Documente declasificate din CSAT ̸ România - ţintă pentru acţiuni hibride ruse; campania lui Georgescu - finanţată

Informaţiile prezentate de Serviciul Român de Informaţii, Serviciul de Informaţii Externe şi Ministerul Afacerilor Interne în cadrul şedinţei Consiliului Suprem de Apărare a Ţării (CSAT) din data de 28 noiembrie care au fost declasificate, miercuri, de preşedintele Klaus Iohannis indică faptul că finanţarea campaniei candidatului independent Călin Georgescu pe TikTok s-a ridicat la un milion de euro, că au avut loc acţiuni ale unui actor cibernetic statal asupra infrastructurilor IT&C suport pentru procesul electoral şi că România este o ţintă pentru acţiuni hibride agresive ruse.

Preşedintele Klaus Iohannis a fost de acord cu declasificarea informaţiilor, potrivit legii, la solicitarea instituţiilor emitente.

***
În documentul declasificat, SRI arată că finanţarea campaniei lui Călin Georgescu pe TikTok a fost realizată de Bogdan Peşchir şi s-a ridicat la un milion de euro.

"Acesta, utilizând contul 'bogpr', a realizat donaţii pe TikTok de peste un milion de euro. După ce a devenit subiect de dezbatere publică, implicarea 'bogpr' în finanţarea promovării lui Călin Georgescu la nivelul platformei a fost confirmată inclusiv de reprezentanţii TikTok în dialogul cu autorităţile române în data de 28 noiembrie 2024", arată SRI.

Reprezentanţii TikTok au confirmat identitatea utilizatorului "bogpr" şi au menţionat că acesta a efectuat plăţi în valoare de 381.000 de dolari, în perioada 24 octombrie - 24 noiembrie 2024, către utilizatori ai unor conturi de TikTok implicaţi în promovarea candidatului Călin Georgescu, inclusiv după data încheierii campaniei electorale, punctează SRI.

SRI arată că finanţarea influencerilor TikTok a fost asigurată prin platforma FameUp (dedicată monetizării activităţilor de promovare în mediul online), la nivelul căreia a fost publicată oportunitatea de reclamă, alături de descrieri bine definite. "Una dintre metodele de atragere la colaborare a influencerilor români pentru promovarea candidaturii lui Călin Georgescu a fost contactarea pe e-mail a acestora de firma (...), de origine sud-africană, care oferea suma de 1.000 de euro pentru distribuirea unui videoclip realizat de aceştia", arată SRI.

Sursa citată apreciază că în contextul primului tur al alegerilor prezidenţiale au fost obţinute date care au relevat "o campanie de promovare agresivă, derulată cu eludarea legislaţiei naţionale în domeniul electoral, dar şi exploatarea algoritmilor unor platforme de social media pentru creşterea în ritm accelerat a popularităţii lui Călin Georgescu".

În acest sens, arată SRI, a fost utilizată platforma TikTok. Activitatea de promovare masivă a presupus o campanie pe TikTok, prin intermediul mai multor conturi coordonate ce au publicat activ conţinut electoral, atât cu ajutorul algoritmilor de recomandare, cât şi prin promovare plătită.

Reţeaua de conturi asociată direct campaniei lui Călin Georgescu a fost formată iniţial din 25.000 de conturi la nivelul platformei TikTok, care au devenit foarte active cu două săptămâni înaintea datei scrutinului electoral. Campania de promovare a avut o organizare deosebit de bună, numărul urmăritorilor crescând semnificativ.

A fost identificat canalul de Telegram Propagator - implică-te şi tu, Renaşterea României, Hrană Apă Energie (Gpropagatorcg), care are rol de a coordona alţi utilizatori cu privire la postările şi conţinutul video distribuit.

"Abonaţii @propagatorcg au primit instrucţiuni clare privind modalitatea de acţiune a conturilor, recomandări privind comportamentul utilizatorilor la nivelul TikTok, respectiv mesajele care ar fi urmat să fie promovate sau distribuite, în sensul includerii unor emoji special alese şi a numelui candidatului pentru a exploata algoritmii TikTok. Acestea erau pregătite anterior şi încărcate instant în cadrul TikTok", mai arată SRI.

În activitatea de promovare a lui Călin Georgescu a fost utilizată o reţea extinsă de persoane publice cu notorietate ridicată de la nivelul platformei TikTok (influenceri), prin intermediul cărora şi-a promovat campania atât în mod direct (prin susţinerea publică a candidatului), cât şi indirect (prin mesaje aparent neutre, dar care conţineau etichete asociate candidatului, precum #echilbruşiverticalitate). În mod intenţionat, o parte dintre aceştia nu au marcat publicitatea ca fiind plătită, pentru a evita asocierea postărilor cu cele dedicate campaniilor electorale.

De asemenea, potrivit sursei citate, au fost create şi utilizate conturi care reprezintă în fals instituţii ale statului român, precum conturi TikTok care au utilizat în fals sigla SRI şi titulatura Brigada Antiteroristă (BAT), respectiv afişau mii de urmăritori şi peste 100.000 de like-uri.

Pe aceste conturi au fost distribuite numeroase imagini cu forţele Poliţiei Române şi BAT, preluate din spaţiul public. La comentarii au fost identificate postări apreciative la adresa SRI-BAT/ instituţiilor de forţă şi de susţinere a candidatului Călin Georgescu, inducând astfel, în fals, ideea că instituţiile statului îl susţin pe acesta.

Pe 20 noiembrie, precizează SRI, BEC a dispus "înlăturarea materialelor de propagandă electorală din mediul online ce îl ilustrează pe candidatul Călin Georgescu la alegerile pentru Preşedintele României din anul 2024, care nu conţin codul de identificare al mandatarului fiscal".

Solicitarea a fost transmisă către TikTok, prin intermediul AEP, în data de 21 noiembrie.

A doua zi, TikTok a transmis AEP confirmarea eliminării postărilor care fac obiectul deciziei BEC, prin blocarea accesului vizual la acestea de pe teritoriul României, ele rămânând vizibile în alte state şi putând fi distribuite.

"Cu toate acestea, verificările ulterioare au relevat că TikTok nu a şters conţinutul electoral conform solicitării AEP, iar acesta a continuat să fie disponibil publicului din România, chiar şi după încheierea campaniei electorale, inclusiv în ziua alegerilor (aspecte ce contravin legislaţiei române)", punctează SRI.

SRI arată că postările cu conţinut pur electoral ale conturilor asociate reţelei care îl promovează pe Călin Georgescu au fost catalogate de TikTok ca postări de divertisment.

Într-un alt document al SRI se precizează că au avut loc acţiuni ale unui actor cibernetic statal asupra infrastructurilor IT&C suport pentru procesul electoral, găzduite de AEP şi STS.

"Prin metode specifice, în data de 24.11.2024, SRI a obţinut date cu privire la publicarea unor credenţiale de acces asociate "bec.ro", "roaep.ro" şi "registrulelectoral.ro" în cadrul unor platforme de criminalitate cibernetică de sorginte rusă, date similare fiind identificate şi în cadrul unui canal privat de Telegram recunoscut pentru diseminarea de date exfiltrate din foarte multe state, mai puţin Federaţia Rusă. În urma verificărilor demarate s-a stabilit că exfiltrarea s-a realizat fie prin targetarea utilizatorilor legitimi către care au fost distribuite credenţialele de tip utilizator/parola, fie prin exploatarea serverului legitim de instruire pus la dispoziţie de către STS la adresa https://operatorsectie.roaep.ro", menţionează SRI.

Aceste postări au fost efectuate după ce pe 19 noiembrie un incident cibernetic a targetat şi a afectat infrastructura IT&C a AEP, în urma căruia atacatori cibernetici au compromis un server de hărţi (gis.registrulelectoral.ro), conectat atât în exterior, la internet, cât şi la reţeaua internă a AEP.

"În context, a fost identificat un număr ridicat de atacuri cibernetice (peste 85.000), care au vizat exploatarea vulnerabilităţilor existente la nivelul sistemelor informatice de suport pentru procesul electoral, în vederea obţinerii accesului la datele din sistemele informatice, alterării integrităţii acestora, schimbării conţinutului prezentat publicului larg şi indisponibilizării infrastructurii", precizează SRI.

SRI menţionează că aceste atacuri au continuat într-un mod susţinut, inclusiv în ziua alegerilor şi în noaptea post alegeri şi că, pentru lansarea atacurilor, au fost utilizate sisteme informatice din peste 33 de ţări, folosind metode de anonimizare avansate pentru a îngreuna procesul de atribuire.

Sursa citată subliniază că au fost demarate investigaţii specifice împreună cu AEP şi STS.

"Întrucât evaluarea cu privire la atacul cibernetic este în derulare, în prezent nu deţinem date certe cu privire la atacator ori cu privire la afectarea procesului electoral", indică SRI.

***

SIE arată că România, alături de alte state de pe Flancul Estic al NATO, "a devenit o prioritate pentru acţiunile ostile ale Rusiei, existând un interes în creştere la Kremlin pentru a influenţa (cel puţin) mood-ul şi agenda în societatea românească în context electoral''.

Aceste acţiuni, arată SIE, se manifestă prin propagandă şi dezinformare, sprijinirea unor candidaţi eurosceptici şi alimentarea unor mişcări antisistem, inclusiv prin "implicarea acestora în proteste care să modeleze agenda publică", încurajarea nemulţumirilor/provocarea de reacţii emoţionale la nivelul populaţiei, astfel încât să pună presiune pe autorităţi să reducă/stopeze sprijinul pentru Ucraina.

"Apreciem că România este o ţintă pentru acţiuni hibride agresive ruse, inclusiv atacuri cibernetice şi scurgeri de informaţii (hacks and leaks) şi sabotaje", afirmă SIE.

În documentul înaintat CSAT, SIE a informat că "situaţia politică din România a fost abordată şi în cadrul talk- show-urilor politice din Rusia - jurnaliştii ruşi lansează ideea că forţele pro-ruse din România ar putea obţine peste 30% la alegerile parlamentare".

Analiza modului în care aparatul de propagandă rusă a vizat România în 2024 include mesaje care au vizat: (I) divizarea societăţii pe teme precum controlul exercitat de SUA/NATO asupra României, ameninţările de securitate generate de statutul de membru NATO şi de sprijinul acordat Kievului; (II) discreditarea capacităţii de răspuns a NATO şi României, amplificarea neîncrederii populaţiei în capacitatea de apărare naţională; (III) erodarea sprijinului populaţiei pentru deciziile de politică externă ale României; (IV) evidenţierea implicării României în conflict şi ambiţiilor teritoriale în raport cu statele vecine (ex. Ucraina şi R. Moldova).

***

În documentul prezentat de MAI - Direcţia Generală de Protecţie Internă se arată că verificările tehnice de specialitate în mediul online şi analiza valorilor metrice identificate în social media, preponderent pe platforma TikTok, în procesul electoral, au validat existenţa unei campanii electorale neetichetate ca atare, în care, începând cu luna noiembrie, un număr de peste 100 de influenceri (care numărau în total peste 8 milioane de urmăritori activi) au fost supuşi unei acţiuni de manipulare în privinţa identităţii candidatului promovat.

Sursa citată precizează că TikTok nu a implementat instrucţiunile BEC privind marcarea drept candidat politic, respectiv marcarea materialelor electorale de tip video cu codul unic atribuit de AEP fiecărui candidat.

De asemenea, indică faptul că analiza metrică a relevat o creştere abruptă în intervalul 13 - 26 noiembrie, ajungând pe locul nouă la nivel mondial în topul trendurilor de promovare a conţinutului video asociat mai multor hashtag-uri utilizate în campania electorală a lui Călin Georgescu, însă nu a fost identificată o amplificare artificială la nivelul platformei TikTok până în data de 24 noiembrie, explozia numărului de vizualizări, de ordinul sutelor de milioane, fiind înregistrată ulterior datei de 25 noiembrie.

Datele analizate de MAI au relevat aproximativ 130 de conturi TikTok prin intermediul cărora au fost diseminate video-uri cu un astfel de conţinut, utilizând hashtag-urile #echilibrusiverticalitate, #prezidentiale2024, #unliderpotrivitpentrumine, majoritatea postărilor de acest tip nefiind marcate ca reclame plătite.

"Evaluarea scenariului utilizat pentru realizarea elementelor de conţinut indică situaţii similare realizate în cadrul unor acţiuni de influenţare a intenţiei de vot din Republica Moldova. În concret, o parte din textul de început utilizat de influenceri români pentru promovarea candidatului prorus din Republica Moldova a fost regăsit în cadrul postărilor menţionate. În cadrul secţiunii de comentarii aferente fiecărui element de conţinut au fost identificate o serie de mesaje de promovare a unui candidat la prezidenţiale. Analiza acestor conturi indică anomalii în constituirea acestora, existând indicii privind utilizarea unor conturi fictive create doar pentru distribuirea de astfel de comentarii", se menţionează în documentul MAI, unde se precizează că majoritatea influencerilor nu au cunoscut faptul că promovează un candidat anume.

Se precizează că influencerii au fost plătiţi şi că în cazul de faţă baza de calcul pentru o astfel de campanie se plăteşte cu 400 lei pentru 20.000 de urmăritori.

"Unii dintre susţinătorii campaniei implicaţi în promovarea şi cumpărarea de voturi sunt exponenţi ai mediilor extremiste de dreapta, infracţionale şi ai cultelor religioase, implicate anterior în promovarea unor narative proruse, antisemite, anti-NATO sau împotriva Ucrainei", mai arată MAI, dând ca exemplu pe liderul unui clan.

***
Serviciul de Telecomunicaţii Speciale arată că în perioada desfăşurării procesului electoral au fost identificate atacuri cibernetice de tip DDOS la nivelul infrastructuri IT&C, precum şi la nivelul altor resurse din sfera guvernamentală. Atacurile la adresa infrastructurilor IT&C gestionate de STS au fost blocate cu succes, iar pentru celelalte au fost informaţi administratorii de sistem din cadrul instituţiilor afectate.

La nivelul sistemelor de securitate cibernetică proprii nu au fost identificate indicii cu privire la compromiterea datelor aferente procesului de votare din SIMPV şi SICPV, subliniază STS.

Totodată, pentru pregătirea procesului electoral, la nivelul Serviciului de Telecomunicaţii Speciale s-au desfăşurat procese de identificare a ameninţărilor, evaluare a vulnerabilităţilor, analiza riscurilor, configurarea sigură, testarea de securitate cibernetică, precum şi implementarea măsurilor pentru asigurarea detecţiei, protecţiei, răspunsului şi recuperării în cazul incidentelor de securitate cibernetică.

STS afirmă că a implementat, astfel, măsuri tehnice de detecţie şi protecţie împotriva atacurilor cibernetice, inclusiv a celor complexe tip APT, prin utilizarea unei soluţii, operaţionalizată şi gestionată exclusiv la nivelul STS, care permite verificarea configuraţiilor sigure pe toate sistemele, detecţia activităţilor maliţioase, detecţia ransomware, monitorizarea integrităţii fişierelor din sistemele informatice, detecţia vulnerabilităţilor, analiza integrată şi corelarea jurnalelor de securitate, precum şi identificarea ameninţărilor.