Twitter ボット: プロパガンダ活動の実態

主な所見

• このプロパガンダ活動は周到に計画され、アカウントの大半は始動の何カ月も前に登録されていました。2016 年米国大統領選よりだいぶ以前からで、アカウントの作成日から最初のツイートまでの平均日数は 177 日でした。
• メインアカウントの中心は、新しいコンテンツをツイートするグループでした。各地の報道機関や政党に偽装して、「フェイクニュース」を流す役割をはたしています。
• それより数の多いサポートアカウントは、メインアカウントがツイートしたメッセージを増幅する役割を担っていました。たいていは個人に偽装しています。
• 目標を達成するために、プロパガンダは保守派とリベラル派の双方に向けられていました。なかでも標的になったのは両陣営の浮動層です。
• ほとんどのアカウントは自動化されていましたが、最初のツイートを投稿する、少しずつ言葉を換えて再ツイートするといった手動の操作が確認されるケースも少なくありませんでした。正規のアカウントであるように見せかけ、削除されるリスクを回避する目的と考えられます。メインアカウントは、各種サービスを利用してブログ活動を監視しながら新しいブログ記事を自動的に Twitter にツイートするよう設定され、サポートアカウントは、メインアカウントによるツイートをリツイートするように設定されていました。
• リツイート回数が最も多かったアカウントは、600 万回以上のリツイートを稼ぎ出しています。そのうち、データセットで見つかった他のアカウントによるリツイートはごく一部（1,850）にすぎません。リツイートの大部分は正規の Twitter ユーザーによるものだったということです。

2016 年の米国大統領選に向けた選挙運動では、ソーシャルメディア活動を利用して不正に世論を操作しようとした試みが大きな問題になりました。米国の有権者に対して巧妙なプロパガンダ活動がしかけられていたことが、選挙の終了から数カ月後に、にわかに明るみに出たのです。

当然ながら、このプロパガンダは広く社会の関心を集め、ソーシャルメディア各社は自社のサービスが悪用されていなかったかどうか、すぐさま調査に乗り出しました。2018 年 10 月には Twitter 社が、Internet Research Agency（IRA）によって Twitter 上に投稿されていたコンテンツについて、大量のデータセットを公開しました。IRA は、米国に対する大規模なプロパガンダ活動に関与していたロシアの企業です。

データセットの内容は、3,836 個の Twitter アカウントと 1,000 万近いツイートです。それらのアカウントが、およそ 640 万のフォロワーを集め、320 万のアカウントをフォローしていました。データ量だけでも膨大で、275 GB を上回っています。

このアーカイブは、IRA のプロパガンダ活動がどのように行われたかを示す貴重な情報の宝庫であることが判明します。たとえば、この情報が公開されるまで、ツイートの矛先は政治的な陣営のどちらか一方に集中しているものと誰もが考えていました。ところが、データが公開されたとたんに明らかになったのは意外な事実でした。目標達成のために、プロパガンダは米国におけるリベラル派と保守派の双方に向けられていたのです。なかでも標的になったのは両陣営の浮動層で、プロパガンダの主な狙いはむしろ、議論を焚きつけて双方に反目の種をまくことにあったのではないかと見られています。しかも、これはオンラインの世界に限ったことではありませんでした。アカウントの一部は、全国で政治集会を組織する際にも使われており、データで見つかったなかで特に影響力の大きいアカウントは、そうした集会を多くの聴衆に宣伝するために使われていました。

それだけではありません。このデータからは、その内容や対象にとどまらず、もっと多くの情報が得られると考えたシマンテックは、アーカイブを徹底的に分析し、このプロパガンダ活動の展開についてさらに多くを知ることになりました。これは、大統領選という政治情勢に合わせた一時的な動きではなく、周到に計画・整備された活動であり、その準備は何カ月も前から進められていたという証拠が見つかったのです。

実際に用いられる戦術は時とともに変化していますが、活動の基本的なひな形は変わっていません。少数の中心的なアカウントを使って新しいツイートを投稿し、自動化された大量のアカウントがそのツイートを強化するというパターンです。

調査の過程で、興味を引く情報がほかにも見つかりました。リンク短縮の営利サービスを使う不正な業者が、副業として利益を上げていたらしいことなどです。

アカウントの種類

データの分析を始めると、アカウントは大きく 2 つのグループに分類できることがわかり、シマンテックはそれぞれをメインアカウント、サポートアカウントと呼ぶことにしました。グループによって性質が異なり、役割も違っています。

メインアカウントは、フォロワーが 1 万以上いますが、フォローしているアカウントはわりと少数です。主として、新しいツイートの投稿に使われています。

サポートアカウントは、フォロワーこそ 1 万に届きませんが、たいていはそれより多くのアカウントをフォローしています。主な目的は、他のアカウントのツイートをリツイートすることですが、自らオリジナルのメッセージをツイートすることもあります。予想されるとおり、大多数のアカウントはサポートアカウントです。シマンテックがデータセットで確認したのは、メインアカウントが 123、サポートアカウントが 3,713 でした。

メインアカウントはおおむね、各地の報道機関や政党に偽装したり、「ハッシュタグゲーム」を利用したりして、「フェイクニュース」を流す役割をはたします。ハッシュタグゲームとは、1 つのテーマについて逸話やジョークを披露し合う、たとえば #5WordsToRuinADate のようなハッシュタグの使い方です。作成日から考えると、ほとんどのメインアカウントは別々に、または少しずつまとめて作成されています。アカウントで使うデフォルトの言語として選択されるのは、いつも英語かロシア語です。

サポートアカウントは個人を装うことが多く、メインアカウントが投稿したツイートをリツイートして拡散します。たいていは一括して作成され、同じ日に百単位のサポートアカウントが作られることもありました。たとえば、2014 年の 5 月には、IRA によって 7 つのメインアカウントと、514 のサポートアカウントが作成されています。

アカウントの多くは、使い始めるよりかなり前に作成されています。作成日から最初のツイートまでの平均日数は 177 日、アカウントがアクティブに存続する長さは平均で 429 日でした。

図 1. プロパガンダ活動の実態

影響力の大きいアカウント

攻撃者が作成した Twitter アカウントのなかには、特に大きい影響力を持つようになったものもあります。データセットから見つかったなかでリツイート回数が最も多かったのは、TEN_GOP というアカウントです。作られたのは 2015 年 11 月で、テネシー州の共和党グループを装っていました。運用は手動で行われていたようです。

2 年足らずのうちに、TEN_GOP は 15 万近くのフォロワーを集めることに成功。ツイート数は 10,794 回と、それほど多くないにもかかわらず、600 万回を超えるリツイートを稼ぎ出しました。そのうち、IRA のデータセットに含まれる他のアカウントからのリツイートはごく一部（1,850）にすぎません。つまり、リツイートの大部分はデータセット以外のアカウントによるもの、すなわち実際の Twitter ユーザーによるリツイートだった可能性があるということです。

このアカウントの成功に味をしめた IRA は、万一 TEN_GOP が見破られて停止になってもいいように、予備アカウントとして ELEVEN_GOP と realTEN_GOP も作成しました。どちらも、プロフィール文は同じで、「This is our backup account in case anything happens to @TEN_GOP（@TEN_GOP に何かあったときのための予備アカウント）」と書かれています。

すでに述べたように、IRA の活動は米国の政治における両陣営どちらも標的としていましたが、それが影響力の大きいアカウントの内訳にも反映されています。リツイート回数で上位 20 位までの英語アカウントは、メッセージの内容が保守とリベラル半々でした。

表 1. リツイート回数トップ 20 の英語アカウント

フォロワー数で見ても、上位の英語アカウントの内訳は同じように二分されています。保守派の支持を謳うアカウントが 35%、リベラル派の擁護を標榜するアカウントが 30% でした。残りは、一般または政治的な報道機関に偽装しています。

表 2. フォロワー数トップ 20 の英語アカウント

フェイクニュース

IRA が作成したメインのフェイクニュースアカウントは、地元の報道機関に偽装したものがほとんどでした。「New Orleans Online（ニューオリンズ・オンライン）」、「El Paso Top News（エルパソ・トップニュース）」、「San Jose Daily（サンノゼ・デイリー）」などです。大半は 2014 年の 5 月から 8 月の間に作成され、2015 年 1 月まで休眠したのち、一気にツイートを始めています。そうした経緯からも、この活動で利用されたフェイクニュース素材は、あらかじめ周到に準備されていたことがうかがえます。

メインアカウントの大多数（96%）は完全に自動化されており、各種サービスを利用してブログ活動を監視しながら、新しいブログ記事を自動的に Twitter にツイートしていました。残りのうち 2% のアカウントは、ツイートをキューに入れ、スケジュールに合わせて公開します。

アカウントのほとんどは多様なパターンの活動を示し、2015 年のはじめから 2016 年の夏まで活発化したのち、急速に沈静化しました。2016 年 8 月までには、メインアカウントは 1 つを残してすべてツイートを停止しています。

この原因としては、メインアカウントが Twitterfeed というサービスを利用してブログ記事を Twitter に流していたことが考えられます。2016 年に入ると、その Twitterfeed が同年 10 月までにサービスを終了すると発表したため、メインアカウントは Twibble という代替のサービスに移行し始めました。2016 年 8 月になって活動がほぼ停止したのは、この切り替えに伴う技術的な問題が原因だったのかもしれません。12 月までに移行は完了し、メインアカウントは平常の活動に戻りました。

ツイート数の多いアカウント

言うまでもなく、ツイート数が多いアカウントの半数以上（55%）は、フェイクニュースをツイートするメインアカウントでした。ところが、ツイート数が多いアカウントのかなりの部分は、Twitter によって ID が隠されていました。フォロワー数が 5,000 未満だったからです。こうしたアカウントのほとんどはサポートアカウントであり、メインアカウントと同じように自動化されています。ただし自動化の内容は異なり、メインアカウントがオリジナルの投稿をツイートするように設定されていたのに対して、サポートアカウントはリツイートするように設定されていました。

表 3. ツイート数トップ 20 の英語アカウント

リンクの追跡

データセットで見つかったツイートの一部では、他のコンテンツへのリンクも確認されました。リンクのほとんどは短縮 URL で、最終的なリンク先は隠蔽されています。ツイートのリンク先がどんなサイトかを明らかにするために、シマンテックは 2016 年のツイートに含まれる短縮 URL をそれぞれ追跡し、最終的なリンク先を確かめました。最も多かったリンク先は、Twitter 上の他のツイートで、疑わしいアカウントへのリンクもありました。

図 2. 2016 年に最も多かったリンク先の英語サイト

Twitter 以外では、YouTube や Instagram、Facebook といったソーシャルメディアサービスが、リンク先 Web サイトの上位を占めています。残りは、正規の報道機関へのリンクがほとんどでした。以上のことから推察すると、フェイクニュースを拡散するほか、投稿したメッセージを補強する現実のニュース記事も利用されていたようです。

2016 年米国大統領選

2016 年の大統領選に先立つ何カ月かの間、活動は著しく増えています。同年 1 月から 11 月までに、データセットに含まれるアカウントは 771,954 件のツイートを英語で投稿しており、11 月に向かうほどツイートは増加しました。

図 3. 英語のツイート数（月別、2016 年 1 月～2016 年 11 月）

この間に英語アカウントでツイートされた内容を分析すると、内容は圧倒的に選挙に集中しており、保守とリベラルの両陣営についての話題はきれいに半分に分かれていることがわかります。

図 4 2016 年 1 月から 11 月に英語アカウントからツイートされた選挙関連の話題の割合。話題は、類似または関連ハッシュタグのグループ別でシマンテックが定義したもの。ほとんどのアカウントは複数の話題をツイートしている。

政治集会

このプロパガンダ活動で特に公然としていたのは、IRA が全国で数多くの政治集会を組織していたことです。アカウントがどれも偽の個人や組織で構成されていたにもかかわらず、有権者をイベントに動員することに成功していました。オンラインの活動以外でも、IRA は集会を組織して、両陣営の主義主張を支援していたということです。

図 5. IRA が組織した集会を紹介するツイート数（月別）

どのアカウントより頻繁にイベントを宣伝していたのが、47 回の記録がある @March_for_Trump というアカウントです。他のアカウントもほとんどが集会の宣伝に関わっていますが、フォロワー数が 5,000 未満なので匿名化されていました。

データセットのうち、March_for_Trump のツイートをリツイートして集会を宣伝していたのは 9 つだけでしたが、リツイートのほとんどはフォロー数とフォロワー数が特に多いアカウントによるものです。IRA は、集会の宣伝を優先していたのかもしれません。

プロフェッショナルな活動

今回のプロパガンダ活動は、トロール（荒らしユーザー）の行為とたびたび言われてきましたが、データセットが公開された結果、実態はそれ以上だったことが明らかになりました。何カ月も前から計画され、首謀者は広大な情報ネットワークを構築して運用できるリソースもふんだんに持ち合わせていました。

きわめてプロフェッショナル色の強い活動だったということです。数年にわたって投稿されたツイート数の膨大さもさることながら、新しいコンテンツのツイートと、それを増幅するサポートアカウントの強力なネットワークを自動化する活動が、実に合理的に展開されていたことになります。

このプロパガンダ活動の規模と影響の大きさには、どの国の有権者も無関心ではいられません。2016 年の米国大統領選に先駆けて起きた現象が、また繰り返されるのではないかという不安があるのも当然です。

情報工作活動に関する意識が高まれば、そうした影響に歯止めをかけることができるかもしれません。同じような活動の被害を防ぐことに関心がある方は、シマンテックの選挙セキュリティブログで公開されている記事「How to Spot a Twitter Bot（Twitter ボットの見分け方）」もぜひお読みください。