Hoe de Petersburgse trollenfabriek te werk ging na de MH17-ramp

‘Naar mijn mening is Oekraïne hoe dan ook verantwoordelijk voor de tragedie met de Boeing-777”, schrijft de Russische Katja Timofejeva op 18 juli 2014 – een dag na het neerhalen van vlucht MH17 – op haar blog. „We moeten wachten op grondig onderzoek maar als je de feiten logisch bekijkt…” Binnen tien minuten wordt haar in het Russisch geschreven blog bijna honderd keer gedeeld op Twitter.

We weten nu dat deze tweets werden verstuurd door een netwerk van nepaccounts aangestuurd vanuit een kantoor in St. Petersburg. Binnen 24 uur verspreiden ze haar blog nog eens ruim vierhonderd keer. Ditzelfde kantoor, het Internet Research Agency (IRA), is die dag verantwoordelijk voor nog eens tienduizenden tweets over MH17. De meeste daarvan houden, net als Timofejeva’s blog, Oekraïne verantwoordelijk voor de ramp. Het IRA is de beruchte online beïnvloedingsfirma die later de spil zal worden in de grootschalige beïnvloedingscampagne rond de Amerikaanse presidentsverkiezingen.

NRC deed eerder onderzoek naar de trollen van het Internet Research Agency: ‘Russisch trollenleger ook actief in Nederland’

Het is al langer duidelijk dat het Internet Research Agency de publieke opinie omtrent MH17 probeerde te beïnvloeden, maar eerdere onderzoeken lijken het belang van MH17 voor het online beïnvloedingskantoor te hebben onderschat. NRC vond in samenwerking met het Digital Methods Initiative van de Universiteit van Amsterdam alleen al in de twee dagen na de ramp minstens 66.000 tweets over de nasleep van MH17. De Groene Amsterdammer kwam deze maandag tot dezelfde conclusie. De tweets vertonen een hoge mate van coördinatie: ze gebruiken grotendeels dezelfde software voor het plaatsen van honderden tweets per uur.

NRC vond de tweets in een dataset van ruim negen miljoen berichten die Twitter eind vorig jaar openbaar maakte. Deze verzameling tweets beslaat volgens het techbedrijf alle Twitter-activiteit van het IRA tot de accounts in juni 2018 werden geblokkeerd. Het kwam het netwerk onder meer op het spoor omdat ze waren verbonden aan Facebookpagina’s van het IRA die met roebels politieke advertenties hebben ingekocht. Het is mogelijk dat Twitter niet alle accounts van het IRA heeft gevonden, en het is heel waarschijnlijk dat het IRA nadat de accounts zijn geblokkeerd nieuwe nepprofielen heeft aangemaakt waarvan we het bestaan niet kennen.

Ondanks deze beperkingen kunnen onderzoekers dankzij de data van Twitter voor het eerst gedetailleerd zien hoe de trollenfabriek te werk ging. NRC richtte zich in de eerste plaats op de dagen na MH17, toen het grootste aantal tweets over de ramp werd verstuurd. Ook hebben we geprobeerd vast te stellen welke verhalen de trollen in de maanden en jaren daarna over MH17 in omloop probeerden te brengen.

Facebook, YouTube en andere internetplatforms maakten hun data over de IRA-trollen niet of slechts mondjesmaat openbaar. We weten dat IRA-trollen naast tweets net zo goed Facebookposts schreven, blogs maakten, forumreacties achterlieten en allerlei andere activiteiten ondernamen om de publieke opinie op internet te bespelen. Maar zolang techbedrijven hun data over de trollen niet met onderzoekers delen kunnen we hun gangen maar beperkt achterhalen.

Vuurdoop

Afgaande op de data van Twitter was MH17 de vuurdoop van het Internet Research Agency. In juli 2014 stonden de propagandatechnieken waarmee de Petersburgse firma inmiddels synoniem is geworden nog in de kinderschoenen. Het kantoor zelf bestond toen nog maar een jaar, en was in de maanden voorafgaand aan de ramp nauwelijks actief op Twitter. Maar op de dag na het neerhalen van MH17 komen de trollen voor het eerst volop in actie. Voor 17 juli 2014 produceren de trollen in Twitters dataset op een doorsnee dag een bescheiden 78 tweets. In de weken voor de ramp neemt de activiteit langzaam toe, tot deze plotseling piekt op de dag na de ramp met maar liefst 57.646 tweets. Een absoluut record – zelfs tijdens de beïnvloedingscampagne rond de Amerikaanse presidentsverkiezingen waren de trollen niet zo actief op één dag.

In een tijdsbestek van twee dagen promoten de trollen drie hashtags: ‘#Kiev, vertel de waarheid’ (21.996 keer gedeeld), ‘#provocatie door Kiev’ (22.349 keer gedeeld) en ‘#Kiev haalde de Boeing neer’ (22.116 keer gedeeld). Na 19 juli stopt de grootschalige campagne even abrupt als hij begon. Toch verspreiden de trollen ook daarna nog lang desinformatie over MH17, al gebeurt dat niet meer zo massaal als in de dagen na het neerhalen van het vliegtuig. Dat gebeurt bijvoorbeeld als het internationale Joint Investigation Team (JIT) zijn bevindingen presenteert en de trollen de conclusies van het onderzoeksteam in twijfel trekken.

Vanaf dag één krijgt Oekraïne de schuld van de ramp. Exemplarisch is de blog van Katja Timofejeva, die de dag na het neerhalen van MH17 het meest werd gedeeld door de trollen en nog steeds online staat. De Russin somt allerlei redenen op waarom Oekraïne iets met de ramp te maken moet hebben. Zonder bewijs te leveren, overigens. De Oekraïense strijdkrachten zouden luchtafweergeschut in het gebied hebben gehad, het passagiersvliegtuig zou zijn gevolgd door Oekraïense straaljagers. Instemmend citeert ze Poetin: „De regering boven wiens gebied dit gebeurde draagt de verantwoordelijkheid voor deze vreselijke tragedie.”

Wat ook duidelijk wordt na analyse van de negen miljoen tweets: de IRA-campagne over MH17 was een grotendeels Russischtalige aangelegenheid. Dat heeft waarschijnlijk veel met timing te maken: in de beginjaren twitterden de trollen nog nauwelijks in andere talen. Pas in het eerste kwartaal van 2016, als MH17 als onderwerp allang op de achtergrond is geraakt, produceert het IRA meer Engelstalige dan Russischtalige tweets. „De methodes die internettrollen nu over de hele wereld toepassen zijn voor het eerst uitgeprobeerd op het Russische publiek, daarna toegepast in Oekraïne en pas toen ze succesvol bleken ontplooid in Westerse landen als de VS”, legt Ruslandexpert Stefan Meister uit. Hij doet al jaren onderzoek naar Russische desinformatie en is momenteel verbonden aan de Heinrich Böll Stichting in Berlijn.

Maar de keuze voor het Russisch wil niet zeggen dat de trollen alleen het binnenlandse publieke debat probeerden te beïnvloeden, zegt Sergey Sanovich, een Russische desinformatie-expert verbonden aan de Stanford Universiteit in Californië. „De tweets waren waarschijnlijk net zo goed gericht op de grote groep Russisch sprekende Oekraïners in het oosten en zuiden van het land.” De trollen twitterden slechts vier keer in het Nederlands met de hashtag ‘MH17’.

Complottheorieën

De MH17-ramp wordt vanaf dag één omgeven door een waaier aan complottheorieën, niet zelden afkomstig uit Russische bronnen als het ministerie van Defensie en Russische tv-zenders. Ook de IRA-trollen verspreiden een reeks vaak tegenstrijdige theorieën over de gebeurtenissen op 17 juli 2014. Zo moet een vaak getwitterde foto van een brokstuk van het vliegtuig bewijzen dat het is neergehaald door een straaljager, een theorie die nog jaren na de ramp de ronde doet. Op de foto, op de dag na de ramp minstens 56 keer door het trollennetwerk gedeeld, zijn rode cirkels getekend rond de rafelige plekken waar het onderdeel is afgebroken. „Dit is gedaan door een boordkanon”, staat er in het Russisch. De tweet laat geen misverstand bestaan over de daders: „Het Oekraïense leger verbergt de waarheid!” En: „Boordkanonnen van een straaljager hebben het vliegtuig neergehaald”.

In andere tweets suggereren de trollen dat het privévliegtuig van Poetin vlak voor MH17 over Oekraïne vloog en het werkelijk doelwit was van de Oekraïense Boekraket. Naarmate de tijd vordert worden de theorieën nog gekker: Onder de hashtag ‘#Boeingisback’ beweren de trollen via links naar een blog dat het in Oost-Oekraïne neergestorte vliegtuig in werkelijkheid de vier maanden eerder verdwenen Maleisische vlucht MH370 moet zijn geweest. In de jaren na de ramp beweren de trollen onder meer dat het JIT bevooroordeeld is.

„De Russen gebruikten een klassieke strategie omtrent MH17: je publiek verwarren”, zegt Stefan Meister. „Als je twintig versies van een gebeurtenis naar buiten brengt weet niemand meer wat waar is.”

Volgens Meister past de MH17-campagne van het IRA in een bredere informatiecampagne gericht tegen de Oekraïense regering. „Op het hoogtepunt van het conflict in Oost-Oekraïne werd het Russische publiek overspoeld met verhalen over veronderstelde fascisten in Kiev die onder invloed zouden staan van het Westen. Dat gebeurde vooral via de staatstelevisie, maar dus ook via internet. De reflex om met de beschuldigende vinger naar Kiev te wijzen was er dus al voor MH17. En dat propagandabombardement heeft het publiek ook als het ware voorbereid om te geloven dat Oekraïne iets met de ramp te maken moest hebben.”

Als je twintig versies van een gebeurtenis naar buiten brengt weet niemand meer wat waar is

Het is de vraag hoe effectief de trollen waren op Twitter. Vermoedelijk werd het netwerk veel gebruikt om elkaar te retweeten, maar Twitter toont niet hoe vaak een bericht wordt geretweet door accounts die later zijn verwijderd. Zonder door Twitter geblokkeerde bots en trollen blijken de Russischtalige tweets van het IRA niet erg succesvol. Slechts vijf procent wordt in de periode rond het neerhalen van MH17 meer dan één keer geretweet. De Engelstalige berichten hadden tijdens de meest actieve periode een groter bereik onder niet-verwijderde accounts: die worden in 13,4 procent van de gevallen minstens één keer gedeeld.

Vertakkingen

De desinformatiecampagne stond niet op zichzelf, blijkt uit het feit dat de trollen Twitter opvallend vaak gebruikten om andere kanalen te promoten. Zo gaat twintig procent van de links van de trollen naar de site van persbureau FAN. Deze in Rusland niet erg bekende nieuwsorganisatie, voluit het Federaal Nieuwsagentschap, wordt door experts gezien als een vertakking van het IRA. „Waarschijnlijk gebruiken de trollen Twitter en andere sociale media om het bereik van verhalen van het persbureau op te pompen”, zegt Sergey Sanovich.

Er zijn tal van overeenkomsten tussen het IRA en FAN, dat twee maanden voor de MH17-ramp werd opgericht. Beide organisaties hadden dezelfde accountant, een Russin die door de Amerikaanse speciaal aanklager Robert Mueller is aangeklaagd wegens haar rol in de Amerikaanse beïnvloedingcampagne. Ook waren ze rond het neerhalen van MH17 op hetzelfde adres in St. Petersburg gevestigd. Russische kwaliteitsmedia schrijven bovendien dat de trollenfabriek en het nieuwsagentschap dezelfde financier hebben: de nauw aan Poetin verbonden zakenman Jevgeni Prigozjin. De zakenman ontkent dat.

Blogger Katya heeft nauwelijks vrienden op Twitter, maar haar berichten worden wel honderden keren gedeeld

Naar blogsite Livejournal gaan nog meer links. Dertig procent van de tweets met een link in de dataset verwijst naar een blog van Livejournal. De van oorsprong Amerikaanse, maar in 2009 door een Russisch mediabedrijf overgenomen blogsite behoorde destijds tot de populairste sociale media in Rusland. „Dat kwam vooral omdat Russen er konden zeggen wat ze wilden”, zegt Sergey Sanovich van de Stanford Universiteit. „Maar gedurende het conflict op de Krim probeerde de regering er steeds meer controle op uit te oefenen, onder meer door de populaire blog van oppositieleider Aleksej Navalny te verbieden.” Rond dezelfde tijd overspoelden nepaccounts het netwerk, vertelt Sanovich.

Zaten achter de Livejournalblogs die over MH17 schreven ook IRA-trollen? Dat kan bijna niet anders. Klokkenluiders maakten in 2015 melding van het bestaan van een afdeling binnen het IRA waar nep-Livejournalposts werden geschreven. Katya Timofejeva, de blogger met wie dit verhaal begon, was naar alle waarschijnlijkheid één van hen. Ze heeft nauwelijks vrienden op Twitter, maar haar berichten worden wel honderden keren door het IRA-netwerk gedeeld. Ze twitterde soms nachtenlang door, met intervallen van tien tot twintig minuten – een typisch kenmerk van een nepaccount, aangestuurd door meerdere mensen. Ook blijkt het vriendennetwerk van bloggers die veel door de trollen worden gedeeld opvallend hecht: ze zijn vooral vrienden met elkaar. Een enkeling gebruikt van internet geplukte foto’s als profielfoto. Tenslotte gaf een account in hetzelfde netwerk in een blog toe een „Kremlinbot” te zijn geweest.

Russische trollennetwerken zijn nog steeds actief in Rusland en daarbuiten - ook het IRA. Dat bleek bijvoorbeeld in februari dit jaar toen bronnen binnen het Amerikaanse leger meldden het Internet Research Agency tijdelijk offline te hebben gehaald tijdens de midterm-verkiezingen van november vorig jaar. De cyberoperatie werd ondernomen zodat de trollen de verkiezingen niet konden beïnvloeden. Daarnaast meldt Facebook regelmatig netwerken van Russische nepaccounts offline te hebben gehaald. Zo doekte het sociale mediabedrijf afgelopen woensdag nog een Russisch netwerk op van 62 accounts, 10 pagina’s en 25 groepen dat „gecoördineerd onecht gedrag” liet zien gericht tegen de Oekraïne.

Russischtalige media zaaien tot op de dag van vandaag twijfel over de toedracht van de ramp. De conclusie van het JIT dat vlucht MH17 werd neergehaald door een raket van de Russische krijgsmacht wordt stelselmatig op losse schroeven gezet. De lezing op FAN, het met het IRA verbonden persbureau, is momenteel dat de Boekraket waarmee MH17 uit de lucht werd geschoten in handen was van het Oekraïense leger. Dat, immers, beweert het Russische ministerie van Buitenlandse Zaken.