侵攻直後、日本語圏のSNSで何が起きたのか

一つの画像には、一つの意味しかない。私たちは普段何気ないSNSの投稿にそう考えがちです。しかし、インターネット上を流通する画像や映像の意味は、それに添えられた短い説明によって変わる。

誰が写っているのか。どこの軍の車両なのか。何が起きる直前なのか。誰が攻撃し、誰が被害を受けたのか。画像そのものが変わっていなくても、説明が変われば、受け手が理解する出来事は別のものになる。

2022年2月、ロシアによるウクライナ侵攻が始まったとき、日本語圏の情報空間でも、このような「意味の上書き」が繰り返されていた。

なぜ2022年1月から注視していたのか-脅威情報・OSINTチーム

Sola.comが注視していたのは、国境周辺におけるロシア軍の集結だけではない。2021年中盤以降、ウクライナの政府機関・行政機関が運用するウェブサイトや情報基盤に対するサイバー攻撃、ページ改竄、侵入の痕跡も、情勢悪化を示す重要な兆候として追跡していた。
2014-2015年のクリミア信仰でも近代のハイブリッド戦ではサイバー攻撃の予兆と印象操作が軍事的イベントの際に見られる前例があったからだ。

2022年1月13日から14日にかけてそれは起こった。
ウクライナ外務省、教育科学省など複数の政府系サイトが攻撃を受け、トップページに挑発的なメッセージが表示された。ウクライナ政府の当時の発表では、70を超える政府系リソースが攻撃対象となり、そのうち10件で不正な介入が確認されたとされた。一方、初期調査の段階では、サイト本体の内容変更や個人データ流出は確認されていないとも説明されていた。

Microsoftは1月15日、1月13日にウクライナ国内の複数組織で破壊型マルウェアを検出したと公表した。このマルウェアは身代金要求型に見せかけながら、復旧機構を持たず、感染端末を使用不能にすることを目的としたものと評価された。米国CISAも1月18日、政府サイトの改竄と破壊的マルウェアを受け、組織へ即時の防御措置を呼び掛けている。

当時のFacebook投稿に残された実画面

Sola.comの脅威情報チームの一人のH氏は当時、ウクライナ外務省サイト内で確認した異常ページの実画面と、ページ上に表示された公開日時の検証過程をFacebookでも共有していた。

FIELD RECORD / 15 JAN 2022

改竄を確認した実画面

ウクライナ外務省のサイトでは複数の侵害の痕跡が見られた。

解釈上の注意　この2枚は当時の公開状態を示す画面記録であり、画像だけから攻撃主体、侵入経路、他のサイバー事象との同一性を確定するものではない。

Facebook photo 01 ↗Facebook photo 02 ↗

DEFACEMENT MESSAGE / JAN 2022

改竄画面に表示された脅迫文

改竄時に表示された多言語の脅迫文と、その内容を日本語で確認した当時の表示記録。前掲のサイト画面とは役割が異なり、ここでは攻撃者が受け手へ提示したメッセージそのものを読む。

読解上の注意　この表示は威嚇と心理的効果を狙ったメッセージである。文面に書かれたデータ窃取・破壊が実際に全対象で実行されたかどうかは、画面表示とは別に技術的検証を要する。

軍事緊張と情報空間を同時に見る

Sola.comでは、社会、安全保障、企業活動に重大な影響を与える可能性がある事案について、必要に応じて独自の情報収集と分析を行っている。ウクライナ問題の主な観測期間は、2022年1月4日から3月5日までである。

当時はTwitterを中心としながら、Facebook、YouTubeなど複数のプラットフォームを横断した。個々の投稿だけでなく、同じ主張がどこから発信され、誰に引用され、どの媒体を経由し、どのような説明を加えられながら広がったかを確認するためである。

Omni Oculusは「判定機」ではない

Sola.comでは、自社製分析ツール「Omni Oculus」等を用い、言説の流れや関係を整理・可視化していた。特定の投稿を自動的に正しい、誤りと判定するものではない。投稿量、語句、共有URL、引用関係などを整理し、人間が確認すべき場所を示すための地図である。

影響力はフォロワー数だけでは測れない

フォロワーが少ないアカウントの投稿でも、別の大規模アカウントが引用すれば二次、三次の拡散が生じる。反対に、フォロワー数が多くても、反応が少なく、活動実態のないフォロワーが多ければ、数字ほどの影響力を持たないこともある。

確認すること、確認しないこと