Meer dan 300 accounts, die 0 berichten plaatsten, maar dan wel andere accounts volgen. We spoorden dit netwerk automatisch op met onze Dark Blue Sky Scanner. In deze blog leggen we uit hoe.
In deze serie “Dark Blue Sky” geven we een inkijkje in het opsporen van online beïnvloedingscampagnes. In Deel 1 bespraken we een like-leger.
De vorige keer hadden we het nog over iets semi-grappigs: een leger dat likes uitdeelt aan spelers van een computerspel. Dit keer duiken we een iets grimmigere hoek van Blue Sky in. Namelijk een fabriek die volgers verkoopt.
Volgers zijn belangrijk op social media. Want volgers zijn een soort keurmerk. Heb je er veel, dan lijk je populair. Dat heeft dus waarde, en daarom zijn volgers ook te koop.
Op een traditioneel social media platform als X of Facebook is het lastig om volgers te onderzoeken. BlueSky draait op het open ATProto protocol, en daardoor hebben we volledige toegang tot de profielgegevens.
Daardoor detecteren we niet alleen automatisch de bots, maar ook de klanten!
Accounts die alleen maar volgen
Hoe zijn we deze volgersfabriek op het spoor gekomen? Het begon met de detector die we voor Deel 1 al maakte. Namelijk de detectie van massale aanmaak van accounts. Als een groep accounts binnen enkele aaneenvolgende minuten is aangemaakt is dat een rode vlag.
Vervolgens analyseert onze scanner het profiel van de accounts, en dan valt in dit geval iets anders op:
- 0 eigen berichten geplaatst
- 0-2 volgers
- ~99 volgenden
Dus geen berichten plaatsen, nauwelijks volgers, maar wel bijna honderd andere accounts volgen. Dat is gek.
Het opvallende is verder dat ze net als bij het Wolvesville-netwerk allemaal ongeveer dezelfde namen hebben.
isabellysouza31, joseabreu599, lunarocha285, mariahsilva437, carolinadias944, rodrigolima375, brendasales752, danielrios149, auroracunha954, theoporto521, juanmoura701, otaviopinto418, etc
De overlap
Een account dat alleen maar volgt, en niks plaatst, is verdacht maar kan ook verklaarbaar zijn. Als je net nieuw bent op BlueSky heb je wellicht nog geen vrienden of inspiratie om iets te posten. En ben je wellicht vooral eerst op zoek naar interessante mensen om te volgen.
Om dat uit te sluiten legden we de volglijsten van alle accounts over elkaar heen. Dat levert het sluitende bewijs dat dit niet om gewone accounts gaat. Alle honderden nep-accounts volgen namelijk grotendeels dezelfde 108 accounts.
De overlap tussen twee willekeurige bots (hun Jaccard-gelijkenis) bedraagt 0,85. Als je twee willekeurige accounts neemt van menselijke gebruikers bevindt deze indicator zich dicht bij de nul.
Honderden vreemden kiezen niet toevallig uit dezelfde 108 accounts om te volgen.
Deze lijst is niet willekeurig, dit is het klantenbestand van de volgfabriek.
De klantenlijst
Op BlueSky kun je eenvoudig analyseren wie wie volgt.
Deze klantenlijst is een bijzondere collectie aan accounts. Van een muzikant, manga-app-maker, lokaal nieuwsnetwerk tot fan-accounts, ook een handvol accounts die al tienduizenden volgers hebben.
Veelzeggend is dat een flink deel van de klanten al door BlueSky geschorst of verwijderd is. Dus daaruit blijkt dat de kopers van nep-volgers vaak gedrag vertonen dat tegen de regels ingaat.
We publiceren de integrale lijst met klanten bewust niet. Want het is goed mogelijk dat een aantal van de gevolgde accounts geen klant is, maar enkel wordt gevolgd om de bot accounts organisch te laten lijken. We zien het patroon als bewijs, niet de afzonderlijke klanten.
Als bewijs voeren we alleen The Empire News Wire op, een klassieke “made for advertising” (MFA) “nieuws” website. Die dus enkel en alleen gemaakt is om Google Ads te vertonen en geld te verdienen met de kliks. Daar hebben we sowieso weinig sympathie voor. Dankzij deze volgersfabriek kreeg deze site een zetje op BlueSky.
De omgekeerde analyse
Als je eenmaal weet wie de potentiële klanten zijn, kun je de analyse ook omdraaien. We weten inmiddels hoe het profiel van een bot account er uit ziet: 0 berichten, ~100 volgenden, >5 volgers.
Deze criteria hebben we nu ingesteld als detector in de Dark Sky Scanner. Het vangt voortdurend nieuwe netwerken op. Waarover in latere blogs meer.
Wegwerp accounts
De volgersfabriek maakt graag gebruik van wegwerp accounts. Hierin valt op dat net als bij het Wolvesville-like-leger er geen gestage stroom van aanmaak is. Het aanmaken van accounts verloopt in golven. Telkens wordt het leger een beetje aangevuld:
| Datum | Aantal accounts aangemaakt |
|---|---|
| 6 juli | 156 |
| 24 juli | 86 |
| 28 juli | 52 |
| 1 augustus | 46 |
| 12 augustus | 7 |
| 19 augustus | 7 |
We zien ook dat BlueSky de bot accounts schorst, maar de week er op creëert de fabrieksmanager gewoon weer nieuwe accounts.
Het is dus zinloos om telkens de bots te verwijderen. BlueSky moet een filter maken die het onmogelijk maakt om telkens opnieuw accounts aan te maken die prompt dezelfde andere accounts gaan volgen.
Op naar Deel 3
We duiken steeds een laagje dieper ons detectiesysteem in. We hebben nu detectoren voor nep-likes, en voor nep-volgers. Maar voor semi-onschuldige doeleinden ingezet: een badge in een game, of het promoten van een product of dienst.
In Deel 3 wordt het echt spannend. Met deze detectoren vonden we een netwerk van geloofwaardige accounts die zich voordoen als die van een financieel dienstverlener, om mensen te lokken naar een nep-inlogpagina. De volgende editie gaat dus over een BlueSky phishing operatie.