.ru. Але ключова деталь: ТАСС опублікував новину раніше, ніж її поставив у своєму Telegram первинний «першоджерело» — пропагандист Андрій Марочко. Це пряме свідчення центрального управління: «першоджерело» було штучним. Коли кілька каналів публікують матеріал з різницею в хвилини — це ознака Скоординованої неавтентичної поведінки (Coordinated Inauthentic Behaviour, CIB), тобто організованих дій із прихованим координаційним центром.
Клонування брендів. Окрема поширена тактика — створення сайтів і каналів, що імітують відомі медіа: українські регіональні видання, BBC, Укрінформ. Мета — підвищити довіру до фейку за рахунок чужої репутації. У розглянутих кейсах кілька каналів навмисно копіювали стилістику та назви реальних українських медіаресурсів.
Фреймворк DISARM. Це систематизований інструмент з близько 391 конкретним поведінковим показником для класифікації ТТП. У доповіді він застосовується до кампанії з «анексією Польщею Західної України». Використані методи:
- Підроблені зображення (фейкові рекламні борди у Варшавському метро з польським генералом і закликом «захистити споконвічні польські землі»)
- Маніпулятивне монтування відео (заява президента Дуди про «відкриті кордони» вирвана з контексту і подана як претензії на українські землі)
- Імітація авторитетних джерел (відео з логотипом BBC, яке насправді поширювало фейк)
- Локалізований контент на кількох мовах: російська, французька, італійська, турецька, чеська
Контекстуальні докази: «навіщо» і «коли»
Контекстуальний аналіз вивчає наративи, їх зміст, аудиторію та час появи.
Відмивання наративів. Радянська техніка, модернізована цифровими технологіями. Три стадії:
Журналісти видання Open згодом встановили, що «стажерка Cartier» — студентка з Санкт-Петербурга без жодного стосунку до компанії.
Часовий аналіз. Не менш важливо коли з’являється контент. Аналіз понад 130 тисяч повідомлень про корупцію в Україні (липень–грудень 2023 року) показав: сплески активності чітко збіглися з візитом Зеленського до США у грудні 2023-го. Антимобілізаційні хештеги #ТЦК, #stopTRC активізувалися саме під час закінчення конституційного терміну повноважень президента.
«Пожежний шланг» пропаганди. росія не намагається бути послідовною — вона перевантажує інформаційний простір суперечливими версіями. Sputnik англійською представляє Україну як корумповану державу, а іспанською — просуває антиамериканський контент і теорії змови щодо вакцин. Мета не переконати, а дезорієнтувати.
Як оцінити рівень відповідальності держави
Автори адаптують модель «спектру державної відповідальності» для інформаційних операцій. Вона включає 8 рівнів:
| Рівень | Характеристика |
|---|---|
| Держава ігнорує | Знає, але не реагує — бо операція не суперечить її інтересам |
| Держава заохочує | Офіційні особи повторюють або схвалюють наративи |
| Держава формує | Неформальна координація між чиновниками і акторами операції |
| Держава координує | Надає технічну або тактичну підтримку, часто таємно |
| Держава наказує | Використовує проксі-структури за прямим дорученням |
| Держава виконує | Операція ведеться безпосередньо державними ресурсами |
Кожен рівень вимагає різного обсягу доказів — і тягне різні відповіді: від дипломатичного протесту до санкцій та правових заходів.
Рівні впевненості: чесність в оцінках
Будь-яка атрибуція — це ймовірність, а не абсолютна істина. Доповідь рекомендує використовувати стандартизовані шкали:
- Низька впевненість (20–39%): є окремі сигнали, але їх недостатньо
- Помірна впевненість (40–59%): кілька незалежних індикаторів збігаються
- Висока впевненість (60–79%): сильна конвергенція доказів із різних категорій
- Дуже висока впевненість (80–100%): множинні незалежні докази, без альтернативних пояснень
У кейсі з корупційними наративами автори дійшли висновку з високою впевненістю (>80%): кампанія є сформованою та скоординованою з боку російської федерації. При цьому відкрито зазначено, що бракує прямих доказів фінансування чи офіційних наказів — і це підвищує довіру до висновку, а не знижує її.
Практичний кейс: як розкрили обхід санкцій RT і Sputnik
Після заборони ЄС у 2022 році RT і Sputnik не зникли — вони просто перейшли на альтернативні домени. Дослідники Institute for Strategic Dialogue викрили це через:
Щоб зменшити хибні спрацювання, кожен домен мав відповідати щонайменше двом технічним критеріям. Результат — виявлена мережа сайтів, розгорнутих паралельно після санкцій.
Що це означає для звичайного користувача
Дослідження підтверджує кілька важливих речей:
Фейки не з’являються самі по собі. За ними стоять технічна інфраструктура, координація та ресурси. Коли десятки каналів публікують одне й те саме з різницею в хвилини — це не збіг.
«Незалежне джерело» може бути підставним. Перш ніж довіряти матеріалу, зверніть увагу: хто перший опублікував? Чи є у джерела реальна історія публікацій? Чи не з’явилося воно ніби «з нічого»?
Тематика корупції — улюблена мішень. Якщо ви бачите вірусне обвинувачення на адресу українських чиновників, особливо під час важливих подій (голосування в Раді, візити до союзників, мобілізаційні рішення) — перевіряйте особливо ретельно.
TikTok — нове поле бою. Антимобілізаційні кампанії в Україні цілеспрямовано використовували TikTok, бо ця платформа охоплює аудиторію 18–55 років і спирається не на аргументи, а на емоційний вплив. Окрему загрозу становить використання генеративного ШІ: дослідники фіксують дедалі більше кампаній, де відео- та аудіоконтент для TikTok створюється автоматично — включно з діпфейками реальних осіб. Якою б складною не була така операція, вона завжди залишає технічні та поведінкові сліди — і саме їх навчають виявляти описані в доповіді методи.
Що рекомендують автори доповіді
Для дослідників, журналістів і державних органів:
- Прозорість і стандартизація: кожне твердження атрибуції має супроводжуватися рівнем впевненості і поясненням доказової бази
- Доступ до даних платформ: без відкриття API великих платформ якість розслідувань падає (обмеження Meta і Twitter/X у 2024–2025 роках суттєво ускладнили роботу)
- Уніфікована мова: терміни «держава заохочує», «держава координує», «держава виконує» мають стати стандартом для однозначного розуміння між урядами та платформами
- Превентивний аналіз: відстежувати чутливі теми в режимі реального часу, щоб фіксувати аномальні сплески до того, як кампанія досягне масштабу
Висновок
Атрибуція інформаційних операцій — це не магія і не суб’єктивна думка. Це системна робота з технічними даними, поведінковими патернами та контекстом. Жоден окремий індикатор не є вирішальним, але сукупність незалежних доказів з різних категорій дозволяє з високою впевненістю встановити: за конкретною кампанією стоїть держава.
Росія не припинила інформаційну агресію — вона адаптується. Але і інструменти виявлення стають точнішими. Знати про них — перший крок до стійкості.
Матеріал підготовлено на основі доповіді «Attributing Russian Information Influence Operations» (NATO StratCom COE & Центр стратегічних комунікацій України, січень 2026 р.)
Якщо ви виявили підозрілий контент або скоординовану кампанію — повідомляйте до Центру протидії дезінформації.
Будь ласка, залиште це поле порожнім
О, привіт
Приємно познайомитися!
Ми не розсилаємо спам! Ознайомтеся з нашою політикою конфіденційності для отримання додаткової інформації.
Перевірте свою поштову скриньку або папку зі спамом, щоб підтвердити підписку.
ТЕМИ:аналітикаВибір редакціїДезінформаціяКібервійнаМаніпуляції в медіаНАТОросійська пропаганда Поділитися Facebook Threads Копіювати посилання Друк Що думаєте? В захваті0Сумно0Смішно0Палає0Овва!1 Попередня стаття
Хочете перейти з ChatGPT на Claude? Ось 5 речей, які потрібно знати Наступна стаття
Статистика кібербезпеки в Європі-2025: Зростає кількість потужних атак типу «carpet bombing» В тренді
Комбінації клавіш у Windows 11: повний довідник 18.08.2026
Як вимкнути геолокацію на iPhone: повний контроль доступу застосунків 17.08.2026
Apple закрила майже 30 вразливостей в iOS 26.6.1 та macOS Tahoe 26.6.2 — третє оновлення безпеки за три тижні 18.08.2026
Як змінити обліковий запис Google за замовчуванням на Android 16.08.2026
Як очистити кеш на компʼютері з Windows 11: усі способи для ПК і ноутбука 19.08.2026
Новини Російські хакери зламують акаунти через OAuth і привʼязку пристроїв у WhatsApp 21.08.2026
Кібербезпека ШІ визначає місце зйомки фото у 9 випадках із 10 — і шахраї вже будують на цьому фішинг 17.08.2026
Огляди Криза, контроль, хрестовий похід: NATO розібрало російську пропаганду на механізми 11.08.2026
Кібербезпека Штучний інтелект уперше спроєктував повні геноми вірусів — 16 із них виявилися життєздатними 07.08.2026